Verificador de força de senha

Quão forte é a sua senha? Teste com privacidade

A maioria das invasões de contas não envolve hackeamento sofisticado. Acontecem porque uma senha era curta, previsível ou reaproveitada de outro site que vazou. Saber se a sua senha sobreviveria a um ataque real é o primeiro passo para corrigi-la. Este verificador grátis de força de senha estima quantas tentativas um atacante precisaria, quanto tempo isso levaria em dois cenários de ataque realistas, quais padrões deixam a sua senha fraca e — se você quiser — se ela já apareceu em um vazamento de dados conhecido.

A privacidade vem primeiro. A análise de força roda inteiramente dentro do seu navegador. A sua senha não é enviada ao Prompt Minds nem a ninguém, não é salva nem registrada. A verificação de vazamento é opcional e só roda quando você clica no botão dela, e mesmo assim a sua senha nunca sai do seu dispositivo — só cinco caracteres de um hash criptográfico saem, como explicado abaixo.

Como usar o verificador

1. Clique na caixa e digite uma senha. O primeiro clique carrega o estimador zxcvbn de código aberto (cerca de 0.8 MB) de uma CDN pública; depois disso, os resultados são atualizados enquanto você digita.
2. Use o botão de olho para mostrar ou ocultar o que você digitou.
3. Leia o resultado: um rótulo de força de Muito fraca a Muito forte, uma barra colorida, duas estimativas de tempo de quebra, o tamanho e o número estimado de tentativas.
4. Confira a lista de regras simples e leia os avisos e sugestões embaixo.
5. Opcionalmente, execute a verificação de vazamento para ver se a senha aparece no banco de dados de senhas vazadas do Have I Been Pwned.

Como a pontuação de força é calculada

Medidores à moda antiga só contam tipos de caracteres — «tem maiúscula, tem número, tem símbolo, então é forte». Isso engana: P@ssw0rd1 marca todas as caixas, mas é uma das primeiras coisas que os atacantes tentam. Este verificador usa o zxcvbn, um estimador de código aberto criado no Dropbox e lançado sob a licença MIT, que pensa como um atacante. Ele quebra a senha em pedaços e reconhece:

• senhas comuns e palavras, nomes e sobrenomes frequentes em inglês;
• padrões de teclado como qwerty, asdf ou 1qaz2wsx;
• sequências (abcd, 1234) e repetições (aaaa, abcabc);
• datas e anos, como 1995 ou 14081995;
• substituições «l33t» — @ por a, 0 por o, 3 por e, $ por s.

Ele então estima o número de tentativas necessárias para chegar à sua senha se um atacante tentar primeiro os padrões mais prováveis e converte isso em uma pontuação de 0 a 4.

Entendendo os dois tempos de quebra

Online, com limite (100 tentativas por hora). Isso modela alguém tentando senhas em uma página de login real que limita tentativas. Até senhas fracas podem levar dias aqui — mas esse não é o principal perigo.

Offline, hash rápido (10 bilhões de tentativas por segundo). Isso modela o pior caso: o banco de dados de senhas de um site foi roubado e estava guardado com um método de hash rápido, então o atacante pode testar tentativas em hardware potente sem limite. Se o tempo offline for de segundos ou minutos, presuma que a senha cairia rápido em um vazamento. Busque anos ou séculos aqui.

Exemplos

Repare em duas coisas. Uma senha aleatória curta com símbolos ainda pode ter um tempo offline modesto, porque 12 caracteres não é tão longo. E uma frase de palavras comuns, se for longa o bastante, pode superá-la. O tamanho é o fator isolado mais poderoso. (O famoso «correct horse battery staple» em si não deve ser usado agora — é amplamente conhecido.)

Uma limitação honesta: nomes indianos e palavras em hindi

As listas de palavras embutidas do zxcvbn são em sua maioria em inglês. Isso significa que senhas feitas de nomes indianos, sobrenomes, cidades ou palavras em hindi escritas com letras inglesas podem parecer mais fortes ao verificador do que realmente são. Por exemplo, um nome seguido de um ano de nascimento pode receber uma pontuação alta enquanto o tempo de quebra offline ainda é menor que um segundo. Atacantes reais usam listas regionais de nomes, padrões de números de telefone e senhas vazadas de sites indianos, então trate essas senhas como fracas, não importa o que um medidor diga. Evite nomes, apelidos, aniversários, aniversários de casamento, números de celular, números de veículos e PIN codes nas senhas.

