Gerador de senhas

O que torna uma senha forte

Uma senha é difícil de adivinhar quando foi escolhida ao acaso entre um número enorme de combinações possíveis. Essa quantidade costuma ser medida em bits de entropia: cada bit a mais dobra o número de combinações que um atacante teria de testar.

O tamanho é o que mais pesa. Acrescentar caracteres multiplica as combinações muito mais do que ampliar os tipos de caracteres: uma senha de 20 caracteres só com minúsculas tem mais entropia (cerca de 94 bits) do que uma de 12 com minúsculas, maiúsculas, números e símbolos (cerca de 78 bits).

O que não traz segurança é a aparência de complexidade. “Senha123!” cumpre as regras de muitos formulários, mas segue um padrão muito comum e é fácil de adivinhar. As senhas desta ferramenta não seguem padrões: cada caractere é escolhido ao acaso.

Como a entropia e a força são calculadas

A entropia mostrada é aproximada: tamanho × log₂(número de caracteres possíveis). Com os quatro tipos ativados há 90 caracteres possíveis, então cada caractere contribui com cerca de 6,5 bits. A ferramenta garante pelo menos um caractere de cada tipo marcado, o que descarta uma pequena parte das combinações e reduz muito pouco a entropia real.

A indicação de força usa estes limites:

• Fraca: menos de 60 bits.
• Razoável: de 60 a 74 bits.
• Forte: de 75 a 99 bits.
• Muito forte: 100 bits ou mais.

Como as senhas são geradas

Cada caractere é escolhido com crypto.getRandomValues, o gerador criptograficamente seguro do navegador. Para que nenhum caractere apareça mais do que outro é usada amostragem por rejeição, que evita o chamado viés do módulo. Depois, os caracteres são embaralhados com o algoritmo de Fisher-Yates para que os caracteres obrigatórios não fiquem sempre nas mesmas posições.

Tudo acontece no seu navegador. As senhas não são enviadas para nenhum servidor, não são armazenadas e não são registradas em ferramentas de análise.

Boas práticas

Uma senha aleatória só protege bem se for usada do jeito certo:

• Use uma senha diferente para cada serviço. Se um site sofrer um vazamento, as outras contas continuam seguras.
• Guarde-as num gerenciador de senhas: assim você não precisa decorá-las e pode usar senhas longas sem esforço.
• Ative a verificação em duas etapas nas contas importantes (e-mail, banco, redes sociais).
• Para a senha mestra do gerenciador, que você vai precisar decorar, uma frase longa com várias palavras aleatórias é mais fácil de lembrar do que uma sequência de símbolos.