Como criar uma senha forte (e lembrar dela)

Para criar uma senha forte, faça uma senha longa, aleatória e diferente em cada conta: o tamanho pesa mais que os símbolos. A orientação atual do NIST, o instituto de padrões dos Estados Unidos, pede pelo menos 15 caracteres quando a senha é a única proteção da conta, e proíbe os sites de exigir mistura de símbolos ou trocas periódicas. Para lembrar, use uma frase de várias palavras sorteadas e deixe o resto com um gerenciador de senhas.

Depois, ative a verificação em duas etapas ou, onde houver, passe para as chaves de acesso (passkeys), que não dá para digitar numa página falsa. Abaixo estão as contas que fizemos comparando 8 caracteres com símbolos e 4 palavras, e como saber se uma senha sua já vazou.

O que torna uma senha forte?

Uma senha é forte quando é difícil de adivinhar para um programa que testa milhões de opções, não para uma pessoa. Isso depende de três coisas: ser longa, ser aleatória e não sair da sua vida (nomes, datas, o seu time) e não ser usada em nenhum outro lugar. Os símbolos ajudam menos do que parece.

Por isso o NIST obriga os sites a comparar cada senha nova com uma lista de senhas comuns, previsíveis ou já vazadas, e a recusá-la se estiver lá. «Flamengo2026!» cumpre as regras antigas —maiúscula, número e símbolo—, mas é uma palavra conhecida, um ano e um sinal no fim: a primeira coisa que qualquer pessoa, e qualquer programa, tentaria.

O que importa mais numa senha: tamanho ou símbolos?

O tamanho. Cada caractere a mais multiplica as combinações possíveis, enquanto passar de só letras para letras com símbolos apenas amplia o «alfabeto» de cada posição. Por isso as orientações oficiais falam de comprimento: o NIST pede no mínimo 15 caracteres sem segundo fator, e a CISA, a agência de cibersegurança dos EUA, recomenda pelo menos 16.

Conferimos com números. Em 25 de outubro de 2026, calculamos com Node.js quantas combinações tem cada tipo de senha, supondo que cada caractere ou palavra é sorteado: eleva-se o número de opções ao tamanho (94 caracteres do teclado, ou 7.776 palavras de uma lista como a do método dos dados da EFF) e converte-se em bits.

Bits são um jeito curto de contar: cada bit dobra as opções, como somar mais uma moeda a adivinhar. 52 bits equivalem a acertar 52 caras ou coroas seguidas. Veja a tabela: 15 letras minúsculas sorteadas (70,5 bits) superam com folga 8 caracteres com símbolos (52,4), e 16 caracteres sorteados chegam a quase 105.

Essas contas só valem se a senha for mesmo aleatória, tirada de dados ou de um gerador. Uma senha que você inventa tem bem menos opções reais. E elas não dizem quanto tempo leva para quebrar: isso depende de como o site guarda as senhas e do equipamento de quem ataca, então não damos tempos.

Como criar uma frase-senha fácil de lembrar?

Uma frase-senha é um conjunto de palavras sem relação entre si, sorteadas, como «tartaruga lâmpada colheita vidro»: você lembra por uma imagem mental, e ela fica longa sem esforço. A Cartilha de Segurança do CERT.br sugere senhas longas, por exemplo com três palavras aleatórias; a EFF recomenda pelo menos 6. Veja como montar:

1. Sorteie as palavras, com dados e uma lista numerada ou com o gerador do seu gerenciador de senhas. As que vêm à sua cabeça não são aleatórias.
2. Use pelo menos 5 ou 6 palavras se a frase protege algo importante, como o seu e-mail ou o seu gerenciador.
3. Fuja de ditados, letras de música e frases famosas: são frases conhecidas.
4. Imagine uma cena que junte as palavras na ordem. É dessa imagem que você vai lembrar.

Agora, o dado honesto da nossa tabela: 4 palavras sorteadas (51,7 bits) dão quase o mesmo que 8 caracteres sorteados com símbolos (52,4). Quatro palavras não são invencíveis; a vantagem é que dá para lembrar, e cada palavra extra multiplica as opções por 7.776. Com 6 você chega a 77,5 bits sem digitar nenhum símbolo.

É preciso trocar a senha a cada 90 dias?

Não, a menos que haja sinal de vazamento. A orientação do NIST de 2025 proíbe os sites de exigir trocas periódicas e os obriga a forçar a troca só quando há evidência de que a senha foi exposta. Trocar por calendário não deixa forte uma senha fraca; trocar depois de um vazamento, sim, protege você.

A quarta revisão dessa orientação, publicada em julho de 2025, também proíbe regras de composição, como exigir maiúsculas, números e símbolos, e pede que os sites aceitem senhas de pelo menos 64 caracteres, permitam colar e deixem os gerenciadores funcionar. O seu banco ou a sua empresa podem seguir com as regras antigas; nos sistemas deles, valem as deles.

Por que não repetir a mesma senha?

