password-security-guideINFO

Como criar uma palavra-passe forte: comprimento, entropia e a solução do gestor

Saiba como criar uma palavra-passe forte que resista mesmo aos ataques: por que o comprimento vence a complexidade, o que significa a entropia na prática, o método diceware e por que um gestor de palavras-passe é a verdadeira resposta.

Por Eric Gerard · Editor · PwdFortress10 min de leituraPhoto: FLY:D — Unsplash

O conselho que ouviu cem vezes — misture maiúsculas, números, símbolos — não está errado, mas é o fator de segunda ordem. Olhando para como são construídos os gestores de palavras-passe e para as bases de dados públicas de violações, o padrão é claro: a maioria das palavras-passe quebradas eram curtas (abaixo de 14 caracteres) ou reutilizadas, não por lhes faltar um ponto de exclamação.

Eis o que torna uma palavra-passe forte de facto, explicado sem jargão.

O comprimento vence a complexidade. A unicidade vence o comprimento. Um gestor de palavras-passe trata de ambos automaticamente.

01 — Como criar uma palavra-passe forte: o método certo

Uma palavra-passe forte combina 3 elementos: 16+ caracteres, única por site e verdadeiramente aleatória. O método mais fiável: usar um gestor de palavras-passe para gerar uma cadeia aleatória de 20 caracteres por site (tK3#mRpQ$wLnXb8v). Para a única palavra-passe principal que memoriza: uma frase-passe diceware de 6 palavras (cave-goblet-frost-parish-anvil-gloom ≈ 78 bits de entropia). Evite: palavras de dicionário, datas, substituições como p@ssw0rd — estes padrões são os primeiros testados pelas ferramentas de cracking, por mais complexos que pareçam.

02 — Por que o comprimento é a verdadeira variável

A força de uma palavra-passe mede-se em bits de entropia — o número de escolhas aleatórias que entraram na sua criação. Cada bit adicional duplica o espaço de pesquisa que um atacante tem de cobrir.

Exemplo concreto:

Palavra-passeCaracteresEntropiaTempo para quebrar a 10 mil milhões tentativas/seg
Summer248~20 bitsMenos de 1 segundo
S@mmer2024!11~35 bitsMinutos
correct-horse-stable20~60 bits36.000 anos
Aleatória 16 caracteres (mista)16~95 bitsMorte térmica do universo

A coluna que importa é a última. S@mmer2024! parece complexa e tem exatamente as regras de complexidade que a maioria dos sites exige. Mas cai em minutos porque as ferramentas de cracking aplicam essas mesmas regras de forma sistemática.

A fórmula: cada 3 caracteres a mais de uma palavra-passe aleatória acrescentam ~20 bits de entropia. Passar de 12 para 16 caracteres é a alteração isolada de maior impacto que pode fazer.

02 — A entropia explicada de forma simples

Pense na entropia como o número de palavras-passe possíveis dado o modo como a sua foi construída:

  • 6 caracteres só minúsculas (monkey): 26^6 = 308 milhões de combinações. Uma GPU faz isso em segundos.
  • 8 caracteres maiúsculas/minúsculas + dígitos (MyDog7Qs): 62^8 = 218 biliões de combinações. Hardware rápido: algumas horas.
  • 16 caracteres totalmente aleatórios (tK3#mRpQ$wLnXb8v): 95^16 = 4×10^31 combinações. Fora do alcance de qualquer atacante.

Onde a maioria das pessoas erra: usar uma palavra real como base. Os atacantes não fazem força bruta a cada combinação de caracteres — começam com dicionários das 10 mil milhões de palavras-passe mais comuns, credenciais vazadas, nomes e palavras, e depois aplicam regras de mutação. P@ssw0rd! falha em menos de um segundo porque ESTÁ nesses dicionários.

Aleatório = imprevisível. É a única coisa que a entropia realmente mede.

03 — O método diceware / frase-passe

Se precisa de uma palavra-passe que consiga mesmo digitar e recordar (a sua palavra-passe principal para um gestor de palavras-passe, ou o início de sessão no portátil), uma frase-passe é a melhor opção.

Método:

  1. Arranje um dado físico (ou use a ferramenta diceware online da EFF)
  2. Lance 5 vezes para gerar um número como 25341
  3. Procure a palavra na EFF Large Wordlist
  4. Repita para 5–6 palavras
  5. Separe com hífenes ou espaços

Resultado: algo como cellar-invoke-mossy-fright-blanket-groan

  • 5 palavras: ~65 bits de entropia
  • 6 palavras: ~78 bits de entropia (equivalente a uma palavra-passe totalmente aleatória de 13 caracteres)
  • Totalmente memorável
  • Sem padrão que um atacante possa explorar

Por que funciona: as palavras foram escolhidas por verdadeira aleatoriedade (um dado físico), não pelo seu cérebro. As escolhas humanas são previsíveis — escolhemos palavras que conhecemos, coisas de que gostamos, datas que importam. Um dado não.

