Gerar uma palavra-passe segura

Em 2026, as recomendações comuns (ANSSI, NIST, OWASP) rondam os 12 caracteres no mínimo para uma conta padrão, e 16 caracteres ou mais para uma conta sensível (administrador, cofre, e-mail principal). Com um alfabeto completo de 94 caracteres imprimíveis, uma palavra-passe de 12 caracteres atinge já cerca de 78 bits de entropia, o que resiste a ataque por força bruta offline em hardware de consumo.

O comprimento ganha largamente. Duplicar o comprimento de uma palavra-passe multiplica o seu espaço de procura por um fator enorme, enquanto acrescentar uma classe de caracteres apenas alarga o alfabeto. Uma frase-passe de 20 caracteres em minúsculas é mais sólida do que uma palavra de 8 caracteres com maiúsculas, dígitos e símbolos. Opte portanto por palavras-passe longas antes de as tornar exóticas.

A entropia mede a imprevisibilidade da palavra-passe, expressa em bits. Para uma palavra-passe verdadeiramente aleatória de comprimento L retirada de um alfabeto de N caracteres, a entropia vale L × log2(N). Uma palavra-passe de 12 caracteres retirados ao acaso entre 94 símbolos oferece cerca de 78 bits. Abaixo de 60 bits, considera-se a palavra-passe atacável offline. Acima de 80 bits, torna-se fora de alcance prático.

Não. A geração efetua-se no seu navegador através de crypto.getRandomValues(), a API criptograficamente segura exposta pelos navegadores modernos. Nenhuma palavra-passe é enviada para o servidor, nem registada, nem colocada em cache. Pode utilizar a ferramenta offline após o carregamento inicial da página, o que a torna uma ferramenta segura para gerar segredos sensíveis.

As recomendações evoluíram. O NIST e a ANSSI desaconselham atualmente a rotação automática regular sem motivo: empurra os utilizadores para variantes fracas. Mude uma palavra-passe apenas se suspeita de comprometimento, se aparecer numa fuga (teste no Have I Been Pwned), ou se for partilhada com alguém que já não deve ter acesso. Use antes palavras-passe longas, únicas por site, armazenadas num gestor.

Os ataques modernos não testam as combinações uma a uma, partem de dicionários enormes (palavras, nomes próprios, datas, padrões de substituição como @ por a) e aplicam regras de mutação. Motdepasse123! cai em segundos. Prefira uma palavra-passe verdadeiramente aleatória gerada por uma ferramenta como esta, ou uma frase-passe constituída por várias palavras independentes tiradas ao acaso (método diceware).