Uma senha segura e forte é, antes de tudo, longa: uma frase de quatro ou mais palavras sem ligação óbvia entre si protege mais do que oito caracteres cheios de símbolos. Ela precisa ser única para cada serviço, nunca conter dado pessoal e, sempre que possível, ficar guardada num gerenciador de senhas e protegida por autenticação em dois fatores. Tamanho, exclusividade e segundo fator são os três pilares.
Em resumo
- Comprimento vale mais que complexidade: uma frase-senha de quatro palavras aleatórias resiste melhor a ataques automatizados do que uma senha curta cheia de trocas de letra por símbolo.
- Cada conta precisa da própria senha, porque o vazamento de um site é testado em todos os outros; um gerenciador de senhas cuida de criar e lembrar cada uma delas.
- A autenticação em dois fatores, de preferência por aplicativo e não por SMS, mantém a conta fechada mesmo quando a senha cai nas mãos erradas.
Comprimento vence complexidade, e o NIST explica o motivo
Durante anos as regras de cadastro pediram letra maiúscula, número e símbolo em oito caracteres. O resultado foi previsível: milhões de pessoas adotaram o mesmo padrão, uma palavra com inicial maiúscula, um número no fim e um ponto de exclamação. Os programas de ataque aprenderam esse molde.
As diretrizes do NIST, o instituto de padrões dos Estados Unidos, na publicação SP 800-63B, recomendam que os serviços aceitem senhas longas, não obriguem a mistura de tipos de caractere e não forcem trocas periódicas sem motivo. O que importa é o tamanho e a imprevisibilidade, não a quantidade de símbolos.
A lógica é matemática. Cada caractere a mais multiplica o número de combinações que um atacante precisa testar. Uma frase de quatro ou cinco palavras comuns escolhidas ao acaso, com vinte caracteres ou mais, tem mais possibilidades do que oito caracteres com todos os símbolos do teclado, e ainda é mais fácil de digitar no celular.
A frase-senha é o jeito mais fácil de chegar lá
A frase-senha é uma sequência de palavras que não formam uma frase conhecida. Pense em quatro substantivos sem relação entre si, separados por hífen, com um número que só faz sentido para você. É longa, fica memorizada depois de três ou quatro usos e não aparece em lista de senhas vazadas.
O que não funciona: letra de música, versículo, frase de filme, nome do time seguido do ano do título. Tudo isso está em dicionários de ataque. Também não adianta trocar a letra "a" por arroba: os programas testam essas substituições automaticamente, e elas só acrescentam trabalho para você.
- Escolha quatro ou cinco palavras que você consiga visualizar, sem ligação lógica entre si, como objetos de cômodos diferentes da casa.
- Coloque um separador entre elas, como hífen ou ponto, para facilitar a digitação e alongar a senha.
- Acrescente um número curto que não seja data de nascimento, CEP, final de telefone ou placa de carro.
- Use essa frase apenas como senha principal do gerenciador ou do e-mail; as demais contas recebem senhas geradas automaticamente.
- Digite a frase algumas vezes no primeiro dia: a memória muscular fixa a sequência rápido.
Se o serviço limitar o tamanho da senha, o que ainda acontece em alguns bancos e sistemas antigos, use toda a extensão permitida. Nesse caso vale compensar o comprimento curto com um gerador aleatório, já que uma senha curta memorizável tem pouca defesa contra tentativas em massa.
Repetir a mesma senha é o erro que derruba a maioria das contas
O ataque mais comum não quebra senha nenhuma. Ele pega listas de e-mails e senhas vazadas de um site qualquer e testa a mesma combinação em bancos, redes sociais, lojas e serviços de e-mail. Quem repete a senha entrega todas as contas de uma vez, mesmo que a senha em si fosse boa.
A Cartilha de Segurança para Internet do CERT.br reforça o mesmo ponto: não reutilizar senhas entre serviços e não usar dados pessoais fáceis de descobrir, como nome, data de nascimento, CPF, placa ou telefone. Essas informações circulam em cadastros vazados e são o primeiro palpite de qualquer invasor.
A regra prática é simples de enunciar e difícil de manter de cabeça: uma senha diferente para cada conta, sem padrão que ligue uma à outra. Colocar o nome do site no fim da mesma base, como "frase-instagram", não conta como senha diferente, porque quem vê uma deduz as demais.
Um gerenciador de senhas resolve o problema de lembrar
Ninguém memoriza cinquenta senhas longas e diferentes, e é aí que entra o gerenciador. Ele gera uma senha aleatória para cada cadastro, guarda tudo criptografado e preenche o login automaticamente. Você só precisa lembrar uma frase-senha: a que abre o cofre.
