Como Criar uma Senha Forte: Tamanho, Frases-Senha e MFA
Como criar uma senha forte segundo as recomendações atuais do NIST e da CISA: senha longa, única e aleatória, frase-senha, gerenciador de senhas e MFA.
Este guia é apenas informação geral, não é aconselhamento financeiro, jurídico ou técnico profissional. Menus e regras podem variar conforme o aparelho e o país.
Uma senha forte é longa, aleatória e exclusiva de uma única conta. As orientações atuais do governo dos EUA priorizam o tamanho em vez da complexidade: a CISA recomenda pelo menos 16 caracteres, como uma sequência aleatória gerada por um gerenciador de senhas ou uma frase-senha com 5 a 7 palavras sem relação entre si.
Tamanho e exclusividade importam muito mais do que trocar letras por símbolos. Ative a autenticação multifator (MFA) nas contas importantes e você continua protegido mesmo que uma senha vaze.
Resposta rápida
- Faça uma senha longa: use pelo menos 16 caracteres. Quanto mais longa, mais forte.
- Faça uma senha única: use uma senha diferente para cada conta.
- Faça uma senha aleatória: deixe um gerenciador de senhas gerá-la ou use 5 a 7 palavras sem relação como frase-senha.
- Esqueça as regras antigas: você não precisa de símbolos obrigatórios nem de trocas periódicas de senha. Troque a senha quando ela puder ter sido exposta.
- Use um gerenciador de senhas para criar, guardar e preencher suas senhas.
- Ative a MFA no e-mail, no banco, em serviços de saúde e em outras contas importantes.
O que torna uma senha forte?
Os criminosos raramente tentam adivinhar senhas na mão. Eles usam programas que testam listas enormes de senhas comuns, senhas vazadas e padrões previsíveis. Uma senha forte vence essas ferramentas de três formas.
- Tamanho. Cada caractere a mais multiplica o número de combinações possíveis. Por isso o NIST e a CISA dão tanta ênfase ao tamanho.
- Aleatoriedade. Palavras, nomes, datas e sequências do teclado como "qwerty" são as primeiras coisas que os criminosos testam. Escolhas realmente aleatórias são muito mais difíceis de quebrar.
- Exclusividade. Quando um site sofre um vazamento, os criminosos testam o e-mail e a senha roubados em outros sites. Se você repete senhas, um único vazamento pode abrir várias contas.
O que dizem as orientações atuais
O Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) define as regras de senha que muitas organizações seguem. Suas diretrizes de identidade digital dizem que os serviços devem:
- Exigir senhas com pelo menos 15 caracteres quando a senha é a única forma de entrar, ou pelo menos 8 caracteres quando é usada junto com MFA.
- Permitir senhas com pelo menos 64 caracteres.
- Não obrigar combinações de tipos de caractere, como "uma maiúscula, um número, um símbolo".
- Não obrigar trocas periódicas de senha, mas exigir a troca se houver indícios de que a senha foi comprometida.
- Comparar as novas senhas com listas de senhas comuns ou que já vazaram.
- Permitir gerenciadores de senhas, preenchimento automático e colar a senha.
A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) dá conselhos parecidos ao público: pelo menos 16 caracteres, uma senha diferente para cada conta e um gerenciador de senhas para fazer o trabalho.
Como criar uma senha forte, passo a passo
Opção 1: deixe um gerenciador de senhas gerá-la (a melhor)
- Escolha um gerenciador de senhas confiável. Muitos navegadores e celulares já vêm com um, e também existem aplicativos independentes.
- Proteja o gerenciador com uma senha mestra ou frase-senha longa e exclusiva e ative a MFA nele.
- Ao criar ou atualizar uma conta, use a opção de gerar senha do gerenciador.
- Defina o tamanho em pelo menos 16 caracteres. Se o site permitir, use mais.
- Salve a senha no gerenciador. Ele vai preenchê-la para você da próxima vez, então você nunca precisa decorá-la.
Opção 2: crie uma frase-senha que você consiga lembrar
Use esta opção para as poucas senhas que você precisa digitar de memória, como o login do computador ou a senha mestra do gerenciador de senhas.
- Escolha 5 a 7 palavras sem relação entre si. Quanto mais aleatórias, melhor. Evite letras de música, citações e qualquer coisa sobre você.
- Escolher palavras ao acaso (por exemplo, jogando dados com uma lista de palavras ou abrindo um dicionário em páginas aleatórias) é mais forte do que escolher palavras que "parecem" aleatórias.
- Junte as palavras, com ou sem espaços ou um separador, se o site permitir: por exemplo, lanterna-cascalho-ostra-tundra-picles. (Não use este exemplo. Agora ele é público.)
- Confira se ela tem pelo menos 16 caracteres. A maioria das frases-senha de cinco palavras passa disso com folga.
- Use-a em uma única conta.
Opção 3: melhore uma senha fraca que você já usa
- Comece pelas contas mais importantes: e-mail, banco e qualquer conta que possa redefinir as outras.
