Verificador de força de palavras-passe

Como verificar uma palavra-passe

1. Escreve ou cola a palavra-passe em Palavra-passe a testar. O campo oculta o que escreves; carrega em Mostrar para a veres e em Ocultar para a voltares a esconder.
2. O resultado aparece enquanto escreves. A barra de Força vai de 0 (Muito fraca) a 4 (Muito forte).
3. Lê a tabela Tempo estimado para decifrar: dá uma duração para cada um de quatro cenários de ataque, desde um site que limita as tentativas de início de sessão até uma base de dados roubada atacada com placas gráficas.
4. Consulta Fraquezas e sugestões. Indica o problema encontrado (uma palavra-passe comum, um padrão de teclado, uma data, uma sequência repetida…) e sugere como o corrigir.

A palavra-passe é analisada apenas nesta página. Nunca é enviada, guardada nem registada, e o campo é limpo quando sais da página. Mesmo assim, o hábito mais seguro é testar uma palavra-passe parecida com a tua em vez da verdadeira.

Limitações em português

Os dicionários incorporados contêm palavras-passe divulgadas muito comuns, nomes e palavras frequentes em inglês e em francês. Não há dicionário português: uma palavra-passe baseada numa palavra portuguesa comum, num nome de clube ou numa expressão popular pode ser classificada como mais forte do que realmente é, porque os atacantes também usam listas portuguesas. As mensagens de Fraquezas e sugestões são geradas pela biblioteca zxcvbn e aparecem em inglês.

Como é calculada a pontuação

Esta ferramenta usa o zxcvbn, um estimador de palavras-passe de código aberto criado originalmente na Dropbox (aqui na sua versão TypeScript mantida, zxcvbn-ts). Em vez de contar maiúsculas e símbolos, pensa como quem tenta decifrar palavras-passe. Divide a palavra-passe em partes e procura os padrões que os atacantes experimentam primeiro:

• as palavras-passe divulgadas mais comuns, nomes próprios, apelidos e palavras frequentes em inglês e francês, incluindo palavras invertidas e substituições «l33t» como p@ssw0rd;
• percursos no teclado como qwerty, azerty ou 1qaz2wsx;
• caracteres repetidos (aaaa), blocos repetidos (abcabc) e sequências (abcd, 9876);
• datas e anos recentes.

Depois estima quantas tentativas um atacante precisaria para encontrar a palavra-passe completa, mostradas em Tentativas estimadas. A pontuação segue esse número: menos de mil tentativas dá 0, menos de um milhão 1, menos de 100 milhões 2, menos de 10 mil milhões 3, e tudo acima disso tem 4.

Os quatro cenários de ataque

Os tempos dividem o número estimado de tentativas pela velocidade de cada ataque:

Um ataque online significa que alguém escreve tentativas num formulário de início de sessão. Um ataque offline acontece depois de uma fuga de dados, quando o atacante tem uma cópia dos hashes das palavras-passe guardadas e pode testar tentativas no seu próprio equipamento. A última linha é o pior caso, e é a que deves observar nas palavras-passe que protegem o e-mail, o banco ou um gestor de palavras-passe. Os tempos são médias: um atacante pode ter sorte mais cedo.

Estimativa de entropia

A Estimativa de entropia é o valor clássico de força bruta: comprimento × log2(tamanho do conjunto), em que o conjunto é a soma dos tipos de caracteres usados (26 minúsculas, 26 maiúsculas, 10 dígitos, 33 símbolos e 100 para outros caracteres, como acentos ou emojis). Qwerty123! tem cerca de 66 bits segundo esta fórmula, mas o zxcvbn dá-lhe 0 (Muito fraca) porque é uma fila do teclado seguida de um sufixo comum. A entropia só faz sentido para palavras-passe escolhidas ao acaso, por exemplo por um gerador de palavras-passe; para as inventadas por pessoas, confia na pontuação e nos tempos.