Como criar senhas seguras e guardá-las do jeito certo

Para criar senhas seguras, priorize o tamanho: use pelo menos 15 caracteres, de preferência uma frase-senha com cinco ou mais palavras escolhidas ao acaso, e nunca repita a mesma senha em dois serviços. Guarde todas elas em um gerenciador de senhas e ative a verificação em duas etapas nas contas importantes. Misturar símbolos e trocar a senha todo mês, a receita antiga, ajuda pouco e foi abandonada pelas diretrizes atuais do NIST.

O que torna uma senha forte

Uma senha é forte quando é difícil de adivinhar, seja por uma pessoa, seja por um programa que testa bilhões de combinações. Dois fatores decidem isso: quantas combinações possíveis existem e se a senha foi escolhida ao acaso.

O número de combinações cresce de forma explosiva com o tamanho. Cada caractere a mais multiplica o total. Já trocar letras por símbolos aumenta pouco, porque os atacantes conhecem os truques de sempre: "a" vira "@", "o" vira "0", e um ponto de exclamação vai no fim. "Senha@2026!" parece complexa, mas segue um padrão que qualquer ferramenta de ataque testa logo nas primeiras tentativas.

A tabela mostra a conta. Os números são o total de combinações possíveis para senhas geradas de forma realmente aleatória:

Repare que 15 letras minúsculas superam com folga 8 caracteres "complexos". O tamanho ganha. Mas há uma condição: a escolha precisa ser aleatória. Uma frase famosa, um verso de música ou o nome do filho seguido do ano de nascimento não têm nada de aleatório e caem rápido em ataques de dicionário, que testam primeiro palavras, nomes e combinações comuns.

Como criar senhas seguras na prática

Você só precisa memorizar poucas senhas: a do gerenciador de senhas, a do celular e a do computador. Para todas as outras, deixe o gerenciador gerar sequências aleatórias longas. Para as que você vai decorar, a melhor técnica é a frase-senha.

1. Sorteie as palavras. Use um gerador de frases-senha ou o método dos dados (Diceware), em que cada lançamento aponta uma palavra de uma lista de 7.776. O importante é que você não escolha as palavras: o cérebro humano é péssimo em ser aleatório.
2. Use pelo menos cinco palavras. A CISA, agência de cibersegurança dos Estados Unidos, fala em 4 a 7 palavras sem relação entre si. Para a senha principal do gerenciador, fique no topo dessa faixa.
3. Separe as palavras. Hífen, espaço ou ponto facilitam a digitação e a leitura. Um número ou uma letra maiúscula no meio é opcional, se algum site exigir.
4. Crie uma imagem mental. "Cravo, pista, lento, urso, mapa, gelo": imagine um urso lento numa pista de gelo, com um cravo e um mapa. Ajuda a lembrar nos primeiros dias.
5. Não reaproveite nem use variações. "frase-do-banco1" e "frase-do-banco2" são, para um atacante, quase a mesma senha.

O que o NIST SP 800-63B recomenda hoje

O NIST, instituto de padrões dos Estados Unidos, mantém as diretrizes de identidade digital mais usadas como referência no mundo. A versão vigente é a SP 800-63B-4, publicada em sua forma final em julho de 2025, que substituiu a revisão anterior. Ela foi escrita para sistemas do governo americano, mas virou a base de boas práticas de empresas em todo lugar. Os pontos principais sobre senhas:

• Tamanho mínimo: 15 caracteres quando a senha é o único fator de autenticação. Se ela faz parte de um login com dois fatores, pode ter no mínimo 8.
• Tamanho máximo: os sistemas devem aceitar pelo menos 64 caracteres, para não barrar frases-senha.
• Sem regras de composição: os sistemas não devem exigir mistura de maiúsculas, números e símbolos.
• Sem troca periódica: a troca obrigatória a cada tantos meses deixou de ser permitida. A troca deve ser exigida quando houver indício de comprometimento.
• Lista de bloqueio: toda senha nova deve ser comparada com uma lista de senhas vazadas, comuns ou óbvias, incluindo o nome do serviço e o nome do usuário.
• Gerenciadores bem-vindos: os sistemas devem permitir gerenciadores de senha e preenchimento automático, e devem permitir colar a senha.
• Sem dicas e sem perguntas de segurança: nada de "nome do primeiro animal de estimação" na hora de criar a senha.
• Limite de tentativas: o sistema precisa limitar tentativas erradas seguidas para frear ataques de força bruta.

