Question 1

Posso digitar minha senha real aqui? Ela vai para algum servidor?

Accepted Answer

Toda a análise roda em JavaScript no seu navegador. A senha não é enviada, não é salva em armazenamento local e não aparece em eventos de análise. Ainda assim, vale cuidado: não digite em computador compartilhado, lembre que extensões do navegador podem ler campos de texto e, se preferir, teste uma senha parecida com a sua, com o mesmo formato, em vez da própria.

Question 2

O que é entropia de senha?

Accepted Answer

Entropia mede, em bits, o tamanho do espaço de possibilidades de onde um segredo foi sorteado: cada bit dobra o número de combinações. Para uma senha sorteada ao acaso, é tamanho × log2(tamanho do alfabeto). Uma senha de 16 caracteres de um alfabeto de 95 símbolos tem cerca de 105 bits. O cálculo só vale para senhas realmente sorteadas: quando uma pessoa inventa a senha, ela segue padrões e a entropia real é menor, por isso existe o modelo de padrões.

Question 3

Por que tamanho importa mais que complexidade?

Accepted Answer

Cada caractere extra multiplica as combinações pelo tamanho do alfabeto, enquanto acrescentar um tipo de caractere só aumenta um pouco o alfabeto. E complexidade exigida costuma gerar previsibilidade: a maioria das pessoas põe a maiúscula no começo e o número ou símbolo no fim, exatamente onde o atacante olha primeiro. Por isso o NIST SP 800-63B-4 exige tamanho mínimo de 15 caracteres para senha usada como único fator e diz que regras de composição obrigatórias não devem ser impostas.

Question 4

Por que a ferramenta mostra duas estimativas, por caracteres e por padrões?

Accepted Answer

A por caracteres é um teto teórico: supõe que cada caractere foi sorteado ao acaso no alfabeto. Serve como comparação, e para senhas geradas de verdade ela coincide com a segunda. A por padrões estima quantas tentativas um atacante que conhece padrões comuns faria, e é a usada na avaliação. Quando as duas se distanciam, a diferença em bits é o custo dos padrões encontrados, que aparecem destacados na senha.

Question 5

Como os tempos de quebra são calculados e o que significam os 3 cenários?

Accepted Answer

Tempo = tentativas ÷ tentativas por segundo. No cenário online com limite o atacante tenta no próprio serviço, que bloqueia e limita: assumimos 100 tentativas por hora. Nos cenários offline o atacante já tem os hashes de um vazamento: com hash lento (bcrypt, argon2) assumimos 10 mil por segundo, e com hash rápido sem custo, 10 bilhões por segundo numa GPU. São hipóteses simplificadas, e hardware e parâmetros reais mudam o resultado por ordens de grandeza. Como exemplo de conta, 2^40 tentativas a 10^10 por segundo dão cerca de 110 segundos.

Question 6

Como funciona a detecção de padrões e quais são os limites?

Accepted Answer

A ferramenta procura trechos previsíveis (senhas comuns, palavras e nomes, sequências, teclado qwerty e abnt2, repetições, datas e anos, trocas leet, maiúscula só no começo) e escolhe, por programação dinâmica, a divisão da senha que seria adivinhada com menos tentativas. É uma versão leve, escrita para este site, com listas embutidas pequenas. Um atacante real tem dicionários de centenas de milhares de entradas, então a estimativa é otimista para senhas humanas. Use como piso e como guia do que trocar, não como veredito.

Question 7

Minha senha já apareceu em algum vazamento?

Accepted Answer

A checagem local compara com uma lista pequena de cerca de 450 senhas muito comuns, e só pega os piores casos. Para consultar uma base real, use o verificador de senha vazada do site, que consulta o Pwned Passwords do Have I Been Pwned por k-anonymity: só os 5 primeiros caracteres do hash SHA-1 saem do navegador, e a comparação final é local. Se a senha aparecer, não a use em lugar nenhum, mesmo que o resultado de força seja bom.

Question 8

Por que trocar a por 4 ou o por 0 não ajuda?

Accepted Answer

Porque atacantes conhecem essas trocas e as incluem nos dicionários: p4ssw0rd custa quase o mesmo que password. A ferramenta reconhece trocas leet comuns e conta só uma pequena multiplicação pelas variações, então a palavra comum continua sendo o que decide a força. Para ganhar força de verdade, acrescente imprevisibilidade (palavras sorteadas, mais caracteres), não disfarce a palavra.

Question 9

Frase-senha é boa? Como ela é pontuada aqui?

Accepted Answer

Sim, desde que as palavras sejam sorteadas ao acaso e a frase seja longa, porque o atacante precisa acertar palavras inteiras em ordem. Para frases de 3 ou mais palavras a ferramenta usa um modelo por palavra (14 bits por palavra, dicionário comum de cerca de 16 mil palavras), em vez da conta por caractere, que exagera. Se as palavras vieram de um gerador com lista de 1024 palavras, cada uma vale 10 bits. Frases tiradas de música, livro ou ditado são muito mais fracas, porque o atacante testa frases conhecidas.

Question 10

Preciso trocar minhas senhas de tempos em tempos?

Accepted Answer

Não por calendário. O NIST SP 800-63B-4, o guia de identidade digital do governo dos EUA, diz que verificadores não devem exigir troca periódica de senhas, e que devem forçar a troca quando há evidência de comprometimento. Troca forçada leva a senhas previsíveis (Senha1, Senha2). Troque quando houver sinal de vazamento, acesso suspeito ou senha compartilhada, e use uma senha forte e única para não precisar trocar à toa.

Question 11

Gerenciador de senhas e autenticação em dois fatores valem a pena?

Accepted Answer

Sim, os dois. O gerenciador permite uma senha longa, aleatória e única por serviço sem depender da memória, e preenche só no site correto, o que ajuda contra phishing. O segundo fator protege a conta mesmo que a senha vaze, mas não substitui a senha: prefira passkeys ou chaves físicas, que resistem a phishing, em vez de SMS. Memorize só uma frase-senha forte para a senha mestra do gerenciador.

Question 12

Uma avaliação Excelente significa que a senha é inquebrável?

Accepted Answer

Não. Ela diz que, pelo que a senha mostra, um atacante teria de fazer um número enorme de tentativas para acertar por adivinhação. Não cobre reutilização em vários sites, phishing, malware que captura o que você digita, vazamento do serviço com a senha em texto puro ou hash fraco, nem pessoas que conhecem você. A senha é só uma das camadas: use única por serviço, em gerenciador e com 2FA.

Analisador de Força de Senha