Como Criar uma Senha Forte que Você Não Vai Esquecer
A senha que você consegue lembrar de cor e a senha que é realmente forte não precisam ser duas coisas diferentes.
Boa parte das dicas de senha por aí otimiza a coisa errada. Ensinam você a colar uma letra maiúscula, um número e um símbolo em qualquer lugar e chamar isso de seguro — e foi assim que o mundo acabou com milhões de contas protegidas por "Brasil2024!". Mas forte e fácil de lembrar não são opostos. Você só precisa de um método que trate os dois como o mesmo problema.
Por que senhas "complexas" continuam falhando
Uma senha como S3nh@F0rt3& parece intimidadora, mas ela falha de um jeito bem chato e previsível: ninguém consegue guardar isso na cabeça. Aí ela vai parar num post-it colado no monitor, salva num navegador que você esquece que está logado num computador compartilhado, ou reutilizada em uma dúzia de contas porque criar uma nova dessas toda vez dá trabalho. A senha em si até resiste a uma tentativa de força bruta, mas os hábitos que ela força você a ter, não.
Tem também um problema mecânico. Trocar letra por símbolo — a por @, o por 0 — parece esperto, mas é um padrão, e as ferramentas de quebra de senha usadas por atacantes já têm esse padrão mapeado há anos. Uma senha curta disfarçada com essas trocas costuma ser quase tão fraca quanto a mesma senha em letras normais. As regras de complexidade nasceram para dificultar o chute; na prática, elas só dificultam digitar certo e facilitam esquecer.
O método da frase-senha (e quando usar caracteres aleatórios em vez disso)
A solução que se provou eficiente é enganosamente simples: junte várias palavras aleatórias e sem relação entre si. Algo como abacaxi-janela-trovão-bicicleta é mais longo do que quase qualquer senha que você digitaria manualmente, fácil de falar em voz alta, fácil de lembrar uma semana depois e — como as palavras são aleatórias e não tiradas de uma frase que você gosta — genuinamente difícil de adivinhar. Quatro ou cinco palavras é uma meta sólida para qualquer coisa que você vai digitar de cabeça com frequência, como a senha do celular ou a senha mestra do seu gerenciador de senhas.
Mas a frase-senha não é a ferramenta certa para tudo. Muitas contas nem precisam ser memorizadas — só precisam ser fortes, únicas, e ficar guardadas em algum lugar que você consiga recuperar depois, como um gerenciador de senhas. Para essas, uma sequência totalmente aleatória de letras maiúsculas, minúsculas, números e símbolos é a escolha melhor, porque você está otimizando puramente para imprevisibilidade, sem pagar o preço de ter que decorar nada. Digitar na mão não é o objetivo; gerar uma vez e nunca mais precisar olhar para ela, sim. É exatamente para isso que o nosso Gerador de Senha existe — escolha o tamanho, marque quais tipos de caractere permitir, e receba um resultado sem nenhum dos padrões que a gente naturalmente cai quando pedem para "inventar alguma coisa".
O que "entropia" realmente significa, em termos simples
Entropia é só uma forma de medir quantas tentativas seriam necessárias para acertar sua senha por acaso. Cada caractere a mais multiplica o número de combinações possíveis, e é por isso que o comprimento pesa muito mais do que a maioria das pessoas imagina. Uma frase-senha de quatro palavras tirada de uma lista grande tem, mais ou menos, tantas combinações possíveis quanto uma sequência aleatória bem acima de uma dezena de caracteres — porque você não está escolhendo entre 26 letras em cada posição, está escolhendo entre milhares de palavras, e empilhando várias dessas escolhas.
É por isso também que as regras de complexidade obrigatória podem enganar. Adicionar um símbolo obrigatório a uma senha curta quase não muda nada, porque você só está ampliando o conjunto de caracteres em uma única posição. Adicionar quatro caracteres aleatórios a mais — ou mais uma palavra aleatória — geralmente faz muito mais diferença, porque amplia o espaço de possibilidades em cada posição seguinte. Se você levar só uma coisa deste texto, que seja essa: na dúvida, faça mais longa, não mais rebuscada.