O recado geral é que as regras chatas de antigamente pioravam a segurança: levavam as pessoas a criar senhas curtas e previsíveis e a anotá-las em qualquer lugar.

Reuso de senha e vazamentos: o credential stuffing

Vazamentos de dados acontecem o tempo todo, em lojas, fóruns, aplicativos e até grandes empresas. Quando uma base com e-mails e senhas vaza, ela circula entre criminosos. O passo seguinte é automático: programas pegam cada par de e-mail e senha e testam em centenas de outros sites, como bancos, e-mails, redes sociais e lojas. Esse ataque se chama credential stuffing, algo como "recheio de credenciais".

Ele não depende de nenhuma falha técnica no site atacado. Depende só de uma coisa: a pessoa ter repetido a senha. Por isso, a regra mais importante deste artigo é simples: uma senha diferente para cada serviço. Assim, um vazamento fica restrito a uma conta.

Se você souber que um serviço que usa foi vazado, aja rápido: o CERT.br, centro de resposta a incidentes da internet no Brasil, lembra que a velocidade reduz o impacto do vazamento. Troque a senha ali e em qualquer outro lugar onde ela se repetia, ative a verificação em duas etapas e fique atento a mensagens que tentem aproveitar o vazamento: e-mails e SMS falsos em nome do serviço são o desdobramento mais comum, como mostra o artigo sobre golpes digitais e phishing.

Gerenciador de senhas: o que é e como escolher

Um gerenciador de senhas é um aplicativo que cria, guarda e preenche suas senhas. Você memoriza uma frase-senha forte, a senha principal, e ele cuida do resto. Também protege contra phishing de um jeito discreto: o preenchimento automático só funciona no endereço certo, então um site falso parecido com o do seu banco não recebe a senha.

Na hora de escolher, avalie:

• Criptografia no seu aparelho, com conhecimento zero. O cofre deve ser cifrado antes de sair do aparelho, e o fornecedor não deve ter como lê-lo. O artigo sobre criptografia de dados explica esse modelo.
• Derivação de chave forte. A chave do cofre deve sair da senha principal por um algoritmo lento de propósito, como Argon2id ou PBKDF2 com muitas iterações.
• Verificação em duas etapas na própria conta do gerenciador.
• Gerador e auditoria de senhas: criar senhas aleatórias e apontar as fracas, repetidas e vazadas.
• Disponível onde você usa: celular, computador e navegador, com sincronização.
• Importação e exportação: trazer o que já está salvo no navegador ou em outro gerenciador, e poder sair se quiser.
• Transparência: documentação clara de segurança, sem anúncios e sem rastreadores.

Como empresas devem guardar senhas

Quem cria um sistema com login tem a obrigação de proteger as senhas dos usuários. A LGPD exige medidas técnicas de segurança para dados pessoais, e senha mal guardada é um dos piores tipos de vazamento. A regra é: o sistema nunca deve conseguir ler a senha. Ele guarda apenas um hash, uma espécie de impressão digital sem volta, e na hora do login compara o hash da senha digitada com o que está salvo.

Mas não serve qualquer hash. Funções rápidas como MD5, SHA-1 ou mesmo SHA-256 puro permitem que um atacante com placas de vídeo teste bilhões de palpites por segundo contra uma base vazada. O certo é usar algoritmos feitos para senhas, lentos e caros de propósito. A OWASP, comunidade de referência em segurança de aplicações, recomenda nesta ordem:

1. Argon2id: a primeira escolha. Configuração mínima sugerida: 19 MiB de memória, 2 iterações e paralelismo 1. Por exigir memória, ele encarece ataques com hardware especializado.
2. scrypt: quando o Argon2id não estiver disponível.
3. bcrypt: para sistemas legados, com fator de custo 10 ou mais. A maioria das implementações só considera os primeiros 72 bytes da senha, então limite o tamanho de entrada ou trate isso no código.
4. PBKDF2: quando há exigência de conformidade FIPS-140, com 600.000 iterações no PBKDF2-HMAC-SHA256.

