Pergunta-se se a sua palavra-passe resistiria de facto a um atacante? Escreva-a ou cole-a no verificador para ver a sua robustez estimada em tempo real — a sua entropia em bits, aproximadamente quanto tempo demoraria a decifrá-la e uma lista de verificação do que é forte e do que melhorar. Tudo é analisado localmente no seu navegador através de JavaScript, pelo que a sua palavra-passe nunca é enviada, registada ou armazenada em lado nenhum.

Como se mede a robustez de uma palavra-passe

A robustez resume-se a uma só questão: quantas tentativas seriam necessárias a um atacante até acertar na sua? Quanto mais imprevisível for a sua palavra-passe, mais tentativas são necessárias. Isto mede-se em entropia, expressa em bits — e cada bit adicional duplica o número de possibilidades. Uma palavra-passe com 40 bits de entropia pode ser quebrada rapidamente por hardware moderno; uma com 80 bits ou mais está confortavelmente fora do alcance da força bruta atualmente.

O nosso verificador estima a entropia a partir de dois fatores: o comprimento da palavra-passe e a dimensão do seu conjunto de caracteres (minúsculas, maiúsculas, números e símbolos aumentam cada um o conjunto). Depois reduz essa estimativa quando deteta padrões previsíveis — uma palavra-passe comum, uma sequência de teclado como qwerty, uma sequência como 1234 ou o mesmo caractere repetido — porque os atacantes experimentam esses primeiro. O valor do tempo para decifrar pressupõe um ataque offline rápido de cerca de um bilião de tentativas por segundo, um cenário deliberadamente pessimista, pelo que uma palavra-passe aqui classificada como "Muito forte" tem uma margem saudável no mundo real.

O que torna uma palavra-passe fraca

A maioria das palavras-passe comprometidas partilha o mesmo punhado de falhas. O verificador assinala cada uma delas:

• Demasiado curta. O comprimento importa mais do que tudo o resto. Uma palavra-passe curta — mesmo que aleatória — simplesmente tem demasiado poucas combinações.
• Palavras-passe comuns. Palavras como password, 123456 e qwerty constam da lista de qualquer atacante e caem instantaneamente.
• Padrões previsíveis. Sequências de teclado (asdf), sequências numéricas (1234) e caracteres repetidos (aaaa) acrescentam comprimento sem acrescentar imprevisibilidade real.
• Um único tipo de caractere. Palavras-passe só com minúsculas ou só com números mantêm o conjunto de caracteres pequeno e a entropia baixa.
• Informação pessoal. Nomes, datas de nascimento e nomes de animais de estimação são fáceis de adivinhar ou de encontrar online, por isso evite-os, ainda que um verificador não os consiga detetar.

O que torna uma palavra-passe forte

• O comprimento em primeiro lugar. Procure ter pelo menos 12 caracteres, e 16 ou mais para contas importantes. Mais longa supera sempre mais curta.
• Uma combinação de tipos de caracteres. Combinar maiúsculas, minúsculas, números e símbolos amplia o conjunto e aumenta a entropia.
• Aleatoriedade, não padrões. As palavras-passe mais fortes não têm palavras, nem sequências, nem qualquer estrutura que um atacante consiga prever.
• Exclusividade. Mesmo uma palavra-passe forte é arriscada se a reutilizar — um único site comprometido expõe então todas as contas que a partilham.

A forma mais fácil de cumprir os quatro pontos de uma só vez é deixar um gerador fazê-lo por si. Crie uma agora com o nosso gerador de palavras-passe gratuito e depois cole-a de volta aqui para confirmar a sua robustez.

Como interpretar os resultados

À medida que escreve, o medidor desloca-se de Fraca para Muito forte, e a lista de requisitos assinala cada propriedade que a sua palavra-passe possui: comprimento, maiúsculas, minúsculas, números, símbolos e a ausência de palavras ou padrões comuns. A linha de feedback aponta-lhe a única coisa mais importante a corrigir. Procure preencher todos os requisitos e atingir "Muito forte" antes de confiar uma palavra-passe a uma conta importante.

É seguro escrever a minha palavra-passe aqui?

Sim. O verificador funciona inteiramente no seu navegador — não há qualquer servidor envolvido na análise. O que escreve nunca é transmitido pela rede, nunca é escrito num registo e nunca é armazenado; desaparece no momento em que fecha ou recarrega a página. Pode até desligar-se da internet e o verificador continua a funcionar. Para saber que dados limitados e anónimos o próprio website recolhe, consulte a nossa Política de Privacidade. Como hábito geral, introduza as suas palavras-passe reais apenas em ferramentas em que confia e que, tal como esta, fazem todo o trabalho localmente.

Perguntas frequentes

Isto envia a minha palavra-passe para algum lado?

Não. Toda a análise acontece no seu navegador com JavaScript. A sua palavra-passe nunca é enviada, registada ou armazenada, e desaparece assim que sai da página.

Qual é a precisão da estimativa de robustez?

É uma estimativa sólida e transparente baseada no comprimento, na variedade de caracteres e na deteção de padrões comuns — os mesmos fatores que mais importam em ataques reais. Nenhum verificador pode ser perfeito (não pode saber, por exemplo, que uma palavra-passe é o nome do seu cão), por isso encare o resultado como uma orientação sólida e não como uma garantia.

O que é uma boa entropia ou um bom tempo para decifrar?

Acima de cerca de 80 bits de entropia é difícil de quebrar por força bruta com o hardware atual, e 100+ bits deixam uma ampla margem de segurança. Se o tempo estimado para decifrar for medido em séculos ou mais, está em boa forma.

A minha palavra-passe obteve uma pontuação baixa apesar de parecer complexa. Porquê?

A complexidade que segue um padrão não é tão forte quanto parece. Substituições como P@ssw0rd, sequências de teclado e comprimento curto reduzem todas a pontuação porque os atacantes contam com elas. O comprimento e a aleatoriedade genuína são o que mais a aumenta.

O que devo fazer com uma palavra-passe fraca?

Substitua-a. Gere uma longa e aleatória com o nosso gerador de palavras-passe, guarde-a num gestor de palavras-passe e ative a autenticação de dois fatores na conta para uma camada adicional de proteção.