Como criar uma senha aleatória forte (e realmente lembrá-la)

A maioria das senhas não é quebrada por adivinhações brilhantes. Eles estão quebrados porque são curtos, reutilizados ou construídos a partir de padrões previsíveis. Uma senha aleatória forte remove totalmente o padrão.

Principais conclusões

• A aleatoriedade é mais importante do que regras de substituição inteligentes.
• O comprimento é a maneira mais fácil de adicionar força.
• Use uma senha exclusiva para cada conta.
• Armazene as senhas em um gerenciador de senhas, não na sua memória ou em uma planilha.
• Ative a autenticação de dois fatores sempre que estiver disponível.

Por que as senhas escolhidas por humanos falham

As pessoas são boas em encontrar padrões e ruins em serem imprevisíveis. As escolhas comuns agrupam-se em torno de nomes, datas, times esportivos, movimentos no teclado e o mesmo punhado de substituições: a torna-se @, o torna-se 0 e um ponto de exclamação aparece no final.

Os invasores conhecem esses hábitos. Eles usam dicionários de senhas vazadas, regras que expandem esses dicionários e hardware rápido. Uma senha como Summer2026! pode parecer complexo, mas segue um padrão esperado pelas ferramentas de quebra de senhas.

A geração aleatória evita o problema do padrão. Em vez de pedir a uma pessoa que invente a imprevisibilidade, um gerador extrai personagens de um conjunto definido usando uma fonte aleatória segura. O resultado pode ser mais difícil de memorizar, e é por isso que um gerenciador de senhas pertence ao fluxo de trabalho.

Entropia: o número que importa

A entropia mede a incerteza em bits. Se uma senha for escolhida uniformemente a partir de um conjunto de possibilidades, sua entropia será o logaritmo de base 2 do número de possibilidades. Um PIN de quatro dígitos possui cerca de 13 bits de entropia. Uma senha aleatória de 16 caracteres extraída de 94 caracteres imprimíveis tem muito mais.

Entropia não é o mesmo que comprimento. Uma senha de 20 caracteres feita a partir de uma frase previsível pode ter menos entropia real do que uma senha aleatória de 12 caracteres. O que importa é quantas escolhas igualmente prováveis ​​um invasor deve considerar.

Para a maioria das contas online, uma senha aleatória de pelo menos 16 caracteres é um padrão forte. Vinte ou mais caracteres é melhor quando o serviço permite. O limite exato depende do modelo de ameaça e dos limites de taxa do serviço, mas sequências aleatórias mais longas raramente são uma má ideia.

Comprimento versus complexidade

As políticas de senha geralmente exigem letras maiúsculas, minúsculas, números e símbolos. Essas regras podem ajudar, mas o comprimento funciona mais. Cada caractere aleatório adicional multiplica o espaço de pesquisa. Aumentar o conjunto de caracteres também ajuda, mas o efeito de adicionar um caractere geralmente é maior e mais fácil de raciocinar.

Uma abordagem prática é usar a senha mais longa que um serviço aceita, com uma combinação de tipos de caracteres. Se um site limitar o comprimento a 12 caracteres, use o comprimento total e inclua todos os tipos de caracteres permitidos. Se aceitar 64 caracteres, não pare em 12.

Personagens semelhantes e usabilidade

Caracteres como 0 e O, ou 1, le I, são fáceis de confundir quando uma senha é lida em voz alta ou digitada em uma tela. Muitos geradores oferecem uma opção de exclusão de sósias. Isso reduz um pouco o conjunto de caracteres, mas torna a entrada manual menos propensa a erros.

A usabilidade faz parte da segurança. Uma senha que é tão difícil de inserir que alguém a escreve em um post-it não ajuda. Use um gerenciador de senhas para copiar e colar e reserve senhas digitadas manualmente para os poucos lugares onde o preenchimento automático não está disponível.

Senhas para humanos, strings aleatórias para máquinas

Uma senha composta por várias palavras escolhidas aleatoriamente pode ser forte e memorável. Cinco a sete palavras de uma lista grande podem fornecer entropia substancial, especialmente quando as palavras são escolhidas uniformemente e a lista é grande.

Use uma senha mestra que você precisa lembrar. Use longas sequências aleatórias para contas individuais armazenadas no gerenciador de senhas. Isso combina a memória humana com a singularidade gerada por máquina.

Armazenamento, reutilização e autenticação de dois fatores

Uma senha forte é apenas uma parte da segurança da conta:

• Use um gerenciador de senhas confiável com uma senha mestra forte.
• Gere uma senha exclusiva para cada conta.
• Habilite a autenticação de dois fatores, de preferência uma chave de hardware ou um aplicativo autenticador.
• Mantenha os códigos de recuperação em algum lugar seguro e offline.
• Altere uma senha imediatamente se um serviço relatar uma violação.

A reutilização de uma senha transforma uma violação em muitas. Um gerenciador de senhas torna práticas as senhas exclusivas porque você só precisa lembrar a senha mestra.

Como funciona o gerador de senha deste site

O gerador usa crypto.getRandomValues() e é executado inteiramente no seu navegador. Ele combina os conjuntos de caracteres selecionados, desenha uniformemente e estima a entropia resultante. Não envia a senha para lugar nenhum.

Esse design reduz a exposição: não há registro de senha no servidor e nenhuma solicitação de rede contendo o segredo. Os riscos restantes são locais, como malware ou dispositivo comprometido. Mantenha seu sistema operacional e navegador atualizados e evite gerar senhas em dispositivos nos quais você não confia.

Resultado final

Uma senha forte é longa, aleatória, única e armazenada com segurança. As regras de complexidade são secundárias. Gere com uma fonte segura, salve o resultado em um gerenciador de senhas e adicione um segundo fator. Esses hábitos fazem mais pela sua segurança do que qualquer substituição inteligente de caráter.