Senhas seguras: o que realmente importa e o que é mito

O conselho que mudou

Durante anos a orientação padrão foi: use pelo menos 8 caracteres, misture maiúsculas, minúsculas, números e símbolos, e troque a cada 90 dias.

Esse conselho envelheceu mal. O próprio autor das recomendações originais do NIST — o instituto americano de padrões — declarou publicamente que se arrependeu delas. As diretrizes atuais mudaram em dois pontos importantes: tamanho passou a valer mais que complexidade, e troca periódica obrigatória passou a ser desaconselhada.

O motivo é comportamental. Regras de complexidade levam as pessoas a criar variações previsíveis, e troca obrigatória piora isso: Senha1, Senha2, Senha3.

O que realmente protege

Tamanho. Cada caractere a mais multiplica o espaço de busca. Uma senha de 16 caracteres é astronomicamente mais difícil de quebrar por força bruta que uma de 8, mesmo que a de 8 tenha símbolos exóticos.

Ser única por serviço. Esta é, na prática, a proteção mais importante. Sites vazam com frequência, e quando isso acontece os atacantes testam automaticamente o mesmo par de e-mail e senha em dezenas de outros serviços. É o ataque de credential stuffing, e ele funciona porque a maioria das pessoas repete senha. Uma senha única transforma um vazamento em problema isolado.

Ser imprevisível. Aleatória de verdade, não "aleatória para você". Nome do pet com o ano de nascimento não é aleatório.

Verificação em duas etapas. Protege mesmo se a senha vazar. Para contas importantes, vale mais que qualquer melhoria na senha.

O que não ajuda

Trocar letras por números. "S3nh@F0rt3" está em todo dicionário de ataque há duas décadas. Substituições previsíveis não acrescentam segurança mensurável, mas atrapalham a memorização.

Trocar de senha por rotina. Sem indício de vazamento, a troca periódica obrigatória tende a piorar as senhas.

Regras de complexidade rígidas. Exigir "pelo menos um símbolo" empurra todo mundo para o mesmo padrão: a primeira letra maiúscula, um número no fim e um "!" depois. Isso é previsível.

Dicas de segurança. "Nome do primeiro pet" costuma estar no Instagram da pessoa.

Quanto tempo leva para quebrar

Estimativas dependem do hardware e do algoritmo usado pelo site, então servem para comparação relativa, não como promessa. Considerando um atacante com hardware dedicado atacando um hash rápido:

O salto entre 8 e 12 é o mais relevante. É por isso que a recomendação prática hoje é 16 caracteres para contas importantes.

Vale notar: essa tabela vale para ataque de força bruta. Se a sua senha está numa lista de senhas vazadas, o tamanho não importa — ela é testada em primeiro lugar.

Frase-senha funciona?

Sim, com uma condição: precisa ser realmente aleatória. Quatro ou cinco palavras sorteadas ao acaso formam uma senha longa, forte e memorizável — é a base do método conhecido como Diceware.

O que não funciona é frase de música, verso de poema, ditado popular ou fala de filme. Essas estão em dicionários de ataque, e o tamanho não compensa a previsibilidade.

Gerenciador de senhas

Se você tem 80 contas e cada uma precisa de senha única e longa, memorizar está fora de questão. O gerenciador resolve isso: você memoriza uma senha forte, e ele guarda o resto.

As objeções comuns e o que responder a elas:

"E se o gerenciador vazar?" Os gerenciadores sérios usam criptografia de conhecimento zero: o serviço guarda apenas dados cifrados e não tem a sua chave. Mesmo num vazamento do servidor, o conteúdo não é legível sem a sua senha mestra.

"E se eu esquecer a senha mestra?" Esse é o risco real. Anote a senha mestra em papel e guarde num lugar físico seguro — é o único caso em que anotar senha faz sentido.

"Prefiro anotar num caderno." Funciona melhor que repetir a mesma senha em todo lugar. Mas não sincroniza, não preenche sozinho e não avisa sobre vazamento.

Gerando senhas na prática

O gerador de senhas deste site cria senhas usando a fonte de aleatoriedade criptográfica do navegador — diferente da função aleatória comum do JavaScript, que não foi projetada para segurança e pode ter seus valores previstos.

Recomendações práticas por tipo de conta:

• E-mail principal: o maior tamanho que o serviço aceitar, com todos os tipos de caractere. É a conta que recupera todas as outras.
• Banco: muitos limitam tamanho e proíbem símbolos. Compense com mais caracteres.
• Wi-Fi: só letras e números, 20 caracteres. Símbolos raros são um pesadelo para digitar em TV e console.
• Contas descartáveis: 12 caracteres bastam.

A geração acontece no seu navegador e nada é transmitido: feche a aba e a senha desaparece.

Sobre como os sites guardam sua senha

Vale saber o que acontece do outro lado. Um site bem feito nunca guarda sua senha em texto puro. Ele guarda um hash — resultado de uma função de mão única.

Mas nem todo hash serve. SHA-256, por exemplo, foi projetado para ser rápido, e velocidade é exatamente o que ajuda o atacante. Para senha, o correto é usar algoritmos propositalmente lentos, como bcrypt, scrypt ou Argon2, combinados com salt — um valor aleatório por usuário que impede o uso de tabelas pré-calculadas.

Se quiser entender como funciona uma função de hash na prática, o gerador de hash mostra o resultado de SHA-1, SHA-256, SHA-384 e SHA-512 e deixa visível o efeito avalanche: mude uma letra e o resultado inteiro muda.

Um plano realista

Se tudo isso parece muito, comece pelo que dá mais retorno:

1. Ative verificação em duas etapas no e-mail principal
2. Troque a senha do e-mail principal por uma longa e única
3. Instale um gerenciador de senhas
4. Troque as senhas repetidas das contas que envolvem dinheiro
5. Vá migrando o resto conforme usar cada serviço

Fazer os dois primeiros itens já elimina a maior parte do risco prático.