Gerador de senhas

Como usar

1. Escolha Senha aleatória (para guardar num gerenciador de senhas) ou Frase-senha (para a senha que você precisa decorar, como a do próprio gerenciador ou a do computador).
2. Ajuste o comprimento, os tipos de caractere ou o número de palavras. A senha muda na hora, e a barra de força estimada mostra quantos bits de entropia ela tem.
3. Toque em Copiar e cole no cadastro. Precisa de várias? Gere 5 ou 10 de uma vez e copie todas.

Nada sai do seu aparelho: as senhas são sorteadas no navegador com crypto.getRandomValues, o gerador criptográfico do sistema, e não são enviadas nem guardadas.

O que faz uma senha ser forte

Uma senha é forte quando ninguém consegue adivinhá-la em tempo útil, mesmo usando programas que testam bilhões de tentativas por segundo. Isso depende de duas coisas:

• Ser sorteada, não inventada. Pessoas escolhem nomes, datas, palavras com "a" trocado por "@" e o famoso "Senha@123". Os programas de ataque testam esses padrões primeiro.
• Ter muitas combinações possíveis. Cada caractere a mais multiplica o trabalho de quem tenta adivinhar. Comprimento pesa mais do que variedade: 16 letras minúsculas sorteadas (75 bits) são mais fortes do que 10 caracteres misturando tudo (64 bits).

Entropia, em poucas palavras

Entropia mede quantas senhas o gerador poderia ter produzido com as opções escolhidas. N bits significam 2^N possibilidades igualmente prováveis, e cada bit a mais dobra o trabalho do atacante.

• Senha aleatória: comprimento × log₂(quantidade de caracteres possíveis). Com minúsculas, maiúsculas, números e 24 símbolos são 86 caracteres, cerca de 6,4 bits por caractere: 16 caracteres dão ≈ 103 bits.
• Com a opção um de cada tipo, a ferramenta conta só as combinações que obedecem à regra (inclusão–exclusão), então a estimativa fica um pouco abaixo da conta simples, e é exata.
• Frase-senha: palavras × log₂(tamanho da lista). As listas daqui têm 1.024 palavras, ou seja, 10 bits por palavra. Seis palavras e dois dígitos dão ≈ 66,6 bits.

Senha aleatória ou frase-senha?

• Senha aleatória (ex.: k7#Rq2!vZ@m9Lp4x): muita força em poucos caracteres, mas difícil de decorar e de digitar no celular. Ideal para as contas guardadas no gerenciador de senhas.
• Frase-senha (ex.: Pomar-Lousa-Broa-Trevo-Saia-Vento-47): precisa de mais caracteres para a mesma força, mas é fácil de lembrar, ditar e digitar. Ideal para a senha mestra do gerenciador, o login do computador e o Wi-Fi de casa.

Na frase-senha, a segurança vem do sorteio, não das palavras: por isso o atacante pode conhecer a lista inteira e, ainda assim, ter trabalho demais. Inicial maiúscula e separador ajudam a cumprir regras de sites, mas não aumentam a entropia, porque são sempre iguais.

Por que o tempo para quebrar é só uma estimativa

A ferramenta mostra o tempo médio para adivinhar a senha em três cenários: tentando direto no site (10 por segundo), senhas vazadas protegidas por um hash lento como bcrypt ou Argon2 (10 mil por segundo) e senhas vazadas com hash rápido como MD5, atacadas com uma placa de vídeo de ponta (100 bilhões por segundo).

São ordens de grandeza, não promessas. A conta supõe o pior caso realista: o atacante sabe exatamente como a senha foi gerada e acerta, em média, depois de testar metade das possibilidades. Ela não vale para senhas inventadas por pessoas e não considera golpes que dispensam adivinhar, como phishing, vírus no aparelho ou um site que guarda senhas sem proteção.

Gerenciador de senhas e verificação em duas etapas

• Uma senha diferente para cada site. Quando um site vaza, os criminosos testam o mesmo e-mail e senha em outros serviços.
• Use um gerenciador de senhas (o do navegador, do celular ou um aplicativo dedicado). Ele cria, guarda e preenche as senhas; você decora só uma frase-senha forte.
• Ative a verificação em duas etapas (aplicativo autenticador ou chave de segurança) no e-mail, no banco e nas redes sociais. Mesmo que a senha vaze, ela sozinha não basta.

Como a ferramenta funciona

• Os números aleatórios vêm de crypto.getRandomValues, o mesmo gerador usado em criptografia.
• Cada caractere ou palavra é escolhido sem viés: em vez de usar o resto da divisão direto (que favorece os primeiros itens), descartamos os poucos valores que causariam desigualdade e sorteamos de novo (amostragem com rejeição).
• Com um de cada tipo, a senha inteira é sorteada e refeita se faltar algum tipo, em vez de reservar posições. Assim a senha continua uniforme e a entropia mostrada é a real.
• Ficam de fora dos símbolos as aspas, a crase, a barra invertida, a vírgula, o espaço e < > |, que costumam quebrar formulários, planilhas e terminais. A opção evitar caracteres parecidos tira I, l, 1, O, 0 e o.

Perguntas frequentes

As senhas geradas ficam salvas em algum lugar? Não. Elas existem só na memória da aba aberta. Fechou ou gerou outra, a anterior some. Nada é enviado ao servidor.

Qual comprimento devo usar? Para senhas guardadas num gerenciador, 16 caracteres ou mais. Para uma frase-senha que você vai decorar, 6 palavras ou mais com a lista de 1.024 palavras.

Um site não aceita símbolos. E agora? Desmarque Símbolos e aumente o comprimento: 20 caracteres só com letras e números dão cerca de 119 bits.

Posso confiar numa ferramenta on-line para gerar senhas? Esta roda inteira no seu navegador e funciona até sem internet depois de carregada. Se preferir, gere a senha direto no gerenciador de senhas: o importante é que ela seja sorteada e única.