A verificação de vazamento e o k-anonimato

O Have I Been Pwned é um serviço gratuito e amplamente confiável mantido pelo pesquisador de segurança Troy Hunt que reúne senhas expostas em vazamentos de dados públicos. Se a sua senha está nessa lista, os atacantes já a têm nos dicionários deles, independentemente de quão complexa ela pareça. A verificação aqui usa uma técnica de privacidade chamada k-anonimato:

1. O seu navegador calcula o hash SHA-1 da senha localmente.
2. Apenas os cinco primeiros caracteres hexadecimais desse hash são enviados à API Pwned Passwords.
3. O serviço responde com todos os sufixos de hash do banco de dados que começam com esses cinco caracteres — normalmente centenas — junto com entradas de preenchimento para o tamanho da resposta não revelar nada.
4. O seu navegador procura o seu hash completo nessa lista no seu próprio dispositivo.

O serviço nunca fica sabendo a sua senha nem sequer o hash completo. Se a verificação achar uma correspondência, pare de usar essa senha em todo lugar. Se não achar, é uma boa notícia, mas não uma garantia de força.

Como criar uma senha forte

• Deixe uma ferramenta gerá-la. O nosso gerador de senhas cria senhas aleatórias no seu navegador. Uma senha aleatória de 14 ou mais caracteres é muito forte.
• Ou use uma frase-senha. Escolha quatro ou mais palavras aleatórias e sem relação e adicione um separador ou um número: mango-river-pencil-74. É longa e fácil de digitar no celular.
• Faça cada senha única. A reutilização é o maior risco: um vazamento abre todas as contas com a mesma senha.
• Use um gerenciador de senhas para guardá-las, para só precisar lembrar uma frase-senha mestra forte.
• Ative a autenticação em dois fatores para e-mail, bancos, apps de UPI e redes sociais. Mesmo uma senha roubada então não basta.

O que as diretrizes atuais recomendam

As orientações modernas, incluindo as diretrizes de identidade digital do NIST nos Estados Unidos, afastaram-se de regras de composição complicadas e trocas periódicas forçadas. Em vez disso, favorecem senhas mais longas, permitir todos os caracteres inclusive espaços, verificar senhas novas contra listas de senhas vazadas e comuns e trocar uma senha quando há evidência de comprometimento. Este verificador segue o mesmo raciocínio: recompensa tamanho e imprevisibilidade e ajuda você a checar contra senhas vazadas.

Protegendo as contas que mais importam

Nem toda conta exige o mesmo esforço, mas algumas merecem as suas melhores senhas. O seu e-mail principal vem primeiro: quem o controla pode redefinir a senha de quase todas as outras contas que você tem. Depois vêm os apps de banco e UPI, a conta da operadora do seu número de celular, o armazenamento na nuvem com fotos e documentos e as redes sociais usadas para falar com amigos e familiares — uma conta de WhatsApp ou Instagram sequestrada costuma ser usada para pedir dinheiro aos seus contatos. Para cada uma delas, use uma senha longa e única, ative a autenticação em dois fatores e mantenha os dados de recuperação, como e-mail e telefone de backup, atualizados.

Cuidado também com senhas de uso único e PINs. Nenhum banco, empresa de entregas ou órgão do governo vai pedir que você compartilhe um OTP por ligação ou mensagem. Páginas de phishing podem parecer idênticas às páginas de login reais, então confira a barra de endereços antes de digitar uma senha e prefira abrir os apps diretamente em vez de seguir links em mensagens.

Mitos comuns

• «Colocar ! no final deixa segura.» Os atacantes tentam isso primeiro.
• «Ninguém me escolheria como alvo.» A maioria dos ataques é automatizada e testa milhões de contas com as mesmas senhas vazadas.
• «Uma senha longa com o meu nome está bom.» Informações pessoais são a primeira coisa a ser adivinhada.
• «Anotar senhas é sempre ruim.» Um gerenciador de senhas é melhor, mas uma lista escrita guardada com segurança em casa é mais segura que reutilizar uma senha fraca em todo lugar.

Verificador de força de senha — fatos principais

Perguntas frequentes

Conheça mais ferramentas da Prompt Minds

O Verificador de força de senha combina muito bem com as nossas outras ferramentas grátis. Toda ferramenta do Prompt Minds roda inteiramente no seu navegador — sem cadastro, sem uploads, sem marcas d'água. Veja todas as ferramentas grátis.