Como criar uma senha forte

Quase tudo o que se ensina sobre senha forte está desatualizado. Trocar "a" por "@", exigir um símbolo e mandar mudar a cada 90 dias são regras dos anos 2000 que hoje atrapalham mais do que ajudam. O que realmente protege é outra coisa — e dá para medir.

A medida certa: entropia, não "complexidade"

A força de uma senha é medida em bits de entropia: quantas tentativas um atacante precisaria fazer, em média, para acertar. A fórmula é simples:

entropia = comprimento × log₂(tamanho do alfabeto)

Um alfabeto de letras minúsculas e dígitos tem 36 símbolos; com maiúsculas e pontuação, chega a 95. Mas repare no que a fórmula diz: o alfabeto entra no logaritmo e o comprimento entra multiplicando. Ou seja, cada caractere a mais vale muito mais que qualquer símbolo especial.

Quanto tempo cada senha resiste

A tabela abaixo assume um atacante offline capaz de testar 100 bilhões de tentativas por segundo — realista para hardware dedicado contra um vazamento de banco de dados com hash fraco.

Senha	Entropia	Tempo até quebrar
8 caracteres, minúsculas e números	41 bits	28 segundos
8 caracteres, todo o teclado	53 bits	menos de um dia
4 palavras aleatórias	52 bits	menos de um dia
5 palavras aleatórias	65 bits	cerca de 9 anos
12 caracteres, todo o teclado	79 bits	170 mil anos

Duas conclusões incômodas saltam da tabela. A primeira: oito caracteres não são suficientes, use o teclado inteiro que quiser. A segunda: quatro palavras aleatórias também não são — o conselho popular das "três ou quatro palavrinhas" já ficou para trás, e o mínimo hoje é cinco.

A regra que vale mais que a força da senha

Aqui está o ponto que muda tudo, e que quase nenhuma orientação enfatiza o bastante: uma senha única e mediana protege mais que uma senha excelente reutilizada.

O ataque mais comum hoje não é força bruta, é credential stuffing: alguém pega e-mail e senha de um vazamento antigo de um site qualquer e testa a mesma combinação em banco, e-mail e rede social. Nesse ataque, a complexidade da sua senha é irrelevante — ela já é conhecida. O que importa é ela não abrir outra porta.

Daí a ordem de prioridade real:

1. Senha diferente em cada serviço — protege contra o ataque mais comum.
2. Autenticação em dois fatores — protege mesmo quando a senha vaza.
3. Gerenciador de senhas — é o que torna as duas primeiras viáveis.
4. Comprimento — só então, e antes de qualquer preocupação com símbolos.

Nem toda conta merece o mesmo cuidado

Proteger 80 contas com o mesmo rigor é inviável, e não é preciso. Existe uma hierarquia clara:

• O e-mail principal é a chave-mestra. Quem controla seu e-mail redefine a senha de quase todo o resto — banco, redes sociais, compras. É a conta que merece a senha mais longa e 2FA obrigatório, sem exceção.
• Depois vêm banco, gerenciador de senhas e conta do celular (Apple ou Google), que guardam meio de pagamento e localização.
• Por último, o resto. O fórum em que você entrou uma vez em 2019 pode ter uma senha gerada aleatoriamente que você nunca verá — desde que seja única.

Três regras antigas que já foram abandonadas

• Trocar a senha a cada 90 dias. O NIST retirou essa recomendação: forçar trocas frequentes leva a padrões previsíveis (Senha1, Senha2, Senha3) e piora a segurança. Troque quando houver suspeita de vazamento.
• Substituir letras por símbolos. Trocar "a" por "@" e "e" por "3" é a primeira coisa que qualquer ferramenta de quebra testa. "S3nh@" não é mais forte que "senha" — é a mesma palavra com uma regra pública aplicada.
• Exigir símbolo, maiúscula e número. Regras de composição empurram todo mundo para o mesmo padrão previsível: primeira letra maiúscula, número no fim, símbolo antes dele. Comprimento entrega mais segurança com menos atrito.

Perguntas frequentes

Como escolher palavras realmente aleatórias? A parte difícil é essa: palavras escolhidas pela sua cabeça não são aleatórias, e a entropia da tabela acima só vale para sorteio real. Use o gerador do seu gerenciador de senhas, ou o método de dados (diceware), que sorteia de uma lista de 7.776 palavras.

É seguro guardar tudo num gerenciador? É, e é bem mais seguro que a alternativa real — que não é "memorizar 80 senhas fortes", e sim reutilizar três senhas em tudo. Proteja o gerenciador com uma senha-mestra longa e 2FA.

Anotar senha no papel é errado? Depende da ameaça. Para a maioria das pessoas, o atacante está do outro lado do mundo, não dentro de casa — um papel guardado numa gaveta é infinitamente melhor que reutilizar senha. Só não cole no monitor.

Como sei se minha senha vazou? Serviços de verificação de vazamento consultam bases públicas de credenciais expostas a partir do seu e-mail. Se aparecer, troque a senha daquele serviço e de todos os outros onde ela foi reutilizada — que é justamente o problema.