Uma senha forte depende mais do tamanho e da aleatoriedade do que de símbolos escolhidos por quem a cria.
Durante anos, quem criava uma conta ouviu a mesma receita: letra maiúscula, número e símbolo. O resultado foram senhas como “Senha@123”, que cumprem as regras e caem em segundos. Para criar combinações realmente imprevisíveis, um gerador de senhas fortes sorteia os caracteres no navegador, sem guardar nada.
Entender o que torna uma senha forte ajuda a escolher melhor, e a ciência da segurança digital mudou de opinião sobre vários pontos nos últimos anos. O tamanho passou a valer mais do que a complexidade aparente.
O que torna uma senha forte de verdade
Uma senha é forte quando é difícil de adivinhar, mesmo por um programa que testa bilhões de combinações por segundo. A medida técnica é a entropia, calculada em bits: quanto maior, mais tentativas o invasor precisa fazer. Cada bit a mais dobra o trabalho necessário.
A entropia depende de dois fatores: o tamanho da senha e o número de símbolos possíveis em cada posição. Uma senha de oito letras minúsculas tem cerca de 38 bits. Uma de 12 caracteres escolhidos entre letras, números e símbolos chega a aproximadamente 79 bits. E uma de 16 caracteres do mesmo conjunto passa de 100 bits.
Mas esses números só valem se a senha for aleatória. Quando o usuário escolhe, os padrões previsíveis derrubam a entropia real, e uma senha longa pode ser fraca se for uma frase conhecida.
Tamanho ou símbolos: o que pesa mais
Adicionar um símbolo aumenta o conjunto de caracteres possíveis, mas adicionar um caractere ao tamanho multiplica o conjunto inteiro. Por isso, uma senha de 16 letras minúsculas aleatórias, com cerca de 75 bits, é mais forte do que uma de 8 caracteres com letras, números e símbolos, de cerca de 52 bits.
Essa é a lógica por trás das recomendações atuais. O guia de identidade digital do instituto de padrões dos Estados Unidos, o NIST, orienta a priorizar o comprimento, permitir senhas longas e dispensar regras obrigatórias de composição, porque elas levam a escolhas previsíveis.
O mesmo guia desaconselha a troca periódica de senhas sem motivo. Quando a troca é obrigatória, as pessoas mudam apenas um número no final, e o ganho de segurança é pequeno.
Por que humanos criam senhas fracas
Quem inventa senha tende a usar nomes, datas e palavras do dicionário, com trocas óbvias de letra por número, como “a” por “4” ou “o” por “0”. Os programas de quebra conhecem todas essas substituições e as testam primeiro. Também testam sequências do teclado e senhas vazadas em ataques anteriores.
O erro mais perigoso é o da reutilização. Quando um serviço vaza dados, os invasores testam os mesmos e-mails e senhas em outros sites, uma técnica chamada preenchimento de credenciais. Quem usa a mesma senha em vários lugares compromete todas as contas de uma vez.
Por isso, a regra de ouro é: uma senha diferente para cada serviço, e sempre aleatória.
Como um gerador cria uma senha forte
Um gerador escolhe cada caractere por sorteio, a partir de um conjunto definido pelo usuário: maiúsculas, minúsculas, números e símbolos. Quanto maior o comprimento, maior a entropia. O padrão de 16 caracteres, usado em várias ferramentas, já oferece margem confortável para a maior parte das contas.
Um ponto de privacidade importa: a geração deve acontecer no navegador, sem envio da senha a um servidor. Quando a ferramenta informa que o processamento é local, a senha nunca sai do aparelho de quem a gera.
Depois de gerar, é preciso guardar. E é aí que entra o gerenciador de senhas.
Gerenciadores, frases-senha e segundo fator
Ninguém consegue decorar dezenas de senhas aleatórias de 16 caracteres, e não precisa. Um gerenciador de senhas guarda todas em um cofre protegido por uma única senha mestra, que deve ser longa e memorável. Para a senha mestra, uma frase-senha, formada por quatro ou cinco palavras sem relação entre si, é uma boa escolha.
O segundo fator de autenticação é a camada extra de proteção. Mesmo que alguém consiga a senha, precisa de um código gerado no celular ou de uma chave física. Para e-mail, banco e redes sociais, vale ativar o recurso sempre que o serviço oferecer.
Com um gerenciador e o segundo fator, a segurança deixa de depender da memória do usuário.
Senha forte no celular, no banco e no trabalho
O celular concentra hoje e-mail, bancos, redes sociais e fotos, e por isso merece a senha mais cuidadosa da casa. Um código numérico de seis dígitos tem apenas um milhão de combinações, e um de oito dígitos, cem milhões. Já uma senha alfanumérica de 12 caracteres tem trilhões de trilhões de possibilidades. Quando o aparelho permite, vale optar pelo código longo, e não pelo curto.
No banco, as regras são específicas: senha de aplicativo, senha de cartão e token funcionam em camadas, e nunca devem ser iguais entre si. Instituições não pedem senha por telefone, e-mail ou mensagem. Qualquer contato com esse pedido é tentativa de golpe.
No trabalho, o ideal é seguir a política da empresa, que costuma exigir gerenciador de senhas corporativo e segundo fator. Compartilhar senhas por mensagem, mesmo entre colegas, é um hábito de risco, e há ferramentas próprias para compartilhar acesso com segurança.
Como saber se uma senha foi exposta
Grandes vazamentos de dados acontecem com frequência, e as senhas expostas circulam em listas usadas por criminosos. Existem serviços gratuitos que permitem consultar se um endereço de e-mail aparece em vazamentos conhecidos, sem revelar a senha. Muitos gerenciadores de senhas também avisam quando uma credencial foi exposta.
Ao receber um aviso, a ação é imediata: troque a senha do serviço afetado, troque também em qualquer outro lugar em que ela tenha sido usada, e ative o segundo fator. Se a conta tiver dados financeiros, acompanhe os extratos.
Prevenir é mais simples do que consertar. Uma senha única para cada serviço limita o estrago de qualquer vazamento a uma só conta.
Quando a senha não basta: sinais de conta invadida
Mesmo com boas senhas, contas podem ser invadidas por golpes de engenharia social. Os sinais mais comuns são mensagens enviadas que você não escreveu, e-mails de redefinição de senha que você não pediu, avisos de login em lugares desconhecidos e alterações em dados de contato.
Se algo assim aparecer, troque a senha em um aparelho confiável, encerre as sessões abertas e revise as configurações de recuperação, como e-mails e telefones cadastrados. Em seguida, avise os contatos, porque o invasor pode usar a conta para aplicar golpes em amigos e parentes.
Manter o sistema do aparelho atualizado, instalar aplicativos apenas das lojas oficiais e desconfiar de links recebidos por mensagem completa o conjunto de cuidados.
Erros comuns e como evitá-los
Não envie senhas por mensagem, nem as anote em arquivos sem proteção. Não use dados pessoais, como data de nascimento ou nome de pet. Não confie em sites que enviam a senha por e-mail em texto aberto, e desconfie de pedidos de senha por telefone ou mensagem, que são golpes frequentes.
Ao receber o aviso de que uma senha vazou, troque-a imediatamente e verifique as demais contas em que ela foi usada. Serviços de monitoramento de vazamentos informam se o seu e-mail aparece em bases conhecidas.
Em resumo, uma senha forte é longa, aleatória e única. O gerador cuida das duas primeiras características, e o gerenciador cuida da terceira.
