Senhas seguras: como criar e guardar sem complicar
Uma senha forte não é a cheia de símbolos que você não consegue lembrar. É a longa, imprevisível e usada em um lugar só. Veja a conta por trás disso, o que as normas atuais recomendam e onde não guardar senhas.
Comprimento vence complexidade
Durante anos a regra foi "misture maiúscula, número e símbolo". O NIST, órgão de padrões dos Estados Unidos, mudou isso. Na SP 800-63B, quem verifica senhas não deve impor regras de composição (como exigir mistura de tipos de caractere) e não deve exigir troca periódica, só a troca quando há suspeita de comprometimento. Para senhas usadas sozinhas, o mínimo é 15 caracteres. Se a senha só é usada junto com outro fator, o mínimo cai para 8. O NIST também recomenda aceitar tamanhos de pelo menos 64 caracteres e permitir gerenciadores de senhas e colar o texto no campo.
O motivo é prático: regras de composição levam as pessoas a criar Senha@2026, que atende a regra e é fácil de adivinhar. O NCSC, centro de cibersegurança do Reino Unido, diz algo parecido: o conselho antigo de usar caracteres aleatórios, símbolos e números não ajuda, porque ninguém memoriza muitas senhas assim, e trocar letras por números parecidos (a por 4, o por 0) dá pouca proteção, pois os atacantes conhecem o truque.
A conta: entropia
Entropia mede, em bits, quantas tentativas um atacante precisaria fazer, no pior caso, para acertar uma senha criada de forma aleatória. A fórmula é:
bits = comprimento × log2(tamanho do conjunto de caracteres)
Cada bit a mais dobra o número de possibilidades. Os valores abaixo foram calculados com o código do gerador de senha do Me Ajuda Flow (conjunto de 74 caracteres: 26 minúsculas, 26 maiúsculas, 10 dígitos e 12 símbolos):
- 8 letras minúsculas (conjunto de 26): 37,6 bits, cerca de 2,1 × 1011 combinações. A ferramenta classifica como "fraca".
- 8 caracteres de qualquer tipo (74): 49,7 bits, cerca de 9 × 1014 combinações. "Razoável".
- 16 letras minúsculas (26): 75,2 bits.
- 16 caracteres de qualquer tipo (74): 99,4 bits.
Compare os dois primeiros e o terceiro. Dobrar o tamanho de 8 para 16 usando só minúsculas (75,2 bits) rende bem mais do que acrescentar maiúsculas, números e símbolos a uma senha de 8 (49,7 bits). Por isso o comprimento é a alavanca principal.
O que a fórmula não cobre
A conta só vale se a senha foi sorteada. Se ela foi inventada por você, como Flamengo2019!, a entropia real é muito menor do que o tamanho sugere, porque atacantes testam primeiro palavras comuns, datas e variações. A Cartilha do CERT.br diz o mesmo: serviços que classificam senhas podem chamar de "muito forte" uma senha que contém dados pessoais que o serviço desconhece, mas um atacante pode conhecer. Evite nomes, datas, placas, telefones e sequências de teclado como 1qaz2wsx.
Frase-senha: a opção memorizável
Quando você precisa lembrar a senha (a do gerenciador, a do computador), o NCSC recomenda combinar três palavras aleatórias, como no exemplo do próprio órgão, applenemobiro. Palavras escolhidas por você ("meu time + meu pet") não valem: têm de ser aleatórias.
A conta é a mesma, mas agora o "conjunto" é a lista de palavras. O gerador do Me Ajuda Flow usa uma lista de 256 palavras, ou seja, 8 bits por palavra:
- 4 palavras: 32 bits. A ferramenta classifica como "fraca". Com uma lista tão pequena, quatro palavras não bastam.
- 5 palavras: 40 bits.
- 6 palavras, com inicial maiúscula e um dígito no final, como
Campo-Banana-Feijao-Peixe-Cerveja-Carne-6(sorteada pelo gerador): 51,3 bits, "razoável".
Em uma lista maior a conta melhora. Se a lista tivesse 7.776 palavras, cada palavra valeria cerca de 12,9 bits (log2 de 7.776) e 6 palavras chegariam a perto de 77 bits. A lição: o tamanho da lista e o número de palavras importam, e use sempre mais palavras do que parece necessário.