04 — Erros comuns que minam as palavras-passe fortes

Um ecrã de início de sessão com um campo de palavra-passe
Um ecrã de início de sessão com um campo de palavra-passe

Perceber o que torna uma palavra-passe fraca é tão importante como saber o que torna uma forte.

Substituições previsíveis: p@ssword, 3mail, s3cur1ty — estas trocas de caracteres estão nas regras de cracking há 15 anos. Acrescentam quase nada contra as ferramentas modernas.

Números e símbolos acrescentados no fim: Password123!, Summer2024#. O software de cracking acrescenta números de 1 a 9999 e todos os símbolos comuns numa primeira passagem. Demora segundos.

Informação pessoal: aniversários, nomes de animais de estimação, equipas desportivas, nomes dos filhos. São a base dos ataques dirigidos (spear-phishing) e estão muitas vezes já nos perfis dos data brokers.

Padrões de teclado: qwerty, 123456, asdfghjkl. Atacados primeiro, sempre.

Reutilização em vários sites: este é o assassino silencioso. Quando um qualquer das centenas de sites que usa é violado (e as violações acontecem constantemente — o Have I Been Pwned lista 14 mil milhões de credenciais vazadas), os atacantes experimentam automaticamente esses pares nome de utilizador/palavra-passe em todos os outros grandes serviços. Uma palavra-passe reutilizada = um único ponto de falha para toda a sua vida digital.

05 — Critérios de avaliação: como fundamentamos este guia

Para fundamentar as afirmações deste artigo, apoiamo-nos na fórmula padrão da entropia (log₂(N)^L, em que N é o conjunto de caracteres e L o comprimento), no comportamento publicado dos gestores de palavras-passe e em fontes públicas:

Comprimento da palavra-passe e entropia

A entropia cresce com o comprimento. A tabela abaixo aplica o cálculo padrão log₂(N)^L para um conjunto de caracteres completo:

ComprimentoEntropia típica (conjunto completo)Veredicto
8 caracteres~52 bitsInsuficiente (quebrável em dias)
12 caracteres~78 bitsNo limite do aceitável para contas secundárias
16 caracteres~104 bitsRecomendado para contas importantes
20 caracteres~130 bitsPredefinição comum dos gestores (nossa recomendação)
32 caracteres~208 bitsPara palavras-passe de encriptação/chaves de API

Conclusão: defina o seu gestor de palavras-passe para 20 caracteres por predefinição (não 16 — o esforço de memorização é idêntico, já que é o gestor que recorda por si).

Tipos de caracteres: impacto real na entropia

A mesma fórmula aplicada a uma palavra-passe de 16 caracteres em diferentes conjuntos de caracteres:

Conjunto de caracteresTamanho do conjuntoEntropia (16 caracteres)
Só minúsculas26~75 bits
+ Maiúsculas52~90 bits
+ Dígitos62~95 bits
+ Símbolos comuns (~33)95~104 bits
Conjunto ASCII completo (~127)128~112 bits

Conclusão: acrescentar símbolos acrescenta ~9 bits face ao apenas alfanumérico em 16 caracteres — equivalente a 1–2 caracteres a mais. O comprimento é a alavanca dominante; os tipos de caracteres são um amplificador secundário.

Algoritmo de geração: crypto.getRandomValues vs Math.random

Um ponto crítico muitas vezes ignorado: a qualidade do gerador aleatório usado.

  • Math.random() (JavaScript): pseudoaleatório, não criptograficamente seguro. Usado por alguns geradores online de baixa qualidade. A evitar absolutamente para palavras-passe.
  • crypto.getRandomValues() (Web Crypto API): CSPRNG alimentado pelo sistema operativo (Windows CryptGenRandom, Linux /dev/urandom, macOS SecRandomCopyBytes). Padrão atual para gestores sérios.
  • /dev/urandom (Linux/macOS nativo): a mesma fonte do lado do servidor. Todos os gestores sérios (Bitwarden, 1Password, NordPass) usam o equivalente do sistema operativo.

O nosso gerador de palavras-passe usa exclusivamente crypto.getRandomValues() — verificável inspecionando o código-fonte da página (nenhum pedido de rede durante a geração).

