O conselho que ouviu cem vezes — misture maiúsculas, números, símbolos — não está errado, mas é o fator de segunda ordem. Olhando para como são construídos os gestores de palavras-passe e para as bases de dados públicas de violações, o padrão é claro: a maioria das palavras-passe quebradas eram curtas (abaixo de 14 caracteres) ou reutilizadas, não por lhes faltar um ponto de exclamação.
Eis o que torna uma palavra-passe forte de facto, explicado sem jargão.
O comprimento vence a complexidade. A unicidade vence o comprimento. Um gestor de palavras-passe trata de ambos automaticamente.
01 — Como criar uma palavra-passe forte: o método certo
Uma palavra-passe forte combina 3 elementos: 16+ caracteres, única por site e verdadeiramente aleatória. O método mais fiável: usar um gestor de palavras-passe para gerar uma cadeia aleatória de 20 caracteres por site (tK3#mRpQ$wLnXb8v). Para a única palavra-passe principal que memoriza: uma frase-passe diceware de 6 palavras (cave-goblet-frost-parish-anvil-gloom ≈ 78 bits de entropia). Evite: palavras de dicionário, datas, substituições como p@ssw0rd — estes padrões são os primeiros testados pelas ferramentas de cracking, por mais complexos que pareçam.
02 — Por que o comprimento é a verdadeira variável
A força de uma palavra-passe mede-se em bits de entropia — o número de escolhas aleatórias que entraram na sua criação. Cada bit adicional duplica o espaço de pesquisa que um atacante tem de cobrir.
Exemplo concreto:
| Palavra-passe | Caracteres | Entropia | Tempo para quebrar a 10 mil milhões tentativas/seg |
|---|---|---|---|
Summer24 | 8 | ~20 bits | Menos de 1 segundo |
S@mmer2024! | 11 | ~35 bits | Minutos |
correct-horse-stable | 20 | ~60 bits | 36.000 anos |
| Aleatória 16 caracteres (mista) | 16 | ~95 bits | Morte térmica do universo |
A coluna que importa é a última. S@mmer2024! parece complexa e tem exatamente as regras de complexidade que a maioria dos sites exige. Mas cai em minutos porque as ferramentas de cracking aplicam essas mesmas regras de forma sistemática.
A fórmula: cada 3 caracteres a mais de uma palavra-passe aleatória acrescentam ~20 bits de entropia. Passar de 12 para 16 caracteres é a alteração isolada de maior impacto que pode fazer.
02 — A entropia explicada de forma simples
Pense na entropia como o número de palavras-passe possíveis dado o modo como a sua foi construída:
- 6 caracteres só minúsculas (
monkey): 26^6 = 308 milhões de combinações. Uma GPU faz isso em segundos. - 8 caracteres maiúsculas/minúsculas + dígitos (
MyDog7Qs): 62^8 = 218 biliões de combinações. Hardware rápido: algumas horas. - 16 caracteres totalmente aleatórios (
tK3#mRpQ$wLnXb8v): 95^16 = 4×10^31 combinações. Fora do alcance de qualquer atacante.
Onde a maioria das pessoas erra: usar uma palavra real como base. Os atacantes não fazem força bruta a cada combinação de caracteres — começam com dicionários das 10 mil milhões de palavras-passe mais comuns, credenciais vazadas, nomes e palavras, e depois aplicam regras de mutação. P@ssw0rd! falha em menos de um segundo porque ESTÁ nesses dicionários.
Aleatório = imprevisível. É a única coisa que a entropia realmente mede.
03 — O método diceware / frase-passe
Se precisa de uma palavra-passe que consiga mesmo digitar e recordar (a sua palavra-passe principal para um gestor de palavras-passe, ou o início de sessão no portátil), uma frase-passe é a melhor opção.
Método:
- Arranje um dado físico (ou use a ferramenta diceware online da EFF)
- Lance 5 vezes para gerar um número como
25341 - Procure a palavra na EFF Large Wordlist
- Repita para 5–6 palavras
- Separe com hífenes ou espaços
Resultado: algo como cellar-invoke-mossy-fright-blanket-groan
- 5 palavras: ~65 bits de entropia
- 6 palavras: ~78 bits de entropia (equivalente a uma palavra-passe totalmente aleatória de 13 caracteres)
- Totalmente memorável
- Sem padrão que um atacante possa explorar
Por que funciona: as palavras foram escolhidas por verdadeira aleatoriedade (um dado físico), não pelo seu cérebro. As escolhas humanas são previsíveis — escolhemos palavras que conhecemos, coisas de que gostamos, datas que importam. Um dado não.
04 — Erros comuns que minam as palavras-passe fortes
Perceber o que torna uma palavra-passe fraca é tão importante como saber o que torna uma forte.
