ChatGPT Sites permite criar aplicações com login? Entenda autenticação e controle de acesso

Uma das primeiras perguntas de quem começa a testar o ChatGPT Sites, a ferramenta da OpenAI para criar sites e aplicativos a partir de uma conversa, é se dá para restringir quem consegue acessar o que foi criado — e se é possível pedir para o visitante fazer login antes de usar o site. A resposta, segundo a própria documentação oficial da OpenAI, é sim, mas o funcionamento tem duas camadas separadas que vale entender antes de publicar qualquer projeto.

Duas coisas diferentes: "quem tem acesso" e "login dentro do site"

A OpenAI é explícita sobre isso: a configuração de público de um Site e um recurso de autenticação dentro do próprio site são controles separados. Ou seja, restringir quem pode abrir a URL do site é uma decisão; pedir que a pessoa faça login depois de abrir o site é outra — e as duas podem ser combinadas ou usadas de forma independente.

A primeira camada, chamada de "quem tem acesso", define o público do site publicado e tem quatro opções possíveis, dependendo do plano e do workspace:

Apenas o proprietário e administradores do workspace;

Usuários ou grupos específicos selecionados, quando esse recurso está disponível;

Qualquer pessoa dentro do mesmo workspace do ChatGPT;

Qualquer pessoa na internet, mas apenas quando a publicação pública estiver habilitada.

Quando o site é restrito a usuários ou grupos convidados, quem recebe o convite precisa fazer login com a conta que teve acesso liberado antes de conseguir usar o site — um comportamento parecido com o de compartilhar um documento na nuvem com pessoas específicas.

Um site também pode ter seu próprio login

Além dessa camada de compartilhamento, o ChatGPT Sites permite que o próprio site inclua um recurso de login construído nele, chamado de "Entrar com o ChatGPT" — algo mais parecido com o botão "Entrar com o Google" que aparece em vários aplicativos, só que usando a conta ChatGPT do visitante. Esse recurso de autenticação só aparece quando é compatível com o tipo de site e quando é adicionado de forma intencional durante a criação, e não é algo automático em todo Site publicado.

A própria OpenAI faz um alerta importante para quem usa esse recurso: quem publica o site é responsável por explicar quais informações do visitante o site recebe através desse login e como essas informações são usadas, além de cumprir as leis de privacidade e proteção de dados aplicáveis — a responsabilidade legal sobre a coleta desses dados fica com quem criou e publicou o site, não com a OpenAI.

Controles adicionais para empresas

Em contas de uso corporativo, o controle de acesso ganha mais uma camada. Administradores de workspace podem decidir quem tem permissão para criar e publicar sites dentro da organização. Nos workspaces do tipo Enterprise, a publicação pública de sites fica desativada por padrão, e um administrador precisa ativá-la manualmente antes que qualquer pessoa do time consiga publicar um site acessível a qualquer visitante da internet — uma proteção pensada para evitar que informações internas sejam expostas publicamente por engano.

O que não pode ser feito em um ChatGPT Site

A documentação também deixa claro que o Sites não deve ser usado para processar determinados tipos de dado sensível, como informações de saúde protegidas ou dados de cartão de pagamento — a exceção é quando esse processamento de pagamento é feito inteiramente por uma empresa terceirizada especializada nisso, e não diretamente pelo próprio site. Sites direcionados a crianças menores de 13 anos, ou da idade mínima aplicável de consentimento digital em cada região, também estão fora das regras de uso permitido, assim como qualquer site usado para distribuir malware, phishing ou se passar por outras pessoas e organizações.

Checklist antes de publicar um site com login

Com base nas recomendações da própria OpenAI, antes de compartilhar ou publicar um ChatGPT Site que use login ou controle de acesso, vale revisar:

Se a configuração de "quem tem acesso" realmente corresponde ao público que deveria enxergar o site;

Se o comportamento de login foi testado a partir da perspectiva de um visitante real, não apenas de quem criou o site;

Se formulários, campos de texto livre ou áreas de mensagens do site não coletam informação além do que é necessário;

Se, no caso de workspaces corporativos, a publicação pública está de fato autorizada pelo administrador antes de tentar compartilhar o link com qualquer pessoa.

Na prática, isso significa que sim: é possível criar aplicações com controle de acesso e login usando o ChatGPT Sites, mas o resultado depende de configurar corretamente as duas camadas — quem pode abrir o site e o que acontece depois que a pessoa entra — em vez de assumir que uma única opção de compartilhamento já resolve tudo.