O que deixa uma senha fraca?
Os atacantes não adivinham senhas uma a uma à mão. Eles usam listas com bilhões de senhas vazadas e regras que imitam como as pessoas criam senhas. Uma senha é fraca se aparece cedo nesse processo, mesmo que pareça complicada. Os problemas mais comuns:
- É curta demais. Cada caractere a mais multiplica o trabalho do atacante. Menos de 12 caracteres é arriscado para qualquer coisa importante.
- É uma palavra, nome ou data, ou uma pequena variação, como
Verao2024!ouMax1987. - Segue um padrão: sequências do teclado (
qwerty,1qaz2wsx), repetições (aaaa) ou sequências (abcd,4321). - Já vazou. Assim que uma senha aparece em um vazamento, ela entra em todas as listas de ataque, por mais forte que parecesse.
- É reutilizada. Uma senha forte usada em vários sites só é tão segura quanto o mais fraco deles.
Como deixá-la mais forte
- Aumente o tamanho. Tamanho vence complexidade. 16 caracteres aleatórios, ou 5–6 palavras aleatórias, ficam fora do alcance de qualquer ataque realista.
- Deixe um computador escolher. Pessoas são previsíveis; um gerador de senhas, não. Para senhas que você precisa lembrar, use uma frase-senha.
- Use uma senha diferente em cada lugar e guarde todas em um gerenciador de senhas.
- Ative a verificação em duas etapas para que uma senha vazada não baste para entrar na sua conta.
Quer saber mais?
Leia (em inglês) como as senhas são quebradas para ver o que os atacantes testam primeiro, ou senha ou frase-senha para escolher o tipo certo para cada conta.
Mais ferramentas grátis
É seguro digitar minha senha aqui?
Sim. A verificação acontece inteiramente no seu navegador; sua senha nunca é enviada nem salva. A verificação opcional de vazamentos envia só os 5 primeiros caracteres de um hash SHA-1, que não permite recuperar a senha. Mesmo assim, o mais prudente é testar uma senha parecida com a sua, e não a verdadeira.
Como a força é calculada?
Usamos o zxcvbn, o estimador de código aberto criado pelo Dropbox. Em vez de só contar tipos de caracteres, ele procura os padrões que os atacantes testam primeiro: senhas comuns, palavras, nomes, datas, sequências do teclado como qwerty, repetições e sequências. Depois estima quantas tentativas um atacante precisaria.
O que significam os dois tempos?
O tempo on-line considera alguém tentando pela página de login de um site, normalmente limitado a umas 100 tentativas por hora. O tempo off-line considera que o site foi invadido e o banco de senhas vazou, então os atacantes podem testar 100 bilhões de tentativas por segundo no próprio hardware. Sua senha precisa sobreviver a esse caso.
Como funciona a verificação de vazamentos?
Ela usa o serviço gratuito Pwned Passwords, do Have I Been Pwned, com centenas de milhões de senhas de vazamentos reais. Seu navegador envia os 5 primeiros caracteres do hash SHA-1, recebe todos os hashes vazados que começam igual e compara localmente. O serviço nunca sabe qual senha você verificou.
Minha senha deu "Forte". Basta?
Para a maioria das contas, sim, desde que você não a use em nenhum outro lugar. Para e-mail, banco e gerenciador de senhas, mire em "Muito forte": uma senha aleatória de 16 caracteres ou mais, ou uma frase-senha de 6 palavras aleatórias.
Por que S3nh@F0rte! vai tão mal?
Porque os atacantes conhecem o truque. Trocar letras por símbolos parecidos, colocar maiúscula no começo e um número ou "!" no fim é a primeira coisa que os programas de ataque testam. Força de verdade vem do tamanho e do acaso, exatamente o que o nosso gerador de senhas entrega.