Armazenamento local vs nuvem: o compromisso segurança/comodidade

ModoExemplosVantagensDesvantagens
Só localKeePassXC (ficheiro .kdbx)Sem exposição do servidor, controlo totalSincronização manual, sem autofill móvel fácil
Nuvem zero-knowledgeBitwarden, NordPass, 1PasswordSincronização multidispositivo automática, autofill, alertas de violaçãoDepende da solvência do fornecedor + qualidade do zero-knowledge
Nuvem zero-knowledge + auto-hospedagemBitwarden + VaultwardenControlo do servidor + sincronização automáticaManutenção do servidor necessária (atualizações, cópias de segurança)

Veredicto: para a maioria dos utilizadores, a nuvem zero-knowledge auditada (Bitwarden, NordPass, 1Password) oferece o melhor equilíbrio. O puro local (KeePassXC) só é relevante para perfis de alto risco (jornalistas, dissidentes) ou casos de uso sem necessidade de sincronização móvel. A auto-hospedagem é uma boa opção para utilizadores técnicos que querem controlo + comodidade.


06 — Por que um gestor de palavras-passe é a verdadeira resposta

O objetivo da segurança das palavras-passe é ter uma palavra-passe única, aleatória e longa para cada conta individual. Isso é genuinamente impossível de fazer de cabeça quando se tem mais de 50 contas.

Um gestor de palavras-passe resolve isto por completo:

  1. Gerador: cria uma palavra-passe aleatória de 20 caracteres a pedido (tK3#mRpQ$wLnXb8v) — nunca a vê nem pensa nela. Pode também experimentar uma agora mesmo com o nosso gerador de palavras-passe gratuito
  2. Cofre encriptado: guarda tudo por trás de encriptação AES-256 ou XChaCha20, modelo zero-knowledge (o fornecedor não consegue ver as suas palavras-passe)
  3. Autofill: preenche a palavra-passe certa no site certo — também protege contra phishing (se o URL não corresponder, não preenche)
  4. Alertas de violação: monitoriza os seus e-mails contra bases de dados de credenciais vazadas, avisa-o quando um site que usa é comprometido

Só precisa de memorizar uma palavra-passe: a sua palavra-passe principal. Faça dela uma frase-passe diceware de 6 palavras. Escreva-a em papel e guarde-a num local seguro. É tudo.

Experimente o Bitwarden grátis →Open source · Plano gratuito ilimitado · Sem limite de dispositivos

07 — Comparação das melhores opções

Três gestores a considerar em diferentes faixas de preço:

Bitwarden (gratuito ou 10 $/ano Premium)

  • Open source, código auditado publicamente pela Cure53 e Insight Risk
  • Plano gratuito ilimitado em todos os dispositivos — sem asterisco
  • Escolha sólida para utilizadores atentos à privacidade ou técnicos
  • Auto-hospedável com Vaultwarden

Proton Pass (gratuito ou 1,99 $/mês Pass Plus)

  • Clientes open source, jurisdição suíça
  • Integrado com o ecossistema Proton (Mail, VPN, Drive)
  • Boa opção se já usa os serviços Proton

NordPass (1,49 $/mês no plano de 2 anos)

  • Usabilidade moderna e polida com biometria nativa
  • Encriptação XChaCha20 + Argon2id
  • Auditorias Cure53 2022 + SOC 2 Type 2 publicadas
  • Ecossistema Nord Security (NordVPN, NordLocker)

Os três geram palavras-passe aleatórias fortes e guardam-nas em segurança. A escolha certa depende do seu ecossistema existente e de quanto quer pagar.

Veja a nossa comparação dos melhores gestores de palavras-passe 2026 para o benchmark completo, e a nossa análise detalhada do Bitwarden para um olhar técnico aprofundado sobre o modelo de segurança do Bitwarden.

Experimente o Proton Pass grátis →Open source · Jurisdição suíça · Ecossistema Proton

08 — Plano de ação prático

Se não levar mais nada deste guia:

  1. Hoje: Verifique haveibeenpwned.com com o seu e-mail principal. Se aparecer alguma violação, mude essas palavras-passe imediatamente. Use o nosso verificador de força de palavras-passe para avaliar as suas palavras-passe atuais antes de as substituir.
  2. Esta semana: Instale o Bitwarden (gratuito). Importe as palavras-passe guardadas do seu navegador. Trata da migração automaticamente.
  3. De agora em diante: Sempre que criar uma conta ou atualizar uma palavra-passe, deixe o gestor gerá-la. Nunca digite algo que inventou você mesmo.
  4. Palavra-passe principal: Crie uma frase-passe diceware de 6 palavras. Guarde-a em papel num local seguro. Não a guarde digitalmente em lado nenhum.

O problema das palavras-passe é um problema resolvido — os gestores de palavras-passe resolveram-no. O único passo que resta é usar um.

Veja a nossa comparação Proton Pass vs Bitwarden se está a decidir entre as duas opções open source.

Para uma referência rápida sobre os termos técnicos usados neste guia (entropia, PBKDF2, Argon2id, força bruta, credential stuffing), veja o glossário de segurança de palavras-passe da PwdFortress.


A PwdFortress pode receber uma comissão sobre compras feitas através das ligações neste artigo. Isto não afeta as nossas recomendações editoriais — todos os gestores mencionados são comparados com os mesmos critérios.