Verificador de força da palavra-passe

O Verificador de força da senha é uma ferramenta gratuita que avalia uma senha, apresenta o número de caracteres e atribui-lhe uma classificação de força.

Onde é verificada a minha senha?

Não é possível saber ao certo onde esta ferramenta processa a senha introduzida. Não partas do princípio de que a verificação ocorre apenas no teu navegador. No entanto, também não há motivos para afirmar que a senha é enviada para outro local.

Como o local de processamento é desconhecido, evita introduzir uma senha que esteja atualmente a proteger uma conta. Em alternativa, usa uma senha inventada com comprimento e estrutura semelhantes. Por exemplo, se a tua senha real for uma frase-senha de quatro palavras, testa quatro palavras diferentes e sem relação entre si, em vez da frase verdadeira.

O que torna uma senha forte?

Uma senha forte é comprida, difícil de prever e usada numa única conta. De um modo geral, o comprimento é mais importante do que truques de complexidade, como trocar um 'a' por '@' ou acrescentar '1!' ao fim de uma palavra conhecida.

Os programas de descoberta de senhas começam por testar palavras prováveis, padrões comuns, senhas divulgadas em fugas de dados e variações previsíveis, antes de avançarem para combinações menos prováveis. Uma senha mais comprida cria mais possibilidades a testar, sobretudo se o conteúdo for aleatório. Não existe um único valor credível para o tempo necessário para descobrir uma senha, pois o resultado depende do equipamento do atacante, da forma como o serviço armazena as senhas e de as tentativas serem feitas online ou sobre dados de senhas roubados.

• Opta por uma senha gerada mais comprida quando puderes guardá-la num gestor de senhas.
• Cria uma frase-senha mais fácil de escrever e memorizar com palavras aleatórias sem relação entre si.
• Evita nomes, datas de nascimento, clubes de futebol, códigos postais e informações visíveis nas redes sociais.
• Não confies apenas numa letra maiúscula, num número e num símbolo se a palavra de base for previsível.
• Usa uma senha única em cada conta.

Os símbolos, os números e a combinação de maiúsculas e minúsculas podem aumentar o conjunto de caracteres possíveis, mas são mais eficazes quando escolhidos aleatoriamente. Não compensam uma senha curta ou muito utilizada.

Como uso o verificador de força da senha?

Introduz uma senha de teste inventada e consulta as informações de Caracteres e Força. As classificações disponíveis são Sem dados, Muito fraca, Fraca, Moderada e Forte.

1. Escolhe um exemplo inventado com uma estrutura semelhante à da senha que estás a considerar.
2. Verifica o número de caracteres.
3. Interpreta a classificação de força como uma orientação, não como uma garantia de segurança.
4. Se o resultado for fraco, aumenta significativamente o comprimento ou gera uma nova senha aleatória. Evita limitar-te a acrescentar um algarismo previsível.
5. Guarda a senha final e única num gestor de senhas, não num ficheiro de notas, documento ou rascunho de email.

As regras e os limites usados pela ferramenta para calcular a classificação não são indicados, pelo que não é possível prever aqui uma avaliação exata com segurança. Estes exemplos mostram os tipos de dados que podes comparar sem forneceres um segredo verdadeiro:

• Garden7! contém 8 caracteres e segue um padrão reconhecível de palavra seguida de um sufixo.
• copper railway tulip orbit contém 26 caracteres, incluindo espaços. Este exemplo ilustra o comprimento proporcionado por uma frase-senha com várias palavras, embora frases publicadas como exemplo nunca devam ser usadas como senhas reais.
• mQ7!vP2#zL9@ contém 12 caracteres e parece aleatória. A classificação de força exata depende do método de avaliação usado pela ferramenta.

Reutilização de senhas e frases-senha

A reutilização de senhas é um risco comum, pois uma falha num único serviço pode expor credenciais que os atacantes tentam depois usar noutros sites. Esta prática automatizada chama-se credential stuffing. Se reutilizares uma senha complexa no email, em lojas online e nas redes sociais, a segurança de todas essas contas fica dependente de cada serviço onde a senha é usada.

Um gestor de senhas resolve este problema ao criar e guardar uma senha aleatória diferente para cada início de sessão. Tanto os gestores integrados no navegador como as aplicações dedicadas conseguem preencher senhas compridas sem que tenhas de as memorizar. Protege o próprio gestor com uma senha mestra forte e única e ativa a autenticação multifator sempre que o fornecedor a disponibilizar.

