Como Criar uma Senha Forte e Descobrir se Ela Vazou
A maioria dos conselhos sobre senhas está desatualizada. Símbolos obrigatórios e trocas mensais deixaram as senhas mais difíceis de lembrar sem torná-las muito mais seguras. As recomendações atuais se concentram em três pontos: tamanho, exclusividade e verificação contra senhas vazadas. Veja como aplicar isso.
O que torna uma senha forte
Atacantes não adivinham senhas uma a uma à mão. Eles usam programas que testam bilhões de combinações, começando por senhas vazadas, palavras de dicionário e padrões comuns como Summer2026!. Uma senha forte é aquela que um programa não consegue prever: longa e aleatória.
O tamanho importa mais que a complexidade. Cada caractere aleatório extra multiplica as possibilidades, enquanto trocar a por @ é um dos primeiros truques que os programas de quebra testam.
Gere, não invente
As pessoas são ruins em aleatoriedade: escolhemos nomes, datas e padrões do teclado. Use o Gerador de Senhas. Configurações sensatas:
- 16+ caracteres aleatórios para qualquer coisa guardada em um gerenciador de senhas.
- Uma frase-senha de 4 a 6 palavras aleatórias (por exemplo
staple-orbit-canyon-velvet-mint) para as poucas senhas que você precisa digitar ou lembrar, como o login do computador ou a senha mestra do gerenciador.
As palavras devem ser escolhidas aleatoriamente pela ferramenta. Uma frase que você mesmo inventou, como um trecho de música ou uma citação, é muito mais fácil de adivinhar.
Nunca reutilize uma senha
A reutilização é o maior risco real. Quando algum site é invadido, os atacantes testam os pares de e-mail e senha vazados em sites de e-mail, bancos e lojas, uma técnica chamada credential stuffing. Uma senha exclusiva para cada conta faz com que um vazamento continue sendo apenas um vazamento.
Ninguém consegue lembrar 100 senhas diferentes, e é para isso que existem os gerenciadores de senhas. O gerenciador embutido no seu navegador ou um dedicado funcionam; o que importa é que você use um.
Verifique se uma senha vazou
O Verificador de Vazamento de Senhas informa se uma senha aparece em coleções de vazamentos conhecidos, sem enviar a senha para lugar nenhum. Ele gera o hash da senha no seu navegador com SHA-1 e envia ao serviço Have I Been Pwned apenas os primeiros cinco caracteres do hash, que devolve todos os hashes vazados começando com esses caracteres. A comparação é feita no seu dispositivo. (Você pode ver como é um hash com o Gerador de Hash.)
Se uma senha aparecer, troque-a em todos os lugares onde você a usou. Mesmo que ela pareça forte, agora ela está nas listas que os atacantes testam primeiro.
O que dizem as recomendações atuais
As diretrizes de identidade digital do National Institute of Standards and Technology dos EUA (NIST SP 800-63B) recomendam que os serviços:
- Permitam senhas longas (com pelo menos 64 caracteres) e todos os caracteres imprimíveis, incluindo espaços.
- Verifiquem novas senhas contra listas de senhas vazadas e comuns.
- Não imponham regras arbitrárias de composição nem trocas periódicas. Troque a senha quando houver indícios de comprometimento.
Adicione um segundo fator
Até uma senha perfeita pode ser alvo de phishing. Ative a autenticação em dois fatores para o e-mail, o banco e tudo o que possa redefinir outras contas. Um app autenticador ou uma passkey é mais forte que códigos por SMS, mas qualquer segundo fator é muito melhor que nenhum.
Use o Verificador de Força de Senha para ver por quanto tempo uma senha resistiria a tentativas de adivinhação e por quê. Ele sinaliza palavras de dicionário, datas e padrões.
