Visualizador HTML

Como utilizar

1. Abra um ficheiro ou cole código. Largue um ficheiro .html, .htm, .xhtml ou .svg na página, escolha-o no seu dispositivo ou cole HTML na caixa de texto. Os ficheiros podem ter até 5 MB.
2. Veja a pré-visualização. A página aparece numa moldura isolada (sandbox). Escolha telemóvel, tablet ou largura total para ver como se comporta em larguras diferentes.
3. Consulte o painel Informação. Veja o tamanho, as linhas, o título, o tipo de documento, a codificação, a língua, quantos scripts, folhas de estilo, imagens, ligações e formulários o ficheiro tem e que domínios externos contactaria.
4. Ative as opções só se for preciso. Se a página aparecer sem estilos ou vazia, experimente «Carregar recursos externos» ou «Executar scripts». As duas ficam dentro da sandbox, mas deixe-as desligadas em ficheiros em que não confia.

Como funciona a pré-visualização

Um ficheiro HTML é apenas texto que o navegador transforma numa página. Com um duplo clique, abre-se no navegador com todos os poderes: pode executar scripts e carregar o que quiser da internet. Este visualizador abre o mesmo código numa moldura restrita, para que o possa ver primeiro.

• Moldura em sandbox. A pré-visualização é um iframe com o atributo sandbox e sem allow-same-origin. O ficheiro é tratado como vindo de uma origem desconhecida e não consegue ler os dados nem os cookies deste site.
• Content-Security-Policy. Por defeito, é inserida uma política no início do documento. Bloqueia os scripts e tudo o que seria obtido de outros sites: imagens, tipos de letra e folhas de estilo da internet não são carregados. As imagens incorporadas como data: e o CSS escrito em <style> funcionam normalmente.
• Sem envio. O ficheiro é lido no navegador com a File API. Não é enviado para nenhum servidor e, com as definições predefinidas, abri-lo não faz pedidos a terceiros.
• Formulários e navegação. Os formulários não podem ser submetidos a partir da pré-visualização, e os pedidos de rede feitos por scripts (fetch, XHR) continuam bloqueados mesmo com os scripts ligados.

Como os recursos externos estão bloqueados, uma página web guardada pode parecer mais simples aqui do que num navegador normal. É o esperado, e também é útil: mostra o que o ficheiro contém por si só.

O painel Informação é calculado a partir do texto-fonte com correspondência de padrões, não com um analisador HTML completo. Trate as contagens como um resumo rápido: os comentários e o conteúdo dos blocos de script e de estilo são ignorados na contagem de etiquetas.

As duas opções e o que mudam

Duas opções controlam o que a página pré-visualizada pode fazer. As duas estão desligadas por defeito. Seja qual for a escolha, a moldura continua em sandbox e nunca tem acesso a este site.

Mesmo com os scripts ligados, os pedidos feitos por scripts (fetch, XHR) continuam bloqueados e os formulários não podem ser submetidos. Carregar recursos externos, no entanto, faz pedidos reais a outros servidores.

Para que serve

Até que ponto é seguro, e o que não faz

Ver aqui um ficheiro suspeito com as definições predefinidas é mais seguro do que abri-lo com duplo clique, porque nada corre e nada é descarregado. As proteções em causa são a sandbox do navegador e a Content-Security-Policy, os mesmos mecanismos que os navegadores usam em qualquer moldura incorporada.

Ainda assim, é um visualizador, não um produto de segurança.

• Não é um antivírus. Não procura software malicioso, não reconhece ameaças conhecidas e não dá nenhum veredicto de seguro ou perigoso.
• Uma página continua a poder enganá-lo. Um formulário de início de sessão falso parece verdadeiro mesmo quando não consegue enviar dados. Nunca introduza palavras-passe, números de cartão ou códigos numa página que abriu a partir de um anexo.
• Ligações. Não clique em ligações de uma pré-visualização em que não confia. Se uma página lhe disser para descarregar ou instalar alguma coisa, não o faça.
• As opções mudam o risco. Carregar recursos externos contacta servidores de terceiros; executar scripts corre o código do ficheiro dentro da sandbox.
• As contagens são aproximadas. O painel Informação resume o texto do ficheiro e pode não ver elementos construídos por scripts durante a execução.

Para ficheiros em que não pode mesmo confiar, o mais seguro é não os abrir, ou confirmar com o remetente por outro canal. Mantenha o sistema e o navegador atualizados.

Como ler o painel Informação

O painel é uma lista de verificação que se lê em poucos segundos. Mostra o tamanho em bytes e o número de linhas e, depois:

• Título, tipo de documento, doctype. Indica se o documento é uma página HTML completa, um SVG ou um fragmento. Uma página sem doctype pode ser apresentada pelos navegadores em modo de compatibilidade (quirks mode).
• Codificação e língua. Se o ficheiro não declarar a codificação de caracteres, as letras acentuadas podem aparecer trocadas, como «Ã§» em vez de «ç». O atributo lang ajuda os leitores de ecrã e a tradução automática.
• Elementos. O número de etiquetas encontradas no código.
• Scripts e folhas de estilo. Contagens dos incorporados e dos externos. Os scripts externos são a forma habitual de uma página trazer código de outros sites.
• Imagens, ligações, formulários, iframes. Sinais rápidos: um formulário numa página que não esperava, ou um iframe que aponta para outro sítio, merecem atenção.
• Domínios externos. Os servidores referidos em src, href, srcset, url(...) e @import. Uma lista curta de domínios conhecidos é normal numa página web guardada; muitos domínios desconhecidos merecem uma análise mais atenta.

Para trabalhar com as datas ou horas de um relatório que exportou, veja a calculadora de datas. Para ler conteúdo codificado que encontre no código, como imagens data: ou tokens, use o descodificador Base64.

Perguntas frequentes