Substituições previsíveis: p@ssword, 3mail, s3cur1ty — estas trocas de caracteres estão nas regras de cracking há 15 anos. Acrescentam quase nada contra as ferramentas modernas.
Números e símbolos acrescentados no fim: Password123!, Summer2024#. O software de cracking acrescenta números de 1 a 9999 e todos os símbolos comuns numa primeira passagem. Demora segundos.
Informação pessoal: aniversários, nomes de animais de estimação, equipas desportivas, nomes dos filhos. São a base dos ataques dirigidos (spear-phishing) e estão muitas vezes já nos perfis dos data brokers.
Padrões de teclado: qwerty, 123456, asdfghjkl. Atacados primeiro, sempre.
Reutilização em vários sites: este é o assassino silencioso. Quando um qualquer das centenas de sites que usa é violado (e as violações acontecem constantemente — o Have I Been Pwned lista 14 mil milhões de credenciais vazadas), os atacantes experimentam automaticamente esses pares nome de utilizador/palavra-passe em todos os outros grandes serviços. Uma palavra-passe reutilizada = um único ponto de falha para toda a sua vida digital.
05 — Critérios de avaliação: como fundamentamos este guia
Para fundamentar as afirmações deste artigo, apoiamo-nos na fórmula padrão da entropia (log₂(N)^L, em que N é o conjunto de caracteres e L o comprimento), no comportamento publicado dos gestores de palavras-passe e em fontes públicas:
Comprimento da palavra-passe e entropia
A entropia cresce com o comprimento. A tabela abaixo aplica o cálculo padrão log₂(N)^L para um conjunto de caracteres completo:
| Comprimento | Entropia típica (conjunto completo) | Veredicto |
|---|---|---|
| 8 caracteres | ~52 bits | Insuficiente (quebrável em dias) |
| 12 caracteres | ~78 bits | No limite do aceitável para contas secundárias |
| 16 caracteres | ~104 bits | Recomendado para contas importantes |
| 20 caracteres | ~130 bits | Predefinição comum dos gestores (nossa recomendação) |
| 32 caracteres | ~208 bits | Para palavras-passe de encriptação/chaves de API |
Conclusão: defina o seu gestor de palavras-passe para 20 caracteres por predefinição (não 16 — o esforço de memorização é idêntico, já que é o gestor que recorda por si).
Tipos de caracteres: impacto real na entropia
A mesma fórmula aplicada a uma palavra-passe de 16 caracteres em diferentes conjuntos de caracteres:
| Conjunto de caracteres | Tamanho do conjunto | Entropia (16 caracteres) |
|---|---|---|
| Só minúsculas | 26 | ~75 bits |
| + Maiúsculas | 52 | ~90 bits |
| + Dígitos | 62 | ~95 bits |
| + Símbolos comuns (~33) | 95 | ~104 bits |
| Conjunto ASCII completo (~127) | 128 | ~112 bits |
Conclusão: acrescentar símbolos acrescenta ~9 bits face ao apenas alfanumérico em 16 caracteres — equivalente a 1–2 caracteres a mais. O comprimento é a alavanca dominante; os tipos de caracteres são um amplificador secundário.
Algoritmo de geração: crypto.getRandomValues vs Math.random
Um ponto crítico muitas vezes ignorado: a qualidade do gerador aleatório usado.
Math.random()(JavaScript): pseudoaleatório, não criptograficamente seguro. Usado por alguns geradores online de baixa qualidade. A evitar absolutamente para palavras-passe.crypto.getRandomValues()(Web Crypto API): CSPRNG alimentado pelo sistema operativo (Windows CryptGenRandom, Linux /dev/urandom, macOS SecRandomCopyBytes). Padrão atual para gestores sérios./dev/urandom(Linux/macOS nativo): a mesma fonte do lado do servidor. Todos os gestores sérios (Bitwarden, 1Password, NordPass) usam o equivalente do sistema operativo.
O nosso gerador de palavras-passe usa exclusivamente crypto.getRandomValues() — verificável inspecionando o código-fonte da página (nenhum pedido de rede durante a geração).
Armazenamento local vs nuvem: o compromisso segurança/comodidade
| Modo | Exemplos | Vantagens | Desvantagens |
|---|---|---|---|
| Só local | KeePassXC (ficheiro .kdbx) | Sem exposição do servidor, controlo total | Sincronização manual, sem autofill móvel fácil |
| Nuvem zero-knowledge | Bitwarden, NordPass, 1Password | Sincronização multidispositivo automática, autofill, alertas de violação | Depende da solvência do fornecedor + qualidade do zero-knowledge |
| Nuvem zero-knowledge + auto-hospedagem | Bitwarden + Vaultwarden | Controlo do servidor + sincronização automática | Manutenção do servidor necessária (atualizações, cópias de segurança) |
Veredicto: para a maioria dos utilizadores, a nuvem zero-knowledge auditada (Bitwarden, NordPass, 1Password) oferece o melhor equilíbrio. O puro local (KeePassXC) só é relevante para perfis de alto risco (jornalistas, dissidentes) ou casos de uso sem necessidade de sincronização móvel. A auto-hospedagem é uma boa opção para utilizadores técnicos que querem controlo + comodidade.
