Como proteger os vídeos do seu curso online sem ficar paranoico

No dia em que você sobe o primeiro curso, surge uma pergunta incômoda: e se alguém copiar? A resposta honesta tem duas partes. Primeiro, nenhuma proteção de vídeo é absoluta. Segundo, você pode tornar o compartilhamento do curso incômodo, rastreável e pouco vantajoso, e isso costuma bastar. Este artigo percorre as quatro camadas habituais (links assinados, marca d'água, DRM e controle de dispositivos), explica o que cada uma faz com fontes técnicas e termina com uma proposta proporcional para um curso pequeno.

O que você realmente está protegendo

Antes de escolher ferramentas, separe três riscos diferentes, porque cada camada resolve um deles:

• O link que circula. Um aluno copia a URL do vídeo e a joga num grupo de mensagens.
• A conta compartilhada. Um aluno empresta o acesso a várias pessoas.
• A cópia do arquivo. Alguém grava o vídeo e o publica em outro lugar.

Os dois primeiros podem ser bem contidos com técnica comum. O terceiro não pode ser totalmente impedido, apenas encarecido e desestimulado. Ter isso claro evita gastar dinheiro em soluções pensadas para estúdios de cinema.

Primeira camada: links assinados e com validade

Um vídeo hospedado numa URL pública pode ser assistido por qualquer pessoa que conheça o endereço. A alternativa é que o vídeo exija uma assinatura que o seu servidor gera somente quando o aluno tem direito de assistir.

A documentação do Cloudflare Stream explica: sem URLs assinadas, qualquer pessoa com o identificador do vídeo pode assisti-lo; com elas, é preciso um token assinado. A mesma página informa que o token gerado pelo endpoint é válido por uma hora por padrão, que, se você assina com uma chave própria, a data de expiração não pode passar de 24 horas após a assinatura, e que revogar a chave de assinatura invalida todos os tokens criados com ela.

O Amazon CloudFront segue a mesma ideia. Uma URL assinada inclui uma política com informações adicionais, por exemplo a data e a hora de expiração, e com uma política personalizada também é possível definir desde quando vale e restringir o acesso a um endereço IP ou a uma faixa. O CloudFront verifica a expiração no momento da requisição HTTP, de modo que um download já iniciado pode terminar mesmo que o prazo vença no meio, mas uma nova requisição depois disso falha.

O que você ganha:

• Um link copiado morre sozinho depois de minutos ou horas.
• Você pode cortar o acesso de quem deixa de ser aluno, sem esperar que algo seja apagado.
• Seu servidor decide a cada reprodução se o aluno tem licença, pagamento em dia e conta válida.

O que você não ganha: a assinatura protege a entrega, não o conteúdo depois que chega ao player. Quem está autorizado durante esses minutos recebe o vídeo e, tecnicamente, pode gravá-lo enquanto assiste.

Segunda camada: marca d'água visível

A marca d'água visível (o nome ou o e-mail do aluno sobreposto à imagem) não impede a cópia: identifica. Seu valor é dissuasório e de rastreabilidade. Quem sabe que seu nome aparece na tela pensa duas vezes antes de publicar uma gravação, e se uma cópia surgir na internet você descobre de qual conta saiu e pode encerrá-la.

Isso importa porque funciona justamente onde as outras camadas falham. O verbete da Wikipédia em inglês sobre o analog hole registra que, em imagens digitais, a marca d'água pode ser uma medida eficaz.

Boas práticas para uma marca útil que não estrague a experiência:

• Legível, porém discreta, com opacidade moderada, num ponto que não cubra o que você está ensinando.
• Que mude de posição de tempos em tempos, para que um simples recorte não a remova.
• Que leve algo que realmente identifique, e não apenas "Confidencial": nome ou e-mail do aluno.
• Desenhada no player ou no próprio vídeo, e não como uma etiqueta que um usuário técnico apague com as ferramentas do navegador. Essa diferença importa: uma sobreposição em HTML é mais fácil de remover do que uma marca embutida nos quadros.

Se a marca está no player, um aluno determinado pode escondê-la; se está gravada no vídeo, o custo de processamento sobe. Para um curso pequeno, a sobreposição no player já muda o comportamento da imensa maioria das pessoas.

Terceira camada: DRM

O DRM criptografa o vídeo e entrega a chave de descriptografia somente a um player autorizado, normalmente dentro de um módulo protegido do dispositivo. Na web, a peça que torna isso possível é a especificação Encrypted Media Extensions do W3C, que define uma API comum para descobrir, selecionar e interagir com esses sistemas. Vale ler o que ela não faz: o próprio texto declara que não define nenhum sistema de proteção de conteúdo ou DRM, e deixa a autenticação e a autorização para quem constrói a página.