O padrão atual, de baixo esforço
A orientação de segurança mudou bastante nos últimos anos, e mudou na direção de menos trabalho manual, não mais. A troca forçada de senha a cada 90 dias está caindo em desuso, porque isso só treina as pessoas a fazerem pequenos ajustes previsíveis numa senha que elas já sabem de cor, em vez de adotarem uma realmente nova. As regras obrigatórias de símbolo e número estão sendo relaxadas pelo mesmo motivo — elas empurram as pessoas para padrões em vez de aleatoriedade de verdade. O que substituiu tudo isso é um padrão bem mais simples: faça longa, faça única para aquela conta, e só troque se houver um motivo real para achar que ela vazou. (A gente detalha quais regras antigas você pode ignorar no post Regras de Senha que Realmente Importam, se quiser o panorama completo.)
Na prática, isso significa uma frase-senha para o punhado de senhas que você precisa digitar de memória, uma sequência aleatória gerada para todo o resto, e um gerenciador de senhas para guardar as que você não vai memorizar. Essa combinação cobre praticamente toda conta que você tem sem pedir que você lembre mais do que quatro ou cinco coisas, no total.
Depois que suas senhas estiverem realmente seguras
Um login forte é só uma parte de manter suas contas e informações sob controle. Se você já entregou um papelzinho com a senha do Wi-Fi rabiscada para uma visita, um Gerador de QR Code de Wi-Fi substitui isso por um código que a pessoa escaneia e conecta na hora, sem digitar nada e sem senha espalhada por aí. Se você vive repetindo seu telefone e e-mail em voz alta em todo evento, um Gerador de QR Code vCard compartilha seus dados de contato de forma limpa, sem risco de um erro de digitação virar um número errado salvo no celular de alguém. E para qualquer coisa que você quer que as pessoas encontrem de forma confiável por muito tempo — instruções de recuperação de conta, um contato de suporte, um link de referência que pode mudar um dia — um Gerador de QR Code Permanente mantém o código funcionando mesmo que o destino mude, então o código em si nunca fica desatualizado.
Nada disso pede hábitos novos, só um pouco melhores. Escolha uma frase-senha para o que você precisa lembrar, gere o resto, e pare de reutilizar aquela mesma senha cansada só por preguiça.
Frequently asked questions
- Uma frase-senha é realmente mais segura do que uma sequência aleatória de caracteres?
- Para a maioria das pessoas, sim — porque você vai realmente usá-la. Uma frase-senha de quatro ou cinco palavras pode ter mais entropia do que uma sequência curta cheia de substituições, tipo "S3nh@F0rt3!", e você digita ela certo de primeira em vez de tentar lembrar qual letra virou símbolo seis meses atrás.
- Qual deve ser o tamanho mínimo da minha senha?
- O comprimento é o fator que mais pesa na força de uma senha. Mire em pelo menos 12 a 16 caracteres para contas do dia a dia, e 20 ou mais para algo sensível, como seu e-mail ou a senha mestra do seu gerenciador de senhas. Uma senha mais longa vence uma senha curta e "complexa" quase sempre.
- Ainda preciso trocar minhas senhas a cada 90 dias?
- Não — a orientação atual de especialistas em segurança abandonou a troca periódica forçada, porque ela só empurra as pessoas para pequenos ajustes previsíveis (Senha1, Senha2). Uma senha longa e única só precisa ser trocada se ela realmente vazou em algum incidente.
- Qual o jeito mais fácil de gerar uma senha realmente aleatória quando uma frase-senha não serve?
- Use uma ferramenta feita para isso em vez de inventar algo você mesmo — o nosso Gerador de Senha usa o gerador de números aleatórios criptograficamente seguro do seu navegador, então o resultado é imprevisível de um jeito que uma sequência escolhida por uma pessoa nunca chega perto de ser.