Este gerador de frases secretas cria frases com palavras em português, inteiramente no seu navegador. O padrão é de sete palavras, e o número de entropia muda junto com as opções.
O que é uma frase secreta?
Uma frase secreta é um conjunto de palavras sorteadas de uma lista fixa e juntas numa só senha. A força dela vem de quantas palavras foram sorteadas e do tamanho da lista, e não de misturar símbolos ou trocar letras por números.
Frase secreta ou senha
Uma senha aleatória concentra a entropia em poucos caracteres. Um gerador de frases secretas espalha a mesma entropia em mais caracteres, que além disso dá para ler.
Comparação entre a entropia das frases secretas feitas com a lista em português de 4.096 palavras e a de senhas totalmente aleatórias. Três palavras dão 36 bits, quatro 48, seis 72, sete 84, oito 96 e dez 120. Sete palavras equivalem a uma senha aleatória de treze caracteres, de 85,4 bits, mas uma frase dá para digitar de novo de memória.
Nenhuma das duas é mais forte por caractere. A frase só leva vantagem quando alguém precisa digitá-la de memória, o que acontece poucas vezes, mas em senhas importantes.
De onde vem o Diceware
Arnold Reinhold propôs o método em 1995: jogar cinco dados, procurar o número numa lista de palavras e repetir. O primeiro gerador de frases secretas foi um par de mãos e um lápis.
A EFF publicou as próprias listas em 2016, em inglês, com a mesma estrutura de cinco dados e palavras mais fáceis de digitar e mais difíceis de confundir. A deste gerador de frases secretas é em português, e mais abaixo explicamos de onde ela vem.
Quantas palavras você precisa?
A conta
Cada palavra que este gerador de frases secretas sorteia vale log₂(4096), que dá exatamente 12 bits. As palavras são independentes, então o total é esse número multiplicado pela quantidade de palavras.
Três palavras são 36 bits, que um atacante determinado quebra. Sete são 84, que ninguém quebra. O gerador de frases secretas mostra o total o tempo todo, então você nunca escolhe às cegas.
Sete palavras, por padrão
A EFF recomenda seis palavras da lista dela, de 7.776. Com a lista em português, de 4.096, seis palavras ficam em 72 bits, então este gerador de frases secretas começa em sete: 84 bits.
Passar para oito ou nove custa muito pouco esforço e dá uma margem de verdade se a frase protege um gerenciador de senhas ou um disco criptografado.
Quando três ou quatro palavras não bastam
Quatro palavras são 48 bits. Aguentam as tentativas online, quando o servidor as limita, mas não um ataque offline contra um hash vazado.
Só diminua o número de palavras quando o que está em jogo vale pouco. Se você não sabe o que aconteceria se alguém entrasse na conta, trate-a como importante e use sete.
Como este gerador de frases secretas funciona
Uma lista em português
Existem listas Diceware em português, mas nenhuma das que encontramos diz de onde vem cada palavra ou como foi escolhida. Por isso a deste site foi montada com as palavras mais frequentes nas legendas em português do OpenSubtitles2024.
Só entram palavras que o dicionário do LibreOffice para o português do Brasil aceita e que não são apenas uma forma de verbo: casa entra, porque casas também é muito usada; acho não entra. Plurais e nomes próprios também ficam de fora.
Todas usam só letras de a a z, sem acentos nem ç, para você conseguir digitá-las em qualquer teclado. Depois, cada uma foi lida à mão para tirar palavras em inglês, xingamentos e tudo o que é sexual, violento ou religioso.
A lista vem junto com o site e é carregada com a página, então este gerador de frases secretas não pede palavras a nenhum servidor, nem qualquer outra coisa.
Por que 4.096 palavras, e não 7.776
A EFF usa 7.776 porque é 6⁵: uma palavra para cada jogada de cinco dados. Em português não há palavras comuns e sem acentos em número suficiente para chegar a 7.776 sem recorrer a palavras raras ou muito longas.
