Senhas fortes e gerenciadores de senha: o guia prático

Mesmo com a chegada das passkeys, as senhas ainda estão em toda parte. A boa notícia: protegê-las bem é mais simples do que parece e não exige decorar dezenas de combinações impossíveis.

O que torna uma senha forte

• Comprimento: quanto mais longa, mais difícil de adivinhar por tentativa e erro. Recomendações atuais, como as do NIST (o instituto de padrões dos Estados Unidos), dão mais peso ao comprimento do que a regras de complexidade.
• Imprevisibilidade: nada de datas de aniversário, nomes de pets, sequências como "123456" ou a palavra "senha" com um número no fim.
• Exclusividade: uma senha diferente para cada serviço.

Uma técnica prática é a frase-senha: quatro ou cinco palavras aleatórias, sem relação entre si, como "girafa-telhado-violino-maré". É longa, fácil de lembrar e difícil de adivinhar. O importante é que as palavras sejam realmente aleatórias, e não uma frase famosa.

O maior risco: repetir senha

Vazamentos de dados acontecem com frequência, e listas de e-mails e senhas vazadas circulam na internet. Criminosos testam essas combinações automaticamente em outros sites — é o chamado credential stuffing. Se você usa a mesma senha num fórum esquecido e no seu e-mail, um vazamento no fórum abre o seu e-mail.

Gerenciadores de senha

Ninguém consegue lembrar dezenas de senhas longas e únicas. É para isso que existem os gerenciadores. Eles:

• Geram senhas longas e aleatórias para cada site.
• Guardam tudo num cofre criptografado, protegido por uma senha mestra e, de preferência, por um segundo fator.
• Preenchem o login automaticamente — e só no endereço certo, o que ajuda a perceber páginas falsas.
• Sincronizam as senhas entre celular e computador.

Há opções embutidas nos navegadores e sistemas e aplicativos dedicados, gratuitos e pagos, inclusive de código aberto. Para a maioria das pessoas, qualquer gerenciador bem avaliado é muito mais seguro do que reaproveitar senhas.

A senha mestra é a única que você precisa decorar: faça dela uma frase-senha longa e não a use em nenhum outro lugar.

Ative a verificação em duas etapas

A verificação em duas etapas (2FA) pede algo além da senha: um código de um aplicativo autenticador, uma chave de segurança física ou uma confirmação no celular. Mesmo que a senha vaze, o invasor esbarra no segundo fator. Prefira aplicativos autenticadores ou chaves físicas ao SMS, que pode ser interceptado em golpes de troca de chip — mas qualquer 2FA é melhor do que nenhum.

Comece pelas contas mais importantes: e-mail (que recupera todas as outras), banco, redes sociais e lojas com cartão salvo.

Rotina de manutenção

• Troque a senha imediatamente se o serviço avisar sobre um vazamento ou se você notar atividade estranha. Trocas periódicas sem motivo importam menos do que ter senhas únicas.
• Use serviços como o Have I Been Pwned para saber se o seu e-mail apareceu em vazamentos conhecidos.
• Muitos gerenciadores avisam quando uma senha está repetida, fraca ou vazada. Resolva esses alertas aos poucos.
• Onde houver a opção, migre para passkeys, que dispensam a senha.