Qual deve ser o tamanho de uma senha? A conta explicada

Regras de senha adoram símbolos: uma maiúscula, um número, um caractere especial. Os atacantes se importam muito mais com outra coisa: quantas senhas possíveis eles teriam de testar.

Cada caractere multiplica o trabalho

Com letras minúsculas e maiúsculas, números e símbolos, o gerador da 4Dev escolhe entre 88 caracteres possíveis. Cada caractere a mais multiplica por 88 o número de combinações. Aumentar o tamanho faz a busca crescer de forma exponencial; pôr um símbolo numa senha curta quase não ajuda.

8 caracteres   88^8  ≈ 3,6 × 10^15  ≈ 52 bits
12 caracteres  88^12 ≈ 2,2 × 10^23  ≈ 78 bits
16 caracteres  88^16 ≈ 1,3 × 10^31  ≈ 103 bits

O que isso significa na prática

Quando vaza um banco de dados de hashes de senhas, os atacantes testam palpites offline com placas de vídeo, bilhões por segundo contra hashes rápidos. Uma senha aleatória de 8 caracteres pode cair em horas ou dias. Com 12, levaria dezenas de milhares de anos, e 16 caracteres ficam fora do alcance de qualquer ataque realista.

A palavra-chave é aleatória

Esses números só valem para senhas realmente aleatórias. Verao2024! tem 10 caracteres, mas está entre os primeiros palpites de um atacante porque segue um padrão humano. Palavras, nomes, datas e sequências do teclado são testados muito antes de sequências aleatórias.

Conselhos práticos

Use pelo menos 12 caracteres, e 16 ou mais para e-mail, banco e tudo o que possa redefinir outras contas. Uma senha diferente para cada site, guardada num gerenciador de senhas, e verificação em duas etapas sempre que possível. Se um site recusar símbolos, acrescente alguns caracteres a mais.

Frases-senha: longas e fáceis de lembrar

Para as poucas senhas que você precisa digitar ou lembrar, como a senha mestra do seu gerenciador de senhas, uma frase de palavras aleatórias funciona muito bem. Com a lista Diceware de 7.776 palavras, cada palavra escolhida ao acaso acrescenta cerca de 12,9 bits.

5 palavras aleatórias  7776^5 ≈ 2,8 × 10^19  ≈ 64 bits
6 palavras aleatórias  7776^6 ≈ 2,2 × 10^23  ≈ 77 bits

Seis palavras aleatórias são mais ou menos tão fortes quanto uma senha aleatória de 12 caracteres e muito mais fáceis de digitar. As palavras precisam ser escolhidas ao acaso, com dados ou um gerador: uma citação, um trecho de música ou uma frase inventada por você são bem mais fracos do que parecem.

Regras que não ajudam

As diretrizes do NIST (SP 800-63B) desaconselham obrigar a troca de senha em intervalos fixos e regras de composição como "um número e um símbolo". As duas levam as pessoas a padrões previsíveis como Password1! e Password2!. Regras melhores: permitir senhas longas, permitir colar para que os gerenciadores de senhas funcionem e verificar senhas novas em listas de senhas expostas em vazamentos conhecidos.

Quando um site que você usa é invadido

Troque essa senha na hora, e também em qualquer outro lugar onde você a reutilizou. Os atacantes testam pares de e-mail e senha vazados em outros sites em poucas horas, uma técnica chamada credential stuffing. Uma senha diferente para cada site transforma um vazamento em um único problema, e não em vários.

Gere uma com segurança

O gerador de senhas da 4Dev cria senhas no seu navegador com crypto.getRandomValues, o gerador aleatório criptograficamente seguro do navegador. Escolha de 4 a 128 caracteres e quais grupos incluir; nada é enviado a um servidor nem guardado.

Abrir o gerador de senhas