Uma frase-senha é uma alternativa válida quando precisas de algo fácil de memorizar, como uma senha mestra. Usa várias palavras aleatórias sem relação entre si e evita citações, letras de canções, expressões famosas ou frases sobre a tua vida. Os espaços podem aumentar o comprimento, mas a conta tem de os aceitar. O Gerador de senhas costuma ser a opção mais adequada para senhas que não precisas de escrever de memória.

Um verificador de força pode garantir que uma senha é segura?

Não, uma classificação de força não pode garantir que uma senha é segura. A ferramenta avalia o texto introduzido segundo as suas próprias regras, mas a segurança da conta também depende de a senha ser única, do armazenamento seguro, da forma como o serviço trata as senhas e da proteção contra phishing.

Um verificador pode considerar espaços, sinais de pontuação, letras acentuadas e alfabetos não latinos como caracteres da senha, mas o site onde pretendes usá-la pode aplicar regras diferentes. Os caracteres Unicode também podem ter representações subjacentes diferentes, mesmo quando parecem iguais. Confirma se o serviço em causa aceita a senha exata e se o teu gestor de senhas consegue reproduzi-la corretamente.

Para um determinado comprimento, é mais fácil testar exaustivamente senhas compostas apenas por números, porque usam um conjunto reduzido de caracteres. Uma senha muito comprida pode obter uma avaliação favorável, mas um formulário de início de sessão específico pode truncá-la ou rejeitá-la. Um campo vazio não contém nada que possa ser avaliado, e Sem dados é uma das classificações apresentadas por esta ferramenta.

A classificação também não confirma que uma senha nunca tenha surgido numa fuga de dados. Não há qualquer indicação de que este verificador consulte bases de dados de credenciais comprometidas, por isso não concluas que o faz só por obteres um resultado Forte.

Perguntas frequentes

Porque é que dois verificadores dão resultados diferentes?

Os verificadores podem usar modelos de pontuação, dicionários ou regras de deteção de padrões diferentes. Um pode valorizar mais a variedade de caracteres, enquanto outro dá maior importância ao comprimento ou à presença de palavras reconhecíveis. Considera as classificações como estimativas e segue as recomendações de segurança comuns a ambos, sobretudo usar uma senha única e suficientemente comprida.

Posso incluir informações pessoais numa senha comprida?

Não. O comprimento ajuda menos quando o conteúdo pode ser construído a partir do teu nome, morada, data de nascimento, entidade empregadora ou publicações acessíveis ao público. Escolhe caracteres aleatórios ou palavras sem relação entre si nem qualquer ligação pessoal.

Alterar um só carácter torna uma senha antiga novamente segura?

Regra geral, não, sobretudo se a alteração seguir um padrão óbvio. Os atacantes costumam testar mudanças de sufixo, atualizações do ano e substituições como '3' por 'e'. Se suspeitares que a senha foi comprometida, substitui-a por uma senha completamente nova e única. Altera-a também em todos os locais onde tenhas reutilizado a anterior.

Posso usar emojis numa senha?

Alguns sistemas aceitam emojis, mas pode haver problemas de compatibilidade entre formulários de início de sessão, teclados e processos de recuperação. Um emoji também pode ser composto por mais do que um ponto de código Unicode, pelo que o comprimento apresentado pode ser diferente do comprimento técnico. Regra geral, é mais fácil reproduzir de forma fiável caracteres aleatórios convencionais ou uma frase-senha comprida.

A autenticação multifator continua a ser necessária com uma senha forte?

Sim, sempre que estiver disponível. A autenticação multifator pode limitar os danos se uma senha for roubada através de phishing, malware ou uma falha de segurança num serviço. Uma aplicação de autenticação ou uma chave de segurança evita, geralmente, os riscos associados aos códigos enviados por SMS, embora cada serviço decida os métodos que disponibiliza.

Verificações finais

• Não introduzas aqui uma senha ativa, pois o local de processamento é incerto.
• Privilegia o comprimento e a imprevisibilidade, não uma complexidade meramente superficial.
• Usa uma senha diferente em cada conta.
• Guarda as senhas geradas num gestor de senhas, não num ficheiro de notas desprotegido.
• Antes de guardares uma senha, confirma se o serviço onde será usada aceita os espaços, os símbolos e o respetivo número de caracteres.