Como usar: Verificador de força da senha
- Digite ou cole uma senha. Ela é analisada na hora no seu navegador e nunca é enviada para o nosso servidor.
- Confira a resistência, o número de combinações possíveis e o tempo estimado para ser quebrado em quatro cenários de ataque.
- Dá uma olhada na lista de pontos fracos — palavras comuns, sequências como “1234” ou “qwerty”, anos e padrões previsíveis.
- Se quiser, clica em “Verificar vazamentos de dados” para ver se a senha aparece no banco de dados de senhas vazadas do Have I Been Pwned.
Como se mede a força de uma senha
A força depende de quantas tentativas um invasor precisa fazer. Para uma senha verdadeiramente aleatória, isso equivale ao tamanho do conjunto de caracteres elevado à potência do comprimento: 8 letras minúsculas aleatórias resultam em 26⁸ ≈ 209 bilhões de possibilidades, enquanto 16 caracteres escolhidos entre todos os 95 caracteres imprimíveis resultam em cerca de 4,4 × 10³¹. Expresso em bits de entropia, cada bit a mais dobra o trabalho.
Mas senhas de verdade não são aleatórias. Ferramentas de quebra de senha tentam primeiro senhas vazadas, palavras do dicionário, nomes, sequências de teclas e padrões do tipo “palavra + ano + !”. É por isso que o verificador reduz a estimativa para palavras comuns, substituições como p@ssw0rd, repetições e sequências — uma senha longa criada a partir de um padrão previsível pode ser mais fraca do que uma senha aleatória mais curta.
Cenários de ataque
| Cenário | Tentativas por segundo | Quando se aplica |
|---|---|---|
| Online, com restrição de tentativas | ~100 por hora | Ao fazer login em um site com limites de taxa ou bloqueios |
| Online, sem restrições | ~10 | Formulários de login ou APIs mal protegidos |
| Offline, hash lento | ~10.000 | Um banco de dados roubado com hash gerado por bcrypt, scrypt ou Argon2 |
| Hash offline e rápido | ~100 bilhões | Um banco de dados roubado com hashes MD5/SHA-1 quebrados em GPUs |
A verificação de violação é segura?
Sim. Ela usa a API de k-anonimato do Have I Been Pwned: seu navegador faz o hash da senha com SHA-1 e envia apenas os cinco primeiros caracteres do hash. O serviço retorna todos os hashes vazados que começam com esses caracteres, e seu navegador compara-os localmente. Nem a gente nem o Have I Been Pwned conseguem ver a senha ou o hash completo.
O que realmente torna as senhas fortes
- O comprimento é mais importante que a complexidade. Tente usar pelo menos 16 caracteres aleatórios ou uma frase-senha com 5 a 6 palavras aleatórias.
- Nunca reutilize senhas. Senhas vazadas são testadas em outros sites (credential stuffing) — a reutilização é o maior risco na prática.
- Use um gerenciador de senhas e ative a autenticação de dois fatores para contas importantes.
Crie senhas e frases-senha fortes com o Gerador Avançado de Senhas e calcule as possibilidades para códigos e PINs com a Calculadora de Possibilidades e Combinações.
Também pesquisado como: verificador de segurança de senha, quão segura é a minha senha?, verificador de senha, tempo para quebrar a senha, entropia da senha, minha senha foi comprometida?, opções de senha, testar a segurança da senha.
Ferramentas que combinam com: Verificador de força da senha
- Hash Generator — Compute MD5 and SHA hashes of any text or file instantly, create HMAC signatures, and paste an expected checksum to verify a download.
- Gerador de números aleatórios — Gere números aleatórios (com ou sem repetições), escolha vencedores de uma lista, embaralhe nomes, divida grupos em equipes, jogue moedas e lance dados — usando a geração de números aleatórios criptograficamente segura do seu navegador.
- UUID Generator — Create cryptographically random UUIDs (v4) or sortable, timestamp-based UUIDs (v7) in bulk, then copy or download them.
- Markdown Table Generator — Build a table in a spreadsheet-like editor — or paste cells from Excel, Google Sheets or CSV — set column alignment and get a neatly aligned Markdown table (GitHub-flavored) or clean HTML.