Testador de Força de Senha: Sua Senha é Segura?

Testador de força de senha

Digite uma senha e veja, na hora, uma nota de muito fraca a muito forte, quanto tempo ela resistiria em três situações diferentes, quais padrões previsíveis foram encontrados e o que fazer para melhorar. Nada do que você digita sai do navegador: não há envio pela internet, nada é salvo no aparelho e nada fica registrado.

Como a nota é calculada

Medidores simples só contam tipos de caractere, e por isso aprovam Senha@2024 — que tem maiúscula, minúscula, símbolo e número, mas é previsível. Este testador faz o caminho de quem ataca: divide a senha em trechos e estima quantos palpites seriam necessários, começando pelos mais prováveis.

Ele procura:

• Escolhas muito comuns: 123456, senha, qwerty, nomes próprios, meses, dias da semana, times de futebol;
• Trocas de letra por símbolo: s3nh4, p@ssw0rd (a por @, o por 0, e por 3, s por $);
• Sequências e caminhos do teclado: abc, 4567, asdf, 1qaz, incluindo as linhas do teclado ABNT2;
• Repetições: aaaa, abcabc;
• Datas e anos: 1990, 2026, 25121990, 25/12/90;
• Trechos com cara de palavra, que valem muito menos do que letras ao acaso.

O que sobra é contado pelo comprimento e pela variedade de caracteres. O total de palpites vira a nota, em cinco níveis: muito fraca (está entre os primeiros palpites), fraca, razoável (aguenta tentativas feitas direto no site, não um vazamento), forte e muito forte.

O que torna uma senha forte

Comprimento e imprevisibilidade. Cada caractere realmente aleatório multiplica o número de combinações; um símbolo no fim de uma palavra conhecida quase não muda nada. É também o que diz a orientação atual do NIST, o instituto de padrões dos Estados Unidos, na publicação SP 800-63B-4 (2025): em termos gerais, os serviços devem priorizar o comprimento, não devem impor regras de composição (como exigir maiúscula, número e símbolo), não devem obrigar a troca periódica da senha — só quando houver sinal de que ela foi comprometida — e devem conferir a senha escolhida contra listas de senhas comuns ou já vazadas.

Erros comuns

• Usar nome, time, cidade ou data de nascimento — dados que estão nas suas redes sociais;
• Terminar com o ano ou com 123;
• Achar que @ no lugar de a engana alguém;
• Repetir a mesma senha em vários sites: basta um deles vazar para todas as contas ficarem expostas.

Por que a frase-senha funciona

Quatro ou mais palavras sorteadas, como janela tigre moeda farol, somam muitos caracteres e muitas combinações, e ainda são fáceis de lembrar e de digitar no celular. O segredo está no sorteio: uma frase com sentido, um ditado ou um verso de música é bem mais fraco, porque também entra nas listas de ataque. O gerador de senha por frase sorteia as palavras para você.

Gerenciador de senhas e verificação em duas etapas

Ninguém decora dezenas de senhas fortes e diferentes. Um gerenciador de senhas guarda uma senha aleatória para cada conta — você só memoriza a senha mestra, de preferência uma frase longa. Para as demais, use o gerador de senha segura.

Ative também a verificação em duas etapas (2FA) no e-mail, no banco e nas redes sociais: mesmo que a senha vaze, falta o segundo passo. Os códigos de 6 dígitos dos aplicativos autenticadores são explicados no gerador de código TOTP.

Como ler o tempo estimado

O mesmo número de palpites pode significar segundos ou séculos. Por isso o resultado mostra três cenários, com as hipóteses declaradas:

1. Tentativas direto no site, que bloqueia ou atrasa depois de alguns erros (cerca de 100 palpites por hora);
2. Banco de dados vazado com senhas bem protegidas, guardadas com um hash lento, feito para senhas, como o bcrypt (cerca de 10 mil palpites por segundo);
3. Banco de dados vazado com senhas mal protegidas, guardadas com um hash rápido (cerca de 10 bilhões de palpites por segundo).

Esses ritmos são suposições para dar ordem de grandeza, não medições de um equipamento. Como você não sabe de que forma cada serviço guarda a sua senha, não a repita.

Limites desta estimativa

• A lista de escolhas comuns é curta (menos de 200 exemplos) e não consulta vazamentos reais. Uma senha pode receber nota alta aqui e já ter vazado em algum serviço.
• Sem um dicionário completo, ele reconhece palavras pela “cara” (alternância de vogais e consoantes). Frases com sentido e nomes incomuns podem sair mais fortes do que são; letras aleatórias que pareçam palavra podem sair mais fracas.
• Ele não sabe nada sobre você: o nome do seu cachorro é um ótimo palpite para quem o conhece.
• Senha forte não protege contra phishing, vírus no aparelho, reutilização ou um site que guarda senhas sem proteção.

Use a nota como alerta para padrões fracos, não como garantia.

Perguntas frequentes

É seguro digitar minha senha aqui?

A análise roda no seu navegador; o texto não é enviado, salvo nem registrado. Se ainda assim preferir não digitar a senha verdadeira, teste uma com o mesmo formato (letras, números e símbolos nos mesmos lugares): a nota será equivalente.

Qual é o tamanho mínimo de uma senha segura?

O NIST (SP 800-63B-4, de 2025) indica aos serviços um mínimo de 15 caracteres quando a senha é a única proteção e de 8 quando há um segundo fator. Para você, a regra prática é: 15 ou mais, ou uma frase de pelo menos quatro palavras sorteadas — cinco ou seis para a senha mestra do gerenciador.

Preciso trocar minhas senhas de tempos em tempos?

Não por calendário. Troque quando houver motivo: aviso de vazamento, acesso estranho na conta, senha compartilhada com alguém ou reutilizada em outro site. Trocas forçadas costumam gerar variações previsíveis (Senha01, Senha02).

Só números é seguro?

Para um PIN de cartão ou de celular, que bloqueia depois de poucas tentativas, sim — desde que não seja uma data nem uma sequência (o gerador de PIN evita essas escolhas). Para contas na internet, não: são poucas combinações por caractere.

Veja também

• Gerador de Senha Segura
• Gerador de Senha por Frase
• Gerador de PIN
• Gerador de Código TOTP (2FA)
• Gerador de Hash Bcrypt