A resposta curta
Para qualquer conta que importa, use uma senha aleatória de 16 caracteres ou mais, com letras maiúsculas e minúsculas, números e símbolos, e guarde em um gerenciador de senhas. Se você precisa digitar ou lembrar a senha, use uma frase-senha de 6 ou mais palavras aleatórias. A senha mestra do gerenciador e a do seu e-mail principal merecem as mais longas, porque elas abrem todo o resto.
A recomendação atual do NIST, o órgão de padrões dos Estados Unidos que serve de referência no mundo todo (SP 800-63B, revisada em 2025), pede que os serviços exijam pelo menos 15 caracteres quando a senha é a única proteção da conta e que aceitem senhas de pelo menos 64 caracteres. Ela também pede que os serviços parem de obrigar trocas periódicas e de exigir misturas de caracteres, e que bloqueiem senhas que já aparecem em listas de vazamentos. Em outras palavras: tamanho e exclusividade, não regras complicadas.
Experimente aqui: Gerador de senhas
Abrir a página completa da ferramentaEntropia explicada de forma simples
A força de uma senha é medida em bits de entropia. Cada bit dobra o número de tentativas que um invasor precisa fazer. Uma senha aleatória tem tamanho vezes log2(tamanho do conjunto) bits, onde o conjunto é a quantidade de caracteres possíveis. Só letras minúsculas dão cerca de 4,7 bits por caractere, letras e números cerca de 5,95, e o conjunto completo de 87 caracteres usado pelo gerador desta página cerca de 6,44.
Assim, uma senha de 16 caracteres com os quatro tipos tem cerca de 103 bits, enquanto uma de 8 caracteres tem só uns 51. Acrescentar um caractere soma 6,44 bits, o que multiplica o trabalho por cerca de 87. Colocar um símbolo em uma senha curta ajuda muito menos que acrescentar vários caracteres.
A entropia só vale para senhas realmente aleatórias. Verao2026! parece ter 10 caracteres variados, mas os invasores não adivinham letra por letra: eles testam palavras, nomes, anos e uma maiúscula no começo com um símbolo no final. A força real dela é uma fração minúscula do que a fórmula sugere.
| Tamanho | Só minúsculas | Letras e números | Os 4 tipos (87 caracteres) |
|---|---|---|---|
| 8 caracteres | 38 bits, cerca de 10 segundos | 48 bits, cerca de 3 horas | 51 bits, cerca de 2 dias |
| 12 caracteres | 56 bits, cerca de 55 dias | 71 bits, cerca de 5.000 anos | 77 bits, cerca de 300.000 anos |
| 16 caracteres | 75 bits, cerca de 69.000 anos | 95 bits, muito além de uma vida | 103 bits, muito além de uma vida |
| 20 caracteres | 94 bits, muito além de uma vida | 119 bits, muito além de uma vida | 129 bits, muito além de uma vida |
O que significam os tempos para quebrar
Os tempos da tabela são médias para um ataque offline a dez bilhões de tentativas por segundo, a mesma premissa que o gerador acima usa na estimativa. Essa velocidade é realista para algumas placas de vídeo atacando um banco de dados vazado que usava um hash rápido. Hashes lentos como bcrypt ou Argon2 reduzem a velocidade em muitas ordens de grandeza, enquanto um grande cluster na nuvem pode aumentá-la, então use os tempos como comparação, não como promessa.
Ataques online contra uma tela de login são bem mais lentos por causa dos limites de tentativas, mas você não tem como saber como um site guarda as senhas. Parta do princípio de que a sua senha vai vazar um dia como hash e escolha uma que aguente isso. Cerca de 80 bits é muito forte para qualquer conta online; 100 bits ou mais é uma margem confortável para uma senha mestra ou chave de criptografia.
Frase-senha ou sequência aleatória
Uma frase-senha são várias palavras sorteadas de uma lista grande, por exemplo com dados e a lista da EFF ou Diceware de 7.776 palavras. Cada palavra soma cerca de 12,9 bits. Quatro palavras dão cerca de 52 bits, cinco uns 65, seis uns 78 e sete uns 90. Seis palavras aleatórias são mais ou menos tão fortes quanto uma senha aleatória de 12 caracteres e muito mais fáceis de digitar no celular ou no controle remoto da TV.
