Como criar uma senha forte (e nunca mais esquecer)

O que torna uma senha realmente forte

Uma senha forte não é aquela cheia de símbolos esquisitos que você anota num post-it. É aquela que um atacante levaria séculos para adivinhar, mesmo testando bilhões de combinações por segundo num computador potente. A força de uma senha se resume a uma única ideia: quantas tentativas alguém precisaria fazer, na pior das hipóteses, para chegar até ela por força bruta.

Isso muda a forma de pensar. A pergunta certa não é "essa senha parece complicada?", e sim "quão imprevisível ela é?". Uma senha como P@ssw0rd! parece sofisticada para um humano, mas é trivial para um software de quebra — ela está nos primeiros lugares de qualquer lista de senhas vazadas. Já girafa-azulejo-trovao-cebola parece bobinha, e mesmo assim é muito mais difícil de quebrar.

As diretrizes mais respeitadas hoje (como a publicação NIST SP 800-63B, do instituto de padrões dos EUA) resumem tudo em três pontos: priorize comprimento, não force regras artificiais de "pelo menos um símbolo maiúsculo", e nunca obrigue trocas periódicas sem motivo.

Comprimento vence complexidade

Cada caractere extra multiplica o número de possibilidades. Por isso, alongar a senha é muito mais eficiente do que enfeitá-la. Veja a diferença com números reais, considerando um ataque offline capaz de testar 1 trilhão de combinações por segundo (um cenário agressivo, típico de quem rouba um banco de dados com hash rápido):

Repare no salto: de 8 para 12 caracteres aleatórios, o tempo de quebra pula de 40 minutos para milhares de anos. Não foi a complexidade que mudou, foram quatro caracteres. Na prática, 12 caracteres é o piso razoável para contas comuns; para contas críticas (e-mail principal, banco, gerenciador de senhas), mire em 16 ou mais.

Entropia explicada sem matemática

Entropia é só uma forma de medir imprevisibilidade, em bits. Cada bit dobra o número de tentativas necessárias: 1 bit = 2 possibilidades, 10 bits = 1.024, 50 bits já são cerca de 1 quatrilhão de combinações.

O detalhe que confunde: a entropia só conta quando a senha é gerada de forma genuinamente aleatória. Se você escolhe a senha "na cabeça", o cálculo desaba, porque humanos seguem padrões (começar com maiúscula, terminar com "123" ou "!", trocar "a" por "@"). Os softwares de quebra conhecem todos esses truques e testam as variações leetspeak primeiro.

Por isso a entropia que importa é a da fonte. Uma senha de 12 caracteres sorteados por um computador tem ~79 bits reais. Uma senha de 12 caracteres que você inventou "criativamente" pode ter 25 bits efetivos — e cair em segundos. Se quiser ter uma noção da força do que você usa hoje, rode-a no Verificador de Força de Senha (a checagem roda no seu próprio navegador, sem enviar nada para servidor algum).

Os erros que deixam senhas fáceis de quebrar

A maioria das contas invadidas não é vítima de hacker gênio: cai por erros previsíveis. Os campeões:

• Reutilizar a mesma senha em vários sites. Quando um serviço vaza, os atacantes testam aquele e-mail e senha em dezenas de outros (técnica chamada credential stuffing). Uma senha reciclada vale tanto quanto o site mais fraco onde você a usou.
• Substituições óbvias. Trocar "o" por "0" e "a" por "@" não engana ninguém — os dicionários de ataque já incluem essas variações.
• Dados pessoais. Nome do pet, data de nascimento, placa do carro, time. Tudo isso está em redes sociais e é a primeira coisa que um ataque dirigido tenta.
• Sequências de teclado. qwerty, 123456, asdfgh. Estão no topo de toda lista de senhas vazadas.
• O "tempero" no final. Acrescentar um 1 ou ! ao fim de uma palavra comum agrega quase nenhuma proteção.

Se uma senha sua já apareceu num vazamento, a força dela deixou de importar — trocá-la por uma senha única e aleatória é o conserto.

Como gerar uma senha aleatória em segundos

A forma confiável de obter aleatoriedade real é deixar a máquina sortear. Um bom gerador usa a fonte criptográfica do sistema (no navegador, crypto.getRandomValues), não o Math.random comum, que é previsível.

Use o Gerador de Senha para criar uma sequência de 16 caracteres misturando maiúsculas, minúsculas, números e símbolos. O fluxo prático:

1. Defina o comprimento (16 para contas importantes; 20+ para a senha-mestra).
2. Mantenha todos os tipos de caractere ligados — cada categoria amplia o alfabeto e sobe a entropia.
3. Gere, copie e cole direto no cadastro do site.
4. Salve no seu gerenciador de senhas (mais sobre isso abaixo). Você não precisa decorar essa senha.

