Como criar uma senha forte
A força de uma senha vem de ela ser longa e imprevisível. Cada caractere a mais multiplica o número de combinações que um atacante precisa testar, por isso o comprimento é a alavanca mais eficaz. Use pelo menos 12 caracteres nas contas do dia a dia e 16 ou mais no e‑mail, no banco e no seu gerenciador de senhas.
Misturar maiúsculas, minúsculas, números e símbolos amplia o conjunto de caracteres possíveis e aumenta a entropia de cada posição. A aleatoriedade importa tanto quanto: senhas escolhidas por pessoas seguem padrões — um nome e um ano, uma palavra com @ no lugar de a, ou uma sequência de teclado como qwerty. Um gerador baseado na Web Crypto API não tem esse viés.
- Evite palavras de dicionário, nomes, datas de nascimento e caracteres sequenciais.
- Não confie em substituições previsíveis como P@ssw0rd.
- Nunca reutilize uma senha em mais de um site.
Entropia e tempo de quebra
A entropia, medida em bits, expressa o quanto uma senha é difícil de adivinhar. É aproximadamente o comprimento multiplicado pelo logaritmo na base 2 do tamanho do conjunto de caracteres. Cada bit a mais dobra o esforço necessário para quebrá‑la por força bruta.
- Abaixo de 40 bits — fraca; pode cair em segundos a horas.
- Cerca de 60 bits — aceitável para contas de baixo valor.
- De 75 a 100 bits — forte; inviável por força bruta com o hardware atual.
- Acima de 100 bits — excelente; adequada para senhas mestras e chaves de criptografia.
O tempo de quebra exibido pelo verificador supõe cerca de 10 bilhões de tentativas por segundo, o que um conjunto moderno de GPUs alcança contra um hash rápido. Os números reais variam com o algoritmo de hash e os recursos do atacante, então trate o valor como um guia relativo, não uma garantia.
Como as senhas são comprometidas
Uma senha forte e única derrota os ataques que dependem de adivinhação — mas nem todo ataque funciona assim:
- Os ataques de força bruta e de máscara testam todas as combinações, ou todas as que correspondem a um padrão conhecido.
- Os ataques de dicionário percorrem listas de palavras e bancos de senhas expostas em vazamentos anteriores.
- O preenchimento de credenciais pega um login roubado de um site e o testa em todos os outros — por isso a reutilização é tão perigosa.
- O phishing engana você para digitar a senha em uma página de login falsa.
- O malware e os keyloggers capturam o que você digita, por mais forte que seja a senha.
Comprimento e aleatoriedade resolvem os dois primeiros. Para o resto, você precisa de autenticação em dois fatores e de uma boa dose de desconfiança diante de pedidos de login inesperados.
Boas práticas para gerenciar senhas
- Uma senha única por conta. Assim, um vazamento em um serviço não abre os outros.
- Use um gerenciador de senhas como Bitwarden, KeePassXC ou 1Password. Você memoriza uma frase mestra forte e ele guarda todo o resto.
- Ative a autenticação em dois fatores onde houver, preferindo um aplicativo autenticador ou uma chave de segurança física a códigos por SMS.
- Troque uma senha quando houver motivo — após um aviso de vazamento ou suspeita de comprometimento. As orientações atuais (NIST) desaconselham a troca periódica obrigatória, que leva a senhas mais fracas e com padrões.
- Nunca compartilhe uma senha por e‑mail ou chat, e nunca a guarde em um arquivo de texto simples ou planilha.
Frases-senha e sequências aleatórias
Uma frase‑senha são várias palavras sem relação escolhidas ao acaso, como violino porto níquel deriva. Com quatro a seis palavras realmente aleatórias, é muito forte e bem mais fácil de digitar e lembrar do que uma sequência aleatória. Uma senha de caracteres aleatórios concentra mais entropia por caractere e é a melhor opção quando um gerenciador a preenche por você e você nunca a digita.
Uma divisão prática: uma frase‑senha longa para a única senha mestra que você precisa lembrar e sequências aleatórias deste gerador para cada conta individual.
Este gerador é privado e seguro?
Tudo acontece no seu navegador. A página não tem servidor: as senhas são construídas localmente em JavaScript e nunca enviadas pela rede. A aleatoriedade vem de crypto.getRandomValues(), o gerador criptograficamente seguro do navegador, não do previsível Math.random().
Não há cookies, análise nem registros. Você pode abrir a página, desconectar da internet, e ela continua funcionando — e pode confirmar que nada é transmitido observando a aba Rede nas ferramentas de desenvolvedor do navegador.
Leitura complementar
- NIST SP 800-63B — Digital Identity Guidelines
- OWASP — Password Storage Cheat Sheet
- Have I Been Pwned — check for breached accounts
Gerou uma senha forte? Você precisa de um lugar seguro para guardá-la →
Termos relacionados: Entropia · Força bruta · Frase-senha · Gerenciador de senhas · CSPRNG