Question 1

A senha gerada aqui é segura e fica só no meu navegador?

Accepted Answer

Sim. Cada caractere é sorteado com crypto.getRandomValues, o gerador criptográfico do navegador, e não com Math.random. O sorteio usa rejeição de viés: valores que deixariam alguns caracteres mais prováveis são descartados e sorteados de novo. A senha é montada no seu dispositivo, não é enviada a nenhum servidor, não vai para o armazenamento local e não aparece em eventos de análise.

Question 2

Tamanho importa mais que complexidade?

Accepted Answer

Quase sempre sim. Cada caractere extra multiplica o número de combinações pelo tamanho do alfabeto, enquanto incluir mais um tipo de caractere só aumenta um pouco esse alfabeto. Uma senha aleatória de 16 caracteres tirados de 88 símbolos tem cerca de 103 bits; com só letras minúsculas, 16 caracteres dão cerca de 75 bits, e 20 minúsculas dão cerca de 94. Para segredos que você precisa digitar, aumentar o tamanho é o caminho mais barato para ganhar entropia.

Question 3

Frase-senha ou senha aleatória: qual devo usar?

Accepted Answer

Senha aleatória é a melhor escolha para tudo que um gerenciador de senhas preenche por você, porque ninguém precisa digitar ou lembrar. Frase-senha é a melhor escolha para o que você mesmo digita ou memoriza: a senha mestra do gerenciador, o disco criptografado, o Wi-Fi. Com a lista de 1024 palavras, cada palavra vale 10 bits: 6 palavras dão 60 bits e 8 dão 80 bits. O ponto crítico é que as palavras sejam sorteadas pelo gerador, não escolhidas por você, porque palavras escolhidas por pessoas seguem padrões previsíveis.

Question 4

O que é entropia e como ela é calculada aqui?

Accepted Answer

Entropia mede, em bits, o tamanho do espaço de possibilidades de onde o segredo foi sorteado. Cada bit dobra o número de combinações. Para senha aleatória, é tamanho × log2(tamanho do alfabeto). Para frase-senha, é palavras × log2(1024) = palavras × 10, mais cerca de 6,6 bits se houver o número de 2 dígitos. Para PIN, é log2(10 elevado ao número de dígitos): 6 dígitos dão cerca de 19,9 bits. A conta vale porque o sorteio é uniforme, e só vale para segredos sorteados: ela não mede uma senha que um humano inventou.

Question 5

O que muda ao exigir pelo menos um caractere de cada tipo?

Accepted Answer

Alguns sites só aceitam senhas com maiúscula, minúscula, número e símbolo. Para atender, o gerador sorteia a senha inteira e descarta as que não têm todos os tipos, repetindo até acertar. Isso mantém a distribuição uniforme entre as senhas válidas, e a entropia mostrada é a exata: o logaritmo do número de senhas que cumprem a regra, calculado por inclusão e exclusão. A perda é pequena (em 4 caracteres é de alguns bits, em 16 ou mais é quase zero). Por isso a conta vem junto na tela, sem aproximação escondida.

Question 6

Por que o tempo de quebra é só uma estimativa?

Accepted Answer

Porque depende de quem ataca e de como a senha foi guardada, coisas que nenhuma página enxerga. A tela assume que o atacante conhece o método de geração, testa em ordem aleatória e acha a senha, em média, depois de metade das combinações: tempo = 2^(bits - 1) ÷ tentativas por segundo. Como exemplo de conta, 60 bits a 10 bilhões de tentativas por segundo dão 2^59 ÷ 10^10, cerca de 5,8 × 10^7 segundos, perto de 1,8 ano. Mudar a taxa em 10 vezes muda o tempo em 10 vezes, por isso os três cenários aparecem lado a lado e rotulados como ordem de grandeza.

Question 7

Qual a diferença entre ataque online e ataque offline?