Quer conferir? Cole a senha gerada no Verificador de Força de Senha: senhas aleatórias de 16 caracteres costumam estourar a faixa máxima da barra de entropia.

Frases-senha: fortes e fáceis de lembrar

Senhas aleatórias são ótimas — mas impossíveis de memorizar. Para os poucos casos em que você precisa lembrar de cabeça (a senha-mestra do gerenciador, a senha do notebook), a melhor saída é a frase-senha: várias palavras aleatórias unidas.

O método clássico é o Diceware, da EFF: uma lista de 7.776 palavras onde cada palavra sorteada acrescenta cerca de 12,9 bits de entropia. Quatro palavras dão ~52 bits (fraco demais hoje); seis palavras dão ~77 bits, equivalente a uma senha aleatória forte, e ainda cabem na memória.

Um exemplo de seis palavras: vinagre cobre janela tropical mexer banho. Parece absurdo, e é exatamente por isso que funciona — não há padrão, não há dado pessoal, não há palavra de dicionário em ordem previsível. O segredo é que as palavras sejam sorteadas, não escolhidas por você (uma frase de música ou um ditado conhecido tem entropia baixíssima, porque já está em listas de ataque).

Gerenciadores de senha e a verificação em duas etapas (2FA/TOTP)

Você não precisa — nem deve — lembrar de dezenas de senhas. A solução madura é um gerenciador de senhas: um cofre criptografado que guarda uma senha única e aleatória para cada site. Você decora apenas uma frase-senha forte para abrir o cofre; ele preenche o resto. Isso elimina de uma vez a reutilização e a tentação de criar senhas fracas.

Mesmo a senha mais forte pode vazar num ataque ao próprio site. A defesa contra isso é a verificação em duas etapas (2FA): além da senha, o login exige um segundo fator que só você tem. Há três níveis, do mais fraco ao mais forte:

• SMS. Melhor que nada, mas vulnerável a troca de chip (SIM swap). Evite para contas críticas.
• Aplicativo autenticador (TOTP). O padrão recomendado. Gera um código de 6 dígitos que muda a cada 30 segundos.
• Chave de segurança física (FIDO2/WebAuthn). O mais forte — resistente a phishing, porque a chave verifica o domínio real do site.

Como funciona o TOTP por dentro

TOTP (Time-based One-Time Password, RFC 6238) combina um segredo compartilhado — entregue quando você escaneia o QR Code da configuração — com o horário atual, dividido em janelas de 30 segundos. O app aplica um HMAC sobre esses dois valores e extrai 6 dígitos. Como tanto o servidor quanto o app conhecem o segredo e o relógio, ambos chegam ao mesmo código sem trocar nada pela internet — por isso funciona offline e muda sozinho a cada meio minuto.

Para entender na prática (ou recuperar acesso quando você só tem o segredo "base32" anotado), o Gerador de Código TOTP (2FA) calcula o código de 6 dígitos a partir do segredo, exatamente como o aplicativo do celular faria.

Perguntas frequentes

Preciso trocar minhas senhas de tempos em tempos?

Não por obrigação de calendário. A orientação atual (NIST) é só trocar a senha quando houver indício de vazamento. Trocas forçadas a cada 90 dias costumam piorar a segurança, porque levam as pessoas a escolher senhas fracas e previsíveis (senha1, senha2...).

É seguro digitar minha senha num verificador de força online?

Depende de onde a checagem acontece. Ferramentas que processam tudo no seu próprio navegador (como a deste site) não enviam a senha para lugar nenhum. Ainda assim, o hábito mais seguro é testar uma senha representativa (mesmo comprimento e tipos), não a sua senha real.

Frase-senha ou senha aleatória: qual usar?

As duas, em contextos diferentes. Para tudo que o gerenciador guarda, use senhas aleatórias de 16+ caracteres — você não precisa lembrar. Para as pouquíssimas senhas que você digita de cabeça (a senha-mestra, o login do computador), use uma frase-senha de seis palavras sorteadas.

O 2FA me protege mesmo se descobrirem minha senha?

Sim, na maioria dos casos. Sem o segundo fator, a senha sozinha não abre a conta. A exceção é phishing avançado, que tenta capturar também o código TOTP em tempo real — por isso as chaves físicas FIDO2, que verificam o domínio, são consideradas o padrão-ouro para contas de alto valor.

Quantos caracteres é o ideal?

Para contas comuns, 12 a 16 caracteres aleatórios. Para a senha-mestra do gerenciador e o e-mail principal (que recupera todas as outras contas), 16 a 20, ou uma frase-senha de seis palavras. Acima disso, o elo fraco passa a ser a reutilização e a falta de 2FA, não o comprimento.