4.096 é 2¹², então cada palavra vale exatamente 12 bits, um pouco menos que os 12,9 da lista da EFF. Uma palavra a mais compensa com folga.
A lista em inglês da EFF tem 7.776 palavras de 12,9 bits cada uma; com as seis palavras que ela recomenda, uma frase tem 77,5 bits e uns 47 caracteres com hífens. A lista em português deste site tem 4.096 palavras de 12 bits cada uma; com as sete palavras padrão, uma frase tem 84 bits e uns 53 caracteres com hífens. Cada palavra em português vale 0,9 bits a menos, e a sétima palavra deixa a frase acima da em inglês.
Tanto faz o separador
Nenhuma palavra da lista tem hífen, espaço, ponto ou sublinhado, então com qualquer separador este gerador de frases secretas usa as 4.096 palavras, e o número de entropia não muda.
Como criar uma que você realmente lembre
Separadores e maiúsculas
O hífen passa em quase qualquer campo de formulário e é fácil de digitar; por isso o gerador de frases secretas o usa por padrão. Os espaços se leem melhor, mas alguns sistemas ainda os recusam.
Você também pode digitar um separador seu, de até cinco caracteres. Números e símbolos valem; letras não, porque um separador de letras pode se confundir com parte de uma palavra, e a frase poderia ser dividida de mais de um jeito.
As maiúsculas quase não acrescentam entropia, porque o padrão é previsível. Use-as quando um site exigir uma letra maiúscula, não como medida de segurança.
Acrescentar um número ou um símbolo
O gerador de frases secretas pode acrescentar um de cada, e os coloca numa palavra sorteada, e não sempre na última. As regras de quebra de senhas testam primeiro o final.
Nenhum dos dois entra no número de entropia. Acrescentar exatamente um número em algum lugar também é previsível, então contá-lo inflaria o resultado.
O que não fazer
Não fique gerando frases até sair uma com palavras de que você gosta. Cada descarte aproxima o resultado das frases que parecem fáceis de lembrar para você, que é a mesma fraqueza de inventar uma.
Também não troque letras por números. Transformar gato em g4to é a primeira coisa que qualquer ferramenta de quebra de senhas testa.
Onde as frases secretas se encaixam
Senhas mestras e criptografia de disco
São os casos para os quais existe um gerador de frases secretas: os poucos segredos que você precisa digitar de memória e que nada pode preencher por você.
Contas que você digita à mão
Uma TV, um videogame, o terminal de um servidor. Digitar dezesseis caracteres aleatórios com um controle remoto é um suplício; digitar sete palavras de um gerador de frases secretas é tranquilo.
Quando uma senha aleatória é melhor
Para tudo o que o seu gerenciador de senhas preenche, use o gerador de senhas. Ser legível não acrescenta nada se ninguém lê a senha, e uma sequência aleatória mais curta cabe melhor num campo com limite.
Se você quer um meio-termo — legível, mas mais curto que uma frase inteira —, o gerador de senhas fáceis de lembrar cobre esse espaço.
Perguntas frequentes
Quantas palavras uma frase secreta deve ter?
Com a lista em português deste site, sete: elas somam 84 bits, fora do alcance da força bruta. A EFF recomenda seis com a lista dela, em inglês, de 7.776 palavras; com uma de 4.096, é preciso uma a mais para chegar ao mesmo nível. Quatro palavras são 48 bits: servem para uma conta de pouco valor, não para algo importante.
Uma frase secreta é tão forte quanto uma senha aleatória?
Sete palavras valem mais ou menos o mesmo que treze caracteres totalmente aleatórios. A diferença é que a frase você consegue digitar de novo de memória, e isso conta nas poucas senhas que um gerenciador não preenche por você.
Este gerador de frases secretas envia algo a um servidor?
