Com Que Frequência Deve Mudar a Palavra-passe? (Orientação 2026)

Se o seu departamento de informática ou um velho hábito lhe diz para mudar todas as palavras-passe a cada 90 dias, a resposta moderna pode surpreendê-lo: na maioria das contas, não. A orientação de segurança mudou. Este guia explica com que frequência deve mesmo mudar uma palavra-passe, porque a rotação forçada foi abandonada e o que fazer em vez disso.

A resposta curta

Não mude uma palavra-passe forte e única num horário fixo. Mude-a só quando há um motivo real. É este o consenso atual das entidades de segurança, incluindo o NIST, que abandonou o conselho de rotação rotineira em 2017. Uma palavra-passe forte que mantém, protegida por autenticação de dois fatores, vale mais do que uma série de palavras mais fracas que é obrigado a reinventar.

Porque é que "mudar a cada 90 dias" sai pela culatra

A velha regra parecia prudente, mas piorou as coisas na prática. Quando as pessoas são obrigadas a mudar de palavra-passe muitas vezes, não inventam palavras fortes. Fazem pequenos ajustes previsíveis - Primavera2026! torna-se Verao2026! - e reutilizam padrões em várias contas. O resultado são palavras-passe mais fracas e mais fáceis de adivinhar, e mais reutilização, que é exatamente com o que os atacantes contam.

Quando deve mesmo mudar uma palavra-passe

A rotação deve ser desencadeada por eventos, não pelo calendário. Mude uma palavra-passe de imediato se:

• O serviço anunciar uma fuga de dados ou encontrar a sua conta numa.
• A palavra-passe for fraca, reutilizada ou partilhada com alguém.
• Notar inícios de sessão desconhecidos ou atividade estranha na conta.
• A tiver escrito num site de phishing ou num dispositivo não fiável.
• Alguma vez a tiver enviado a alguém, mesmo a si próprio, por mensagem ou email.

Em qualquer destes casos, mude-a de imediato e ative a autenticação de dois fatores.

O que fazer em vez disso

Mudar por rotina é o hábito errado. Estes três são os certos:

1. Use uma palavra-passe única para cada conta. Um gestor de palavras-passe cria e guarda palavras-passe longas e aleatórias, para que nunca reutilize nem se esqueça de nenhuma.
2. Ative a autenticação de dois fatores. Bloqueia uma palavra-passe roubada por si só, o que importa muito mais do que a frequência da rotação.
3. Vigie as fugas de dados. Assim sabe exatamente quando uma palavra-passe precisa mesmo de ser mudada - em vez de adivinhar por horário.

O que torna uma palavra-passe forte o suficiente para a manter

Todo o conselho de "sem rotação de rotina" assenta numa condição: a palavra-passe tem de ser forte e única à partida. Uma palavra-passe fraca que mantém para sempre não é o objetivo. O que conta como forte?

• Comprimento acima da complexidade. As diretrizes do NIST (SP 800-63B) tratam o comprimento como o principal fator de robustez e pedem aos serviços que permitam palavras-passe longas - pelo menos 64 caracteres - em vez de impor regras estranhas de símbolos. Uma sequência aleatória de 16 caracteres ou uma frase-passe memorizável de cinco ou mais palavras aleatórias é muito mais difícil de quebrar do que uma palavra-passe curta recheada de ! e um número.
• Única para uma só conta. A reutilização transforma uma única fuga em muitas. Se uma palavra-passe aparece apenas num site, uma fuga aí não desbloqueia mais nada que seja seu.
• Nunca derivada de um padrão. Empresa2026, o nome do seu animal ou uma sequência de teclado (qwerty123) são adivinháveis. Uma palavra-passe gerada aleatoriamente não tem padrão para atacar.

Acerte nestes três pontos e a palavra-passe realmente não precisa de um lembrete de calendário. Para um guia completo, veja como criar uma palavra-passe forte.

E se a minha entidade patronal obrigar a mudar a cada 90 dias?

Muitas empresas ainda impõem uma rotação periódica, muitas vezes por causa de uma velha checklist de conformidade - apesar de o NIST, a Microsoft e o NCSC britânico já desaconselharem a expiração de rotina. Normalmente não pode contornar a política da empresa, mas pode impedir que ela piore a sua segurança:

• Use o seu gestor para gerar uma palavra-passe aleatória totalmente nova de cada vez em vez de retocar a anterior. Isso quebra o padrão previsível Primavera → Verão que torna perigosa a rotação forçada.
• Nunca reutilize uma palavra-passe de trabalho descontinuada numa conta pessoal.
• Se influencia a política, a posição moderna documentada é abandonar a expiração programada e mudar apenas perante provas de comprometimento, a par da autenticação multifator e da monitorização de fugas.

A ideia não é discutir com a sua equipa de IT - é garantir que, se tiver de rodar, cada nova palavra-passe continua forte e única em vez de uma variante reciclada. E continue a verificar se as suas palavras-passe vazaram para que um verdadeiro alerta nunca passe despercebido.

A conclusão

A resposta honesta e atual à pergunta "com que frequência devo mudar a palavra-passe" é: não por horário - só quando algo acontece. A rotação forçada era bem-intencionada, mas empurrava as pessoas para palavras-passe mais fracas e repetidas. Troque esse hábito por palavras-passe fortes e únicas, um gestor para as guardar e autenticação de dois fatores. É isso que mantém mesmo as contas seguras em 2026.