Os sistemas concretos são três:

• Widevine, do Google. Sua visão geral diz que segue a especificação EME e os padrões de criptografia comum, que exige um contrato de licença e que não cobra pelos seus produtos e serviços. Lista Chrome, Firefox, Edge e Android como compatíveis, e o Safari de desktop e o tvOS como não compatíveis. Cada pedido de licença deve passar por um proxy operado pelo provedor do conteúdo, e a licença fica individualizada para o dispositivo.
• FairPlay Streaming, da Apple, para HLS em plataformas Apple. Segundo a página da Apple, o SDK de servidor exige participação no Apple Developer Program, e as credenciais de produção só são aprovadas se a equipe oferece um serviço de streaming a consumidores; pedidos de terceiros que agem em nome de titulares de conteúdo não são aprovados.
• PlayReady, da Microsoft. Não consegui conferi-lo numa página oficial, então não dou detalhes aqui.

A consequência prática é que um DRM completo para todos os navegadores e dispositivos significa combinar vários sistemas, uma infraestrutura de licenças e condições contratuais. Por isso costuma ser contratado como serviço gerenciado, e por isso é sensato perguntar se o seu curso o justifica.

Além disso, a força da proteção depende do dispositivo. A documentação do Android explica que o plugin de DRM pode usar proteção apoiada em hardware, mas que a segurança depende de hardware, software e serviços trabalhando juntos, e que nem toda plataforma oferece todos os recursos. Por isso muitos serviços limitam a resolução em dispositivos com menos garantias.

Os limites reais: tela, HDCP e analog hole

Esta é a parte que os vendedores de proteção costumam contar pela metade.

Gravação de tela e câmera. O DRM impede a extração do arquivo criptografado, mas em algum momento o vídeo é exibido. A definição de analog hole resume bem: é uma vulnerabilidade percebida como fundamental e inevitável, porque, uma vez que o conteúdo se torna visível ou audível, essa saída pode ser recapturada digitalmente sem as proteções do original. Uma captura de tela ou uma foto da tela é sempre possível, ainda que com perda de qualidade.

HDCP. Protege o cabo entre dispositivos, não a tela. De acordo com o verbete da Wikipédia em inglês sobre o HDCP, ele criptografa o sinal entre um transmissor e um receptor autorizado em interfaces como HDMI ou DisplayPort. A mesma fonte registra que em 2010 foi divulgada uma chave mestra que tornou inútil a revogação, que foram demonstradas falhas em várias versões e que existem dispositivos que removem a proteção HDCP do sinal.

Resultado: um atacante com tempo e conhecimento consegue copiar quase qualquer vídeo que possa ser assistido. O que a proteção muda é o custo, o risco e a rastreabilidade de fazê-lo.

Que proporção faz sentido num curso pequeno

Pense em quem provavelmente vai copiar você. Num curso de movimento, de medicina ou de coaching, o cenário comum não é uma quadrilha de pirataria, e sim um aluno que compartilha a conta ou encaminha uma aula a um colega. A defesa proporcional para isso é:

1. Links assinados com validade curta. É barato, quase invisível para o aluno e elimina o link que circula. Faça a validade cobrir a duração da aula mais uma margem razoável.
2. Marca d'água com a identidade do aluno. É a medida mais eficaz contra a gravação de tela, porque transforma uma cópia anônima em uma cópia rastreável.
3. Limite de dispositivos e de reproduções simultâneas. Freia o compartilhamento de conta, que na prática é o vazamento mais comum.
4. Termos de uso claros. Uma licença pessoal por escrito, aceita na compra, dá base para agir se você detectar um vazamento.
5. Valor que não se copia. Correção personalizada, comunidade, sessões individuais e atualizações: nada disso cabe num arquivo de vídeo.

O DRM completo faz sentido quando o vídeo é o seu único produto, tem preço alto por unidade e há risco crível de revenda organizada. Se o seu curso não cumpre essas três condições, ele acrescenta complexidade, erros de reprodução em dispositivos antigos e custo, em troca de um benefício que o analog hole limita de qualquer forma.

Um último critério: meça o dano possível antes de escolher a defesa. Se um vazamento custaria algumas vendas, não vale piorar a experiência de quem paga para barrar quem nunca ia pagar.

O que a LearnSuite faz

Na LearnSuite, as aulas pagas são servidas com links assinados de curta duração, de modo que uma URL copiada expira. Você pode ativar, por curso, uma marca d'água com os dados do aluno sobre o vídeo, e cada licença admite até três dispositivos e uma única reprodução por vez. Não apresentamos isso como uma barreira intransponível: é uma combinação proporcional que dificulta o compartilhamento de conta e deixa rastro se alguém gravar.