Nunca reutilizar
Uma senha forte usada em dez sites tem a segurança do site mais fraco entre os dez. Se um deles vaza, os atacantes tentam o mesmo e-mail e a mesma senha nos outros serviços. A Cartilha do CERT.br resume o risco: basta ao atacante descobrir a senha de uma conta para acessar todas as outras em que ela foi reutilizada. A orientação é nunca reutilizar senhas de e-mail e de internet banking, e não misturar senha pessoal com profissional. Nota: a versão 4.0 da Cartilha é de 2012. Em outros pontos, como a troca periódica, o NIST hoje é mais atual.
Gerenciador de senhas
É a forma realista de ter uma senha única e longa para cada conta. O NCSC explica que o gerenciador guarda as credenciais em um cofre aberto por uma senha mestra, o que facilita usar senhas únicas e difíceis de adivinhar e reduz os "atalhos inseguros", como reutilizar senhas. O mesmo guia reconhece que gerenciadores podem ter vulnerabilidades e são alvo natural de ataque, e conclui que os benefícios compensam. A Cartilha cita 1Password e KeePass como exemplos e dá cuidados que continuam valendo:
- Faça uma senha mestra forte (use frase-senha) e não a esqueça: sem ela, as senhas guardadas ficam perdidas.
- Instale o programa a partir de uma fonte confiável e mantenha-o atualizado.
- Não dependa do gerenciador para entrar na conta de e-mail de recuperação, para ter uma saída se perder a senha mestra.
Salvar senhas no navegador sem chave mestra é arriscado, segundo a Cartilha, porque códigos maliciosos ou outra pessoa com acesso ao computador podem lê-las.
Verificação em duas etapas
Mesmo uma boa senha pode vazar por phishing ou por um site comprometido. A segunda etapa (um código, um aplicativo ou uma chave física) faz com que a senha, sozinha, não baste para entrar. O NIST trata isso como autenticação multifator e, como visto acima, aceita senhas mais curtas (mínimo de 8) quando ela é usada junto com outro fator. Isso não é motivo para encurtar a sua: ative a segunda etapa e mantenha a senha longa. Comece pelo e-mail, que serve para recuperar todas as outras contas, e por banco e serviços de trabalho. Os tipos de segundo fator diferem em força, e o detalhe está na SP 800-63B.
Onde não guardar senhas
Os erros mais comuns em equipes, que o detector de segredos do Me Ajuda Flow procura:
- Planilha compartilhada com uma coluna "senha". Quem abre o arquivo, ou quem recebe o link por engano, vê tudo. O histórico de versões mantém senhas antigas mesmo depois de apagadas da célula.
- Fluxos de automação com a senha digitada dentro de uma ação ou de uma URL (
https://usuario:senha@servidor). Qualquer pessoa com acesso de edição ao fluxo, ou a uma exportação dele, consegue lê-la. Use o cofre ou as variáveis seguras da plataforma e confirme na documentação dela como proteger entradas e saídas. - Código, repositório e chat. Uma senha enviada por mensagem ou commitada continua no histórico. Se isso aconteceu, troque a senha: apagar o texto não basta.
- Papel colado no monitor. O NCSC aceita anotar senhas em papel desde que fique em local seguro, e a Cartilha prefere o papel em gaveta trancada a uma senha fraca. Sob o monitor ou sobre a mesa, não.
Se precisar entregar uma senha a alguém, a Cartilha é direta sobre o caso pessoal: não forneça suas senhas a outra pessoa, em hipótese alguma. Em equipes, o caminho é uma conta individual por pessoa ou o compartilhamento dentro de um gerenciador corporativo.
Roteiro rápido
- Instale um gerenciador de senhas e proteja-o com uma frase-senha longa e aleatória.
- Para cada conta nova, deixe o gerenciador gerar uma senha de 16 caracteres ou mais, única.
- Ative a verificação em duas etapas, primeiro no e-mail, no banco e nos serviços de trabalho.
- Troque a senha quando houver suspeita de vazamento, não por calendário.
- Procure senhas esquecidas em planilhas, fluxos e código, e troque as que encontrar.
Para gerar senhas e frases com a conta da entropia na tela, use o gerador de senha do Me Ajuda Flow, que sorteia tudo no seu navegador. Para procurar senhas esquecidas em textos, fluxos e configurações, veja o detector de segredos. E, se o assunto for guardar uma impressão digital de um texto sem guardar o texto, veja a ferramenta de hash.