06 — Por que um gestor de palavras-passe é a verdadeira resposta
O objetivo da segurança das palavras-passe é ter uma palavra-passe única, aleatória e longa para cada conta individual. Isso é genuinamente impossível de fazer de cabeça quando se tem mais de 50 contas.
Um gestor de palavras-passe resolve isto por completo:
- Gerador: cria uma palavra-passe aleatória de 20 caracteres a pedido (
tK3#mRpQ$wLnXb8v) — nunca a vê nem pensa nela. Pode também experimentar uma agora mesmo com o nosso gerador de palavras-passe gratuito - Cofre encriptado: guarda tudo por trás de encriptação AES-256 ou XChaCha20, modelo zero-knowledge (o fornecedor não consegue ver as suas palavras-passe)
- Autofill: preenche a palavra-passe certa no site certo — também protege contra phishing (se o URL não corresponder, não preenche)
- Alertas de violação: monitoriza os seus e-mails contra bases de dados de credenciais vazadas, avisa-o quando um site que usa é comprometido
Só precisa de memorizar uma palavra-passe: a sua palavra-passe principal. Faça dela uma frase-passe diceware de 6 palavras. Escreva-a em papel e guarde-a num local seguro. É tudo.
Experimente o Bitwarden grátis →Open source · Plano gratuito ilimitado · Sem limite de dispositivos→07 — Comparação das melhores opções
Três gestores a considerar em diferentes faixas de preço:
Bitwarden (gratuito ou 10 $/ano Premium)
- Open source, código auditado publicamente pela Cure53 e Insight Risk
- Plano gratuito ilimitado em todos os dispositivos — sem asterisco
- Escolha sólida para utilizadores atentos à privacidade ou técnicos
- Auto-hospedável com Vaultwarden
Proton Pass (gratuito ou 1,99 $/mês Pass Plus)
- Clientes open source, jurisdição suíça
- Integrado com o ecossistema Proton (Mail, VPN, Drive)
- Boa opção se já usa os serviços Proton
NordPass (1,49 $/mês no plano de 2 anos)
- Usabilidade moderna e polida com biometria nativa
- Encriptação XChaCha20 + Argon2id
- Auditorias Cure53 2022 + SOC 2 Type 2 publicadas
- Ecossistema Nord Security (NordVPN, NordLocker)
Os três geram palavras-passe aleatórias fortes e guardam-nas em segurança. A escolha certa depende do seu ecossistema existente e de quanto quer pagar.
Veja a nossa comparação dos melhores gestores de palavras-passe 2026 para o benchmark completo, e a nossa análise detalhada do Bitwarden para um olhar técnico aprofundado sobre o modelo de segurança do Bitwarden.
Experimente o Proton Pass grátis →Open source · Jurisdição suíça · Ecossistema Proton→08 — Plano de ação prático
Se não levar mais nada deste guia:
- Hoje: Verifique haveibeenpwned.com com o seu e-mail principal. Se aparecer alguma violação, mude essas palavras-passe imediatamente. Use o nosso verificador de força de palavras-passe para avaliar as suas palavras-passe atuais antes de as substituir.
- Esta semana: Instale o Bitwarden (gratuito). Importe as palavras-passe guardadas do seu navegador. Trata da migração automaticamente.
- De agora em diante: Sempre que criar uma conta ou atualizar uma palavra-passe, deixe o gestor gerá-la. Nunca digite algo que inventou você mesmo.
- Palavra-passe principal: Crie uma frase-passe diceware de 6 palavras. Guarde-a em papel num local seguro. Não a guarde digitalmente em lado nenhum.
O problema das palavras-passe é um problema resolvido — os gestores de palavras-passe resolveram-no. O único passo que resta é usar um.
Veja a nossa comparação Proton Pass vs Bitwarden se está a decidir entre as duas opções open source.
Para uma referência rápida sobre os termos técnicos usados neste guia (entropia, PBKDF2, Argon2id, força bruta, credential stuffing), veja o glossário de segurança de palavras-passe da PwdFortress.
A PwdFortress pode receber uma comissão sobre compras feitas através das ligações neste artigo. Isto não afeta as nossas recomendações editoriais — todos os gestores mencionados são comparados com os mesmos critérios.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Proteja as suas contas → NordPassPalavras-passe fortes e únicas · scanner de fugas · plano gratuito→
