Gerador de palavras-passe
Gerador de palavras-passe grátis que cria palavras-passe aleatórias fortes de 4 a 128 caracteres no teu navegador. Nada é guardado nem enviado.
Estimativa de entropia: –
Seleciona pelo menos um conjunto de caracteres.
Como usar o gerador de palavras-passe
- Define o Comprimento, entre 4 e 128 caracteres. Para a maioria das contas, 16 ou mais é uma boa escolha.
- Seleciona os conjuntos de caracteres a incluir: Letras maiúsculas (A–Z), Letras minúsculas (a–z), Dígitos (0–9) e Símbolos (!#$%…).
- Se alguma vez tiveres de ler ou escrever a palavra-passe à mão, ativa Excluir caracteres ambíguos para deixar de fora caracteres parecidos como
0 O o 1 l I |. - Mantém ativo Incluir pelo menos um carácter de cada conjunto se um site impuser regras de composição.
- Escolhe Quantas palavras-passe queres gerar (até 50), verifica a Estimativa de entropia e o nível de força, e copia a que preferires para o teu gestor de palavras-passe.
Como esta ferramenta gera as palavras-passe
Cada carácter é escolhido com o gerador de números aleatórios criptograficamente seguro do navegador, crypto.getRandomValues, que faz parte da Web Crypto API. Ao contrário de Math.random(), foi concebido para que o seu resultado não possa ser previsto, mesmo por quem viu valores anteriores.
Escolher caracteres de forma justa é mais difícil do que parece. A abordagem ingénua de tirar um número aleatório e calcular o resto da divisão pelo tamanho do conjunto de caracteres introduz o enviesamento do módulo: alguns caracteres saem ligeiramente mais vezes do que outros. Esta ferramenta evita totalmente esse enviesamento, por isso cada carácter permitido tem exatamente a mesma probabilidade.
Tudo acontece no teu dispositivo. As palavras-passe nunca são enviadas pela rede, nunca são guardadas e nunca ficam em registo. Quando fechas ou recarregas a página, desaparecem.
Perceber a estimativa de entropia
A entropia, medida em bits, exprime quantas tentativas um atacante precisaria no pior dos casos. Para uma palavra-passe gerada ao acaso, calcula-se multiplicando o comprimento pelo log₂ do número de caracteres possíveis. Cada bit a mais duplica o trabalho do atacante.
- Uma palavra-passe de 12 caracteres só com letras minúsculas (26 caracteres) tem cerca de 56 bits.
- Uma palavra-passe de 16 caracteres com os quatro conjuntos (cerca de 90 caracteres ou mais) tem cerca de 104 bits.
- Uma palavra-passe de 20 caracteres com os mesmos conjuntos ultrapassa os 130 bits.
Como referência, menos de 50 bits é fraco para uma conta online, de 60 a 80 bits é razoável e 100 bits ou mais é muito forte, mesmo contra a decifração offline de uma base de dados de palavras-passe roubada. Excluir os caracteres ambíguos reduz um pouco o conjunto de caracteres, por isso a estimativa desce ligeiramente; acrescenta um ou dois caracteres para compensar. A estimativa aplica-se às palavras-passe criadas aqui ao acaso; não diz nada sobre as palavras-passe que inventas, que costumam ser muito mais fracas do que o comprimento sugere.
Conselhos que ajudam mesmo
- O comprimento vale mais do que a complexidade. Acrescentar caracteres aumenta a entropia mais depressa do que acrescentar tipos de símbolos. As recomendações atuais, como a NIST SP 800-63B, dão prioridade ao comprimento e desaconselham regras de composição arbitrárias e mudanças periódicas forçadas.
- Usa um gestor de palavras-passe. Pode guardar uma palavra-passe longa, aleatória e diferente para cada site, e assim só tens de memorizar uma frase-passe mestra forte.
- Nunca reutilizes palavras-passe. Quando um site é atacado, os atacantes experimentam o mesmo e-mail e a mesma palavra-passe em todo o lado. Palavras-passe únicas travam esses ataques de reutilização de credenciais.
- Ativa a autenticação multifator sempre que possível, de preferência com uma aplicação de autenticação, uma chave de segurança ou uma passkey em vez de SMS.
- Muda uma palavra-passe quando houver motivo, por exemplo depois de uma fuga de dados, e não segundo um calendário arbitrário.
Perguntas frequentes
Que comprimento deve ter a minha palavra-passe?
Para contas guardadas num gestor de palavras-passe, 16 a 20 caracteres aleatórios chegam bem. Se tiveres de a escrever muitas vezes, uma frase-passe mais longa feita de várias palavras aleatórias pode ser mais prática, mas para palavras-passe de caracteres aleatórios aponta para pelo menos 14 a 16 caracteres.
É seguro gerar palavras-passe num navegador?
Com esta ferramenta, sim: as palavras-passe são geradas localmente com o gerador aleatório criptográfico do navegador e nunca saem do teu dispositivo. Como com qualquer palavra-passe, garante que o teu dispositivo não tem malware e copia o resultado diretamente para o gestor de palavras-passe.
Porque excluir os caracteres ambíguos?
Caracteres como 0 e O, ou 1, l, I e |, confundem-se facilmente em muitos tipos de letra. Excluí-los ajuda quando precisas de ditar uma palavra-passe ou de a escrever a partir de outro ecrã, à custa de um conjunto de caracteres ligeiramente menor.
Exigir um carácter de cada conjunto torna a palavra-passe mais fraca?
Só de forma desprezável. Exclui uma pequena fração das palavras-passe possíveis, como as que só têm letras, mas garante que o resultado é aceite pelos sites que exigem dígitos ou símbolos.
Porque é que um site recusa a palavra-passe gerada?
Alguns sites limitam o comprimento máximo ou só aceitam certos símbolos. Reduz o comprimento ou desativa os símbolos e gera uma nova, compensando com mais comprimento sempre que possível.
As palavras-passe geradas ficam guardadas em algum lado?
Não. Nada é guardado, registado ou enviado para um servidor. Se fechares a página sem copiar uma palavra-passe, ela não pode ser recuperada.