Porque basta um site vazar para abrir todos os outros. A Cartilha do CERT.br, o centro de resposta a incidentes do Brasil, explica que reusar senhas é arriscado porque, se o atacante descobre a senha de uma conta, consegue entrar nas demais onde ela é usada. Se desconfiar disso, troque-a em todos esses lugares na hora.

É seguro usar um gerenciador de senhas?

Sim, e é o que as orientações oficiais recomendam. Um gerenciador guarda as suas senhas cifradas atrás de uma única senha mestra, cria senhas aleatórias e preenche por você, então você só precisa lembrar de uma. A CISA lembra que alguns são grátis, como os que já vêm nos navegadores. Você provavelmente já tem um:

• Gerenciador de senhas do Google, no Chrome e no Android. O Check-up de senha avisa quais estão expostas, são fracas ou se repetem em várias contas.
• Senhas, o app da Apple desde o iOS 18 e o macOS Sequoia, guarda senhas, chaves de acesso e códigos de verificação e avisa se alguma aparece em um vazamento conhecido.
• Gerenciadores independentes, gratuitos ou pagos, para quando você mistura marcas: um iPhone e um notebook com Windows, por exemplo.

Não existe um «melhor» para todo mundo: o que vem no aparelho basta se todos os seus dispositivos são da mesma marca. Seja qual for, proteja-o com uma frase-senha longa e verificação em duas etapas, porque ele é a chave de todas as outras.

O que é a verificação em duas etapas e qual método usar?

É pedir uma segunda prova além da senha: um código, uma aprovação num app ou uma chave física. Assim, mesmo que alguém descubra a sua senha, não entra sem essa segunda etapa. Comece pelo seu e-mail, porque é para lá que vão os links de recuperação de quase todas as outras contas.

Nem todo método vale o mesmo. O CERT.br recomenda preferir uma chave de segurança física ou um app que gera códigos, usar SMS só se não houver outra opção e gerar códigos de backup guardados em local seguro. O NIST classifica códigos por SMS ou ligação como um método «restrito». Mesmo assim, SMS é melhor que não ter segunda etapa.

O que são chaves de acesso (passkeys)?

Uma chave de acesso, ou passkey, substitui a senha: você entra com a digital, o rosto ou o PIN que desbloqueia o celular. Segundo a FIDO Alliance, que criou o padrão, elas resistem ao phishing (o golpe das páginas falsas) e não deixam senha para roubar, porque você e o site não compartilham nenhum segredo.

A sua digital não sai do aparelho: o Google explica que os seus dados biométricos ficam no dispositivo e não são compartilhados com o Google. E uma chave de acesso não funciona numa página falsa, mesmo que ela copie o visual e mostre cadeado; o cadeado só cifra a conexão, como contamos em o que o HTTPS garante e o que não garante. Ative onde o site oferecer, geralmente nas configurações de segurança da conta.

Como saber se uma senha sua vazou?

Pesquise o seu e-mail no Have I Been Pwned, um serviço que, em 25 de outubro de 2026, reúne mais de 17,8 bilhões de contas vazadas de 1.047 sites. Se o seu aparecer, troque a senha desse site e a de qualquer outro onde você a repetiu. O seu gerenciador de senhas também pode avisar.

• Para o seu e-mail: digite no Have I Been Pwned e veja em quais vazamentos ele apareceu.
• Para uma senha específica: a seção Pwned Passwords confere sem que ela saia do seu aparelho: o navegador calcula uma impressão digital (um hash) e envia só os 5 primeiros caracteres.
• Para todas de uma vez: o Check-up de senha do Google ou as recomendações de segurança do app Senhas da Apple.

Aparecer num vazamento não quer dizer que alguém entrou na sua conta, e sim que os seus dados daquele site estão circulando. Aí, sim, é hora de trocar a senha, e é justamente o caso em que o NIST manda os sites exigirem a troca.

O que muda para você e para o seu negócio?

Num negócio pequeno, as contas que mais importam costumam ser poucas: o e-mail, o banco, as redes, o WhatsApp da empresa e o painel do seu site. Para essas:

• Uma pessoa, uma conta. Dividir uma senha com a equipe toda impede saber quem fez o quê e obriga a trocá-la toda vez que alguém sai.
• Verificação em duas etapas no e-mail e nas redes, com os códigos de backup guardados fora do celular.
• Cuidado com links que pedem a sua senha, inclusive os de QR Code: um QR Code só guarda um link, e a armadilha está na página para onde ele leva.

O que se exagera sobre senhas

• «Com um símbolo já fica segura». Um símbolo no fim de uma palavra conhecida quase não muda nada; tamanho e aleatoriedade, sim.
• «Uma frase de 4 palavras é impossível de quebrar». Na nossa tabela, 4 palavras sorteadas valem quase o mesmo que 8 caracteres sorteados. Para algo importante, use 6 ou mais.

O essencial

Longa, aleatória e uma por conta: uma frase de 6 palavras para as poucas que você precisa lembrar e um gerenciador para o resto. Depois, verificação em duas etapas ou chaves de acesso, e uma passada no Have I Been Pwned de vez em quando.

E se você prefere não criar mais uma conta, várias das ferramentas grátis do Vertize Plus funcionam sem cadastro.

Perguntas frequentes