- Substitua senhas curtas ou repetidas por uma senha gerada ou uma nova frase-senha.
- Ative a MFA enquanto estiver nas configurações de segurança da conta.
- Vá cuidando das demais aos poucos, usando a lista de senhas repetidas ou fracas do gerenciador como lista de tarefas.
Senhas fracas x senhas fortes
| Tipo de senha | Padrão de exemplo | Força | Por quê |
|---|---|---|---|
| Palavra comum com substituições | P@ssw0rd1 | Fraca | Curta e presente na lista de todo criminoso |
| Nome ou data | Nome + ano de nascimento | Fraca | Fácil de achar nas redes sociais |
| Mistura aleatória curta | 8 caracteres aleatórios | Média | Difícil de adivinhar, mas curta demais pelas orientações atuais |
| Frase-senha | 5 a 7 palavras aleatórias sem relação | Forte | Longa e fácil de lembrar |
| Sequência aleatória gerada | 16 ou mais caracteres aleatórios | A mais forte | Longa, aleatória e guardada para você |
A tabela mostra padrões, não senhas reais. Nunca use uma senha de exemplo tirada de qualquer site.
Ative a autenticação multifator (MFA)
A MFA acrescenta uma segunda etapa no login, então uma senha roubada sozinha não basta. A CISA recomenda ativá-la no e-mail, no banco, em serviços de saúde e em outras contas importantes. O e-mail vem primeiro, porque quem controla o seu e-mail consegue redefinir suas outras senhas.
Os métodos de MFA mais comuns incluem:
- Aplicativos autenticadores, que mostram um código novo a cada 30 segundos.
- Códigos enviados por SMS ou e-mail. São melhores do que nenhuma MFA, mas a CISA observa que códigos por SMS e por ligação são vulneráveis a phishing e a ataques de clonagem de chip (SIM swap), então use-os como último recurso.
- Biometria, como impressão digital ou reconhecimento facial.
- Login baseado em FIDO, como uma chave de segurança física. A CISA considera o FIDO/WebAuthn o único método amplamente disponível resistente a phishing.
Para configurar, procure nas opções de Segurança ou de Login da conta por opções como "verificação em duas etapas" ou "autenticação multifator". Guarde os códigos de backup em um lugar seguro.
Erros comuns a evitar
- Repetir senhas. Esse é o maior risco. Um único vazamento pode expor todas as contas que usam a mesma senha.
- Confiar em trocas de caracteres. Substituir "a" por "@" ou colocar "1!" no final é previsível, e as ferramentas de quebra de senha testam isso automaticamente.
- Usar informações pessoais. Nomes de pets, aniversários e times do coração são fáceis de achar na internet.
- Anotar senhas em uma nota ou planilha sem proteção. Use um gerenciador de senhas criptografado.
- Compartilhar senhas ou códigos de MFA. Empresas de verdade nunca pedem sua senha ou um código de acesso por telefone, SMS ou e-mail. Aprenda como identificar golpes na internet e phishing.
- Trocar senhas por calendário sem motivo. O NIST não recomenda mais trocas periódicas obrigatórias, que costumam levar a mudanças pequenas e previsíveis. Troque a senha quando houver sinal de que ela foi exposta.
Perguntas Frequentes
Qual deve ser o tamanho de uma senha forte?
A CISA recomenda pelo menos 16 caracteres, e quanto mais, melhor. O NIST diz que os serviços devem exigir pelo menos 15 caracteres quando a senha é o único fator de login. Um gerenciador de senhas facilita o uso de senhas longas.
Frases-senha são mesmo mais seguras que senhas complexas?
Uma frase-senha longa, com palavras realmente aleatórias, costuma ser mais forte que uma senha curta cheia de símbolos, e é muito mais fácil de lembrar. O tamanho dá mais força do que as regras de complexidade.
Devo trocar minhas senhas com frequência?
As orientações atuais do NIST dizem que não é preciso trocar senhas em intervalos fixos. Troque imediatamente se um serviço informar um vazamento, se você notar atividade suspeita ou se tiver compartilhado a senha por engano.
Gerenciadores de senhas são seguros?
Um gerenciador de senhas confiável, protegido por uma senha mestra forte e por MFA, é muito mais seguro do que repetir senhas ou anotá-las. Ele também torna viável usar uma senha única em todo lugar.
O que fazer se minha senha apareceu em um vazamento de dados?
Troque essa senha na hora, e também a de qualquer conta em que você usou a mesma. Ative a MFA e revise a atividade recente da conta. Se a conta envolvia dinheiro, confira também os extratos.
É seguro deixar o navegador salvar minhas senhas?
Os gerenciadores de senhas nativos dos principais navegadores e celulares são uma escolha razoável para muita gente, principalmente com bloqueio de tela e MFA ativados. Antes de limpar o cache do navegador, confirme que você não está apagando também senhas salvas das quais depende.