Não. A lista de palavras vem junto com o site, e as palavras são sorteadas com a API Web Crypto no seu navegador. Carregue a página uma vez e ela continua funcionando sem internet.
Que lista de palavras ele usa?
Uma lista própria de 4.096 palavras em português, sem acentos nem ç. Ela sai das palavras mais usadas nas legendas em português do OpenSubtitles2024, filtradas com o dicionário do LibreOffice para o português do Brasil e revisadas à mão.
Por que 4.096 palavras, e não 7.776?
Porque em português não há palavras comuns e sem acentos em número suficiente para chegar a 7.776 sem recorrer a palavras raras. 4.096 é 2¹², então cada palavra vale exatamente 12 bits, um pouco menos que as da EFF. Uma palavra a mais compensa a diferença com folga.
Devo acrescentar um número ou um símbolo?
Só se um site exigir. Eles acrescentam muito pouca entropia e deixam a frase mais difícil de digitar. Uma palavra a mais faz muito mais pela segurança do que qualquer sinal.
Posso trocar uma palavra de que não gostei?
Melhor gerar outra frase. Trocar as palavras de que você não gosta puxa o resultado para palavras que você acha fáceis de lembrar, que é justamente a previsibilidade que um gerador de frases secretas existe para evitar.
Quando usar uma frase secreta em vez de uma senha?
Sempre que você precisar digitá-la de memória: a senha mestra de um gerenciador, a criptografia de um disco, o login de um aparelho. Para tudo o que um gerenciador preenche por você, uma senha aleatória é melhor.
Mais geradores gratuitos
Todas as ferramentas deste site funcionam no seu navegador, sem conta e sem limites. Para conferir uma frase que você já usa, experimente o testador de força de senha.
Ferramentas de senha
Geradores aleatórios
- Gerador de strings aleatóriasQualquer comprimento, qualquer conjunto de caracteres, em lote.
- Gerador de letras aleatóriasUma letra ao acaso, ou várias, todas com a mesma chance.
- Gerador de códigos aleatóriosCupons, vales-presente e números de série, em lote.
- UUID Generator (em inglês)Version 4 UUIDs, single or by the hundred.
- Gerador de PINSenhas numéricas que nunca são 1234.
Chaves e segredos
- API Key Generator (em inglês)Prefixed keys in common formats.
- Secret Key Generator (em inglês)128 to 512-bit secrets in hex or Base64.
- JWT Secret Generator (em inglês)HS256, HS384 and HS512 signing secrets.
- Salt Generator (em inglês)Random salts for password hashing.
- Hash Generator (em inglês)SHA-256, SHA-384 and SHA-512 in-browser.
Metodologia
Atualizado em
Como a entropia é calculada
entropia = palavras × log₂(tamanho da lista)
A lista tem 4.096 palavras com qualquer separador. Um número ou um símbolo acrescentados não contam, de propósito: acrescentar exatamente um de cada é um padrão previsível, então incluí-los exageraria o resultado.
Que lista, e de onde ela vem
Frequências do OpenSubtitles2024 (OPUS, licença ODC-BY), tiradas do zxcvbn-ts (licença MIT). Ortografia conferida pelo dicionário do LibreOffice para o português do Brasil, o VERO (LGPL ou MPL). Palavras vazias do stopwords-iso (MIT). Nada disso é baixado quando você usa a página.
Um script reproduzível monta a lista a partir dessas fontes e de uma lista de exclusões feita à mão, com o motivo de cada palavra. A revisão foi feita por alguém que não é falante nativo de português; se você vir uma palavra que não deveria estar aí, escreva para nós.
Como as palavras são sorteadas
Cada palavra sai de crypto.getRandomValues() por amostragem por rejeição, então as 4.096 têm a mesma chance. Math.random() nunca é usado. Uma palavra pode se repetir numa frase, e isso está certo: proibir as repetições diminuiria a entropia em vez de aumentá-la.