Junto com o algoritmo vem o sal: um valor aleatório e único, gerado para cada usuário e guardado ao lado do hash. Ele faz com que duas pessoas com a mesma senha tenham hashes diferentes e inutiliza tabelas pré-calculadas. O NIST exige sal de pelo menos 32 bits e recomenda uma camada extra, a pimenta (pepper): uma chave secreta guardada fora do banco, de preferência em um HSM.

Outras práticas que completam o pacote: transmitir senhas só por TLS, limitar tentativas de login, conferir senhas novas contra listas de vazadas, nunca registrar senhas em logs e oferecer verificação em duas etapas. O guia de segurança cibernética para empresas mostra como isso se encaixa em uma política maior. Em ambientes de pagamento, o PCI DSS também tem exigências próprias de senha e de autenticação multifator, resumidas no artigo sobre PCI DSS e tokenização.

O papel do 2FA

Mesmo a melhor senha pode ser roubada por um site falso, um vírus ou um vazamento. A verificação em duas etapas (2FA) acrescenta uma segunda prova de identidade, algo que você tem, como o celular, além de algo que você sabe, a senha. Assim, quem tiver só a senha não entra.

Entre as opções mais comuns, o SMS é a mais fraca, porque o número pode ser transferido para outro chip em golpes. Os aplicativos autenticadores, que geram códigos temporários pelo padrão TOTP (em geral, 6 dígitos que mudam a cada 30 segundos), são um passo acima. Chaves físicas e chaves de acesso (passkeys) vão além, porque resistem a sites falsos. Os detalhes de cada método estão no artigo sobre autenticação de dois fatores.

Se quiser juntar as duas coisas em um só lugar, o TKI Pass é um app gratuito da TKI que reúne autenticador de códigos TOTP e cofre de senhas e notas, com gerador de senhas e alerta de senhas fracas, repetidas ou vazadas. Cada item é cifrado com AES-256-GCM, com a chave derivada da sua senha por Argon2id no próprio aparelho, e importa dados do Google Authenticator, do Chrome, do Bitwarden e do 1Password. Funciona em iPhone, iPad, Mac, Apple Watch e navegador, sem anúncios e sem rastreadores.

Perguntas frequentes

Quantos caracteres deve ter uma senha segura?

Quanto mais, melhor. O NIST exige pelo menos 15 caracteres quando a senha é o único fator de acesso, e a CISA recomenda no mínimo 16. Uma frase-senha com várias palavras aleatórias chega a esse tamanho com facilidade.

É preciso trocar a senha de tempos em tempos?

Não. A diretriz atual do NIST proíbe exigir troca periódica. A senha deve ser trocada quando houver indício de que foi exposta, como um vazamento ou um acesso estranho.

Gerenciador de senhas é seguro?

Um bom gerenciador é bem mais seguro do que repetir senhas ou anotá-las. Prefira os que cifram tudo no seu aparelho, com conhecimento zero, e proteja a conta dele com uma frase-senha forte e verificação em duas etapas.

O que é credential stuffing?

É o ataque em que criminosos pegam pares de e-mail e senha vazados de um serviço e testam automaticamente em outros sites. Só funciona porque muita gente repete a mesma senha em vários lugares.

Como saber se minha senha vazou?

Bons gerenciadores de senhas conferem suas senhas contra bases de vazamentos conhecidos e avisam quando alguma aparece. Se isso acontecer, troque a senha naquele serviço e em qualquer outro onde ela se repetia.

Como as empresas devem guardar as senhas dos clientes?

Nunca em texto aberto nem com hash rápido. O certo é usar um algoritmo próprio para senhas, como Argon2id ou bcrypt, com um sal aleatório para cada usuário.