As palavras precisam ser sorteadas, não escolhidas por você. Um verso de música, uma citação ou quatro palavras que formam uma frase estão todos nos dicionários dos invasores. Separadores e letras maiúsculas acrescentam pouco; palavras a mais acrescentam muito.
Use uma sequência aleatória quando a senha fica no gerenciador e você nunca a digita. Use uma frase-senha para os poucos segredos que precisa lembrar: o próprio gerenciador de senhas, o login do computador e talvez o seu e-mail principal.
| Método | Tamanho de exemplo | Entropia | Melhor para |
|---|---|---|---|
| Caracteres aleatórios, todos os tipos | 16 caracteres | cerca de 103 bits | Contas guardadas em um gerenciador de senhas |
| Caracteres aleatórios, todos os tipos | 20 caracteres | cerca de 129 bits | Senhas de Wi-Fi, chaves de API, criptografia |
| Palavras aleatórias (lista de 7.776) | 6 palavras | cerca de 78 bits | Senha mestra, login do dispositivo |
| Palavras aleatórias (lista de 7.776) | 7 palavras | cerca de 90 bits | Senha mestra do gerenciador de senhas |
| Números aleatórios | PIN de 6 dígitos | cerca de 20 bits | Só celulares e cartões com limite de tentativas |
O gerenciador de senhas faz a parte difícil
Ninguém consegue lembrar 100 senhas diferentes de 16 caracteres, e é por isso que as pessoas repetem senhas. A repetição é a forma como a maioria das contas é invadida: um site vaza, e os invasores testam o mesmo e-mail e a mesma senha em todos os outros. Um gerenciador de senhas guarda uma senha aleatória diferente para cada site e preenche para você, então o tamanho não custa nada.
As opções que já vêm prontas servem para a maioria das pessoas: os gerenciadores do Chrome, Edge, Firefox e Safari, o app Senhas da Apple no iPhone e no Mac e o Gerenciador de Senhas do Google no Android sincronizam entre os dispositivos. Apps dedicados acrescentam compartilhamento, acesso de emergência e suporte a qualquer navegador. Proteja o gerenciador com uma frase-senha longa e ative a verificação em duas etapas nele e no seu e-mail.
PIN é um caso à parte
Um PIN de 4 dígitos tem só 10.000 combinações e um de 6 dígitos um milhão, o que seria inútil como senha. O PIN funciona porque o dispositivo impõe o limite: o celular se apaga ou trava por horas depois de várias tentativas erradas, e o cartão do banco é bloqueado depois de três. Essa proteção só existe no dispositivo, então nunca use um PIN como senha de site.
Evite os PINs que todo mundo escolhe: 1234, 0000, 1111, ano de nascimento e datas. Escolha 6 dígitos quando o dispositivo permitir e deixe o Gerador de PIN desta ferramenta escolher por você.
O que deixa uma senha fraca
- Repetição: a mesma senha em dois sites significa que o vazamento de um abre os dois.
- Informação pessoal: nomes, pets, aniversários, time do coração e cidades estão nas redes sociais.
- Padrões: inicial maiúscula, um ano e um ponto de exclamação no final são as primeiras variações que as ferramentas testam.
- Sequências do teclado: qwerty, 1qaz2wsx e asdfgh estão em toda lista de palavras.
- Substituições: S3nh@ e truques parecidos são conhecidos e quase não acrescentam nada.
- Mudanças pequenas: trocar senha1 por senha2 depois de uma troca obrigatória é adivinhado na hora.
- Tamanho curto: abaixo de 12 caracteres, até uma senha aleatória pode cair em um ataque offline.
Dicas para usar o gerador
Deixe os quatro tipos de caracteres ligados, a não ser que um site recuse símbolos; nesse caso, desative os símbolos e acrescente 2 ou 3 caracteres para manter a mesma força. Ative Evitar caracteres parecidos para senhas que você vai ditar ou digitar a partir de um papel, como a senha do Wi-Fi na etiqueta do roteador. Isso remove caracteres como 0 e O ou 1, l e I e reduz um pouco a entropia, então acrescente um ou dois caracteres.
Use Quantidade para criar um lote, por exemplo senhas provisórias para contas de novos funcionários. A senha é criada com o gerador aleatório seguro do seu navegador e nunca é enviada nem salva, então copie para o seu gerenciador de senhas antes de sair da página.