Gerador de senhas fortes

Uma senha forte é longa, sorteada ao acaso e usada em uma única conta. O gerador acima cria senhas de 8 a 128 caracteres ou frases-senha com palavras em português, mostra a força estimada em bits e funciona inteiro no seu navegador: nada do que ele gera é enviado para a internet.

Como usar o gerador de senhas

Senha aleatória ou frase-senha?

As duas são seguras quando sorteadas por uma máquina. A diferença está no uso: letras e símbolos soltos rendem mais força por caractere, enquanto palavras são muito mais fáceis de lembrar e de digitar num controle remoto ou num teclado de celular.

A lista de palavras da ferramenta tem 2.048 palavras comuns do português, sem acentos nem cedilha, para não causar problemas em teclados estrangeiros. Como 2.048 é 2 elevado a 11, cada palavra sorteada soma exatamente 11 bits. O segredo está no sorteio: uma frase escolhida por você, como um verso de música, é fácil de adivinhar, por mais longa que seja.

Como interpretar a força: entropia em bits

Entropia mede quantas senhas diferentes o gerador poderia ter criado com as mesmas opções. Cada bit dobra essa quantidade: 70 bits equivalem a cerca de um sextilhão de possibilidades. Para senhas aleatórias, a conta é comprimento × log₂(caracteres possíveis). Com 16 caracteres escolhidos entre 74 (letras, números e os 12 símbolos básicos), o resultado fica perto de 99 bits.

A opção que exige pelo menos um caractere de cada tipo descarta algumas combinações, e o medidor já desconta isso com a conta exata. Ele também é honesto quanto ao alcance: o número vale para senhas sorteadas aqui. Senhas inventadas por pessoas seguem padrões (nome, data, palavra com @ no lugar do a) e caem muito antes, porque os ataques testam primeiro listas de senhas vazadas e suas variações.

Os tempos são médias (metade de todas as combinações) num cenário pessimista: o banco de dados de um site vazou e o atacante testa as senhas no próprio computador. Uma única placa RTX 4090 calcula cerca de 164 bilhões de hashes MD5 por segundo e 184 mil hashes bcrypt de custo 5 no benchmark público do Hashcat; o custo 10, padrão de muitas bibliotecas usadas por sites, é 32 vezes mais lento. A coluna de 1 trilhão por segundo equivale a umas seis placas atacando MD5. Na tela de login, onde há limite de tentativas, os tempos seriam incomparavelmente maiores.

O que as diretrizes atuais recomendam

A referência mais citada é a publicação SP 800-63B-4 do NIST, cuja versão final saiu em 2025. Para quem cria sistemas, ela determina:

• mínimo de 15 caracteres quando a senha é o único fator de autenticação, e 8 quando há outro fator;
• aceitar senhas de pelo menos 64 caracteres, com espaços e qualquer caractere imprimível;
• não impor regras de composição, como exigir maiúscula, número e símbolo;
• não obrigar trocas periódicas, mas exigir a troca quando houver sinal de comprometimento;
• comparar a senha nova com uma lista de senhas comuns, vazadas ou óbvias e recusá-la se aparecer.

Se as regras de composição deixaram de ser recomendadas, por que o gerador mistura tipos de caractere? Porque mais caracteres possíveis significam mais bits por posição, e porque muitos sites ainda exigem essa mistura. Quando o tamanho não é problema, alongar a senha rende mais do que complicá-la.

Depois de gerar: como manter suas contas protegidas

• Guarde num gerenciador de senhas. Bitwarden, 1Password, KeePassXC, o app Senhas da Apple e o Gerenciador de Senhas do Google criptografam o cofre e preenchem os logins. Você memoriza só a senha mestra, que pode ser uma frase-senha deste gerador.
• Uma senha por conta. Quando um site vaza, criminosos testam o mesmo e-mail e a mesma senha em outros serviços. Senhas únicas limitam o estrago a uma conta só.
• Ative a verificação em duas etapas. Prefira app autenticador (Google Authenticator, Microsoft Authenticator, 2FAS) ou chave de acesso (passkey) em vez de SMS, que pode ser desviado no golpe da troca de chip. Veja o passo a passo em como ativar a verificação em duas etapas.
• Confira vazamentos. O verificador de senha vazada diz se uma senha já aparece em vazamentos públicos sem enviá-la para lugar nenhum, e o guia minha senha vazou, e agora? mostra o que fazer em seguida.

Senhas para usos específicos

Wi-Fi

Na maioria dos roteadores, a senha de uma rede WPA2 ou WPA3 pessoal aceita de 8 a 63 caracteres. Uma frase-senha de 5 ou 6 palavras é forte e fácil de passar para visitas; melhor ainda, gere um QR Code do Wi-Fi para ninguém precisar digitar. Para trocar a senha no roteador, siga o guia de como mudar a senha do Wi-Fi.

Painel do roteador

A senha de administrador do roteador é diferente da senha do Wi-Fi e muitas vezes vem de fábrica com valores como admin. Troque por uma senha aleatória de 16 caracteres ou mais e guarde no gerenciador. Veja como acessar o painel do seu modelo na página de roteadores.

Senhas só com números

Para sistemas que aceitam apenas dígitos, deixe só a opção Números ativa. Cada dígito vale cerca de 3,3 bits, então códigos numéricos curtos dependem do limite de tentativas do serviço para serem seguros. Nunca use datas ou sequências como 123456.

Por que é seguro gerar senhas aqui

O sorteio usa crypto.getRandomValues(), a interface do navegador que entrega números aleatórios criptograficamente seguros, alimentados pelo sistema operacional. Para transformar esses números em caracteres sem favorecer nenhum deles, a ferramenta usa amostragem por rejeição: valores que causariam viés de módulo são descartados e sorteados de novo. A primeira senha só é criada depois que a página abre no seu aparelho, então ela nunca fica gravada no HTML que o servidor entrega.

A ferramenta não envia, não registra e não guarda as senhas geradas. Se quiser conferir, carregue a página, abra o modo frase-senha uma vez para baixar a lista de palavras e desligue a internet: o gerador continua funcionando.