Com Que Frequência Deve Mudar a Palavra-passe? (Orientação 2026)

Se o seu departamento de informática ou um velho hábito lhe diz para mudar todas as palavras-passe a cada 90 dias, a resposta moderna pode surpreendê-lo: na maioria das contas, não. A orientação de segurança mudou. Este guia explica com que frequência deve mesmo mudar uma palavra-passe, porque a rotação forçada foi abandonada e o que fazer em vez disso.

A resposta curta

Não mude uma palavra-passe forte e única num horário fixo. Mude-a só quando há um motivo real. É este o consenso atual das entidades de segurança, incluindo o NIST, que abandonou o conselho de rotação rotineira em 2017. Uma palavra-passe forte que mantém, protegida por autenticação de dois fatores, vale mais do que uma série de palavras mais fracas que é obrigado a reinventar.

Porque é que "mudar a cada 90 dias" sai pela culatra

A velha regra parecia prudente, mas piorou as coisas na prática. Quando as pessoas são obrigadas a mudar de palavra-passe muitas vezes, não inventam palavras fortes. Fazem pequenos ajustes previsíveis — Primavera2026! torna-se Verao2026! — e reutilizam padrões em várias contas. O resultado são palavras-passe mais fracas e mais fáceis de adivinhar, e mais reutilização, que é exatamente com o que os atacantes contam.

Quando deve mesmo mudar uma palavra-passe

A rotação deve ser desencadeada por eventos, não pelo calendário. Mude uma palavra-passe de imediato se:

• O serviço anunciar uma fuga de dados ou encontrar a sua conta numa.
• A palavra-passe for fraca, reutilizada ou partilhada com alguém.
• Notar inícios de sessão desconhecidos ou atividade estranha na conta.
• A tiver escrito num site de phishing ou num dispositivo não fiável.
• Alguma vez a tiver enviado a alguém, mesmo a si próprio, por mensagem ou email.

Em qualquer destes casos, mude-a de imediato e ative a autenticação de dois fatores.

O que fazer em vez disso

Mudar por rotina é o hábito errado. Estes três são os certos:

1. Use uma palavra-passe única para cada conta. Um gestor de palavras-passe cria e guarda palavras-passe longas e aleatórias, para que nunca reutilize nem se esqueça de nenhuma.
2. Ative a autenticação de dois fatores. Bloqueia uma palavra-passe roubada por si só, o que importa muito mais do que a frequência da rotação.
3. Vigie as fugas de dados. Assim sabe exatamente quando uma palavra-passe precisa mesmo de ser mudada — em vez de adivinhar por horário.

A conclusão

A resposta honesta e atual à pergunta "com que frequência devo mudar a palavra-passe" é: não por horário — só quando algo acontece. A rotação forçada era bem-intencionada, mas empurrava as pessoas para palavras-passe mais fracas e repetidas. Troque esse hábito por palavras-passe fortes e únicas, um gestor para as guardar e autenticação de dois fatores. É isso que mantém mesmo as contas seguras em 2026.