O celular provavelmente já tem um. No Android e no Chrome existe o Gerenciador de Senhas do Google; no iPhone e no Mac, o app Senhas da Apple; em aparelhos Samsung, o Samsung Pass. Entre os independentes, Bitwarden, 1Password e KeePass são os mais citados por profissionais de segurança e funcionam em qualquer sistema.
- Prefira um gerenciador que funcione no celular e no computador, para não acabar anotando senha em bloco de notas.
- Verifique se ele oferece gerador de senhas aleatórias e preenchimento automático nos apps que você usa.
- Procure a função de alerta de senha vazada ou repetida, que aponta quais contas precisam de troca.
- Proteja a senha principal com dois fatores e guarde o código de recuperação impresso, longe do computador.
- Desconfie de gerenciadores desconhecidos oferecidos em anúncio: o cofre de todas as senhas não é lugar para experimentar.
O medo comum é "e se o gerenciador vazar?". Os serviços sérios criptografam o cofre no seu aparelho, com uma chave derivada da sua frase-senha, e a empresa não tem acesso a ela. Por isso a senha principal precisa ser a mais longa de todas, com segundo fator ativado.
A autenticação em dois fatores segura a conta mesmo com a senha vazada
Autenticação em dois fatores, ou 2FA, significa exigir uma segunda prova além da senha: um código temporário, um toque num aplicativo ou uma chave física. Quem descobrir sua senha num vazamento ainda bate na porta do segundo fator e fica do lado de fora.
Nem todo segundo fator é igual. O código por SMS é o mais fraco, porque depende da operadora e pode ser desviado com a troca fraudulenta de chip. Aplicativos autenticadores, como Google Authenticator e Microsoft Authenticator, geram o código no próprio aparelho, sem passar pela rede. Chaves físicas e passkeys são o degrau mais alto.
No Brasil, o caso mais importante é o WhatsApp. A confirmação em duas etapas cria um PIN de seis dígitos que impede o registro do número em outro celular; conforme a Central de Ajuda do WhatsApp, esse PIN é pedido periodicamente. E nunca repasse o código recebido por SMS: é assim que a conta é clonada.
Descobrir se a senha vazou leva menos de um minuto
O site Have I Been Pwned, mantido pelo pesquisador de segurança Troy Hunt, permite digitar um e-mail e ver em quais vazamentos públicos ele apareceu. Ele não mostra a senha, mas indica de quais serviços vieram os dados. Se um e-mail seu aparece ali, a senha daquele serviço e suas repetições precisam ser trocadas.
Os gerenciadores também avisam. O Gerenciador de Senhas do Google tem a verificação de senhas, que aponta senhas comprometidas, repetidas e fracas; o app Senhas da Apple exibe recomendações de segurança com o mesmo tipo de alerta. Vale abrir essa tela e trabalhar a lista de cima para baixo, começando por e-mail e banco.
Quando a senha vazou, a ordem é: trocar primeiro a senha do e-mail principal, porque ele recebe os links de recuperação de todo o resto; depois trocar a senha no serviço vazado e em qualquer outro em que ela foi repetida; ativar o segundo fator; e encerrar as sessões abertas em outros aparelhos.
Redes sociais pedem cuidado extra com a recuperação de conta
Em Instagram, Facebook, TikTok e X, a senha forte é só metade da proteção, porque o invasor mira a porta dos fundos: o e-mail e o telefone de recuperação. Se o e-mail cadastrado tem senha fraca ou repetida, a conta da rede social cai junto.
Comece protegendo o e-mail com frase-senha e segundo fator. Depois, na rede social, confira se o telefone e o e-mail de recuperação são seus e estão em uso. Ative a autenticação em dois fatores por aplicativo, que essas plataformas oferecem, e guarde os códigos de backup fora do celular.
Por fim, revise a lista de dispositivos conectados e saia dos que não reconhece. Nunca faça login a partir de link recebido por mensagem direta, mesmo que venha de um amigo: perfis clonados pedem "vota na minha sobrinha" justamente para capturar a senha numa página falsa. Abra o app e entre por ali.
O próximo passo cabe numa tarde: escolha um gerenciador de senhas, crie a frase-senha principal, ative o segundo fator nele e no e-mail, e depois troque, uma por uma, as senhas das contas que mais importam. Comece pelo e-mail, siga para banco e WhatsApp e deixe as redes sociais para o fim. Nenhuma etapa exige conhecimento técnico.