Accepted Answer

No ataque online o atacante precisa tentar a senha no próprio serviço, que pode limitar tentativas, bloquear a conta e exigir segundo fator: a taxa é baixa, algo como dezenas ou centenas de tentativas por hora por conta. No ataque offline, o atacante já tem os hashes das senhas (por exemplo, de um vazamento do banco de dados) e testa em hardware próprio, sem limite nenhum. Aí a taxa depende do algoritmo: um hash rápido sem custo permite bilhões de tentativas por segundo por GPU, enquanto bcrypt, scrypt ou argon2 são projetados para ser lentos. Senhas curtas só sobrevivem ao cenário online.

Question 8

Por que não devo reutilizar a mesma senha em vários sites?

Accepted Answer

Porque o seu cadastro mais fraco define a segurança de todos os outros. Quando um serviço vaza, os atacantes testam automaticamente aquele e-mail e aquela senha em centenas de outros sites, uma técnica chamada credential stuffing. Com senhas únicas, um vazamento atinge uma conta só. Gere uma senha aleatória por serviço e guarde em um gerenciador. Para conferir se uma senha que você já usou apareceu em vazamentos conhecidos, use o verificador de senha vazada, que consulta por k-anonymity sem enviar a senha inteira.

Question 9

Preciso de um gerenciador de senhas?

Accepted Answer

Para a maioria das pessoas, sim. Senhas únicas e longas para dezenas de contas não cabem na memória, e o gerenciador as guarda criptografadas, preenche só no site correto (ajudando contra phishing) e gera novas. Você memoriza uma frase-senha forte para a senha mestra e deixa o resto aleatório. Use um gerenciador que tenha autenticação em dois fatores e backup de recuperação, e nunca guarde senhas em mensagens, e-mails ou planilhas abertas.

Question 10

Autenticação em dois fatores (2FA) substitui uma senha forte?

Accepted Answer

Não, soma. O segundo fator protege contra quem descobriu a senha, mas a senha continua sendo a primeira barreira, e nem todo 2FA protege igual: códigos por SMS podem ser desviados, aplicativos geradores de código ajudam mais, e chaves de acesso (passkeys) ou chaves físicas resistem ao phishing. O cenário ideal é senha longa e única, mais o 2FA mais forte que o serviço oferecer.

Question 11

Devo trocar minhas senhas de tempos em tempos?

Accepted Answer

Não por calendário. O NIST SP 800-63B-4, o guia de identidade digital do governo dos EUA, diz que verificadores não devem exigir troca periódica de senhas, e que devem forçar a troca quando há evidência de que a senha foi comprometida. O mesmo documento diz que não se devem impor regras de composição (como exigir símbolo) e exige a comparação com uma lista de bloqueio de senhas comuns ou vazadas. A troca forçada gera senhas previsíveis (Senha1, Senha2). Troque quando houver sinal de vazamento, suspeita de acesso indevido ou quando a senha foi compartilhada.

Question 12

Por que alguns sites rejeitam a senha que gerei?

Accepted Answer

Vários sites limitam o tamanho máximo, recusam certos símbolos ou exigem tipos específicos de caractere. Abra Ajustar senha: edite a lista de símbolos permitidos (o botão Só os mais aceitos deixa uma lista segura), escreva em Excluir estes caracteres os que o site recusa, reduza o tamanho ou use Exigir ao menos um de cada tipo. Se o site limita a senha a poucos caracteres ou proíbe símbolos, compense usando todo o tamanho permitido, e considere ativar o 2FA, já que a senha sozinha ficou limitada.

Cenário	Tempo médio
Online com limite	`cerca de 10^24 anos`
Offline, hash lento	`cerca de 10^19 anos`
Offline, hash rápido	`cerca de 10^13 anos`

Cenário	Tempo médio
Online com limite	`cerca de 10^24 anos`
Offline, hash lento	`cerca de 10^19 anos`
Offline, hash rápido	`cerca de 10^13 anos`

Gerador de Senhas