Este testador de força de senha estima quantas tentativas um atacante precisaria fazer para adivinhar uma senha, em vez de contar os tipos de caracteres que ela tem. Tudo acontece no seu navegador: nada do que você digita é guardado ou enviado.
É seguro digitar a sua senha aqui?
Este testador de força de senha analisa o que você digita com um código JavaScript que já está carregado na página. A senha nunca é enviada a um servidor, não fica no armazenamento do navegador, não entra na URL e não faz parte de nenhuma estatística. Quando você fecha a aba, ela desaparece por completo.
Como conferir você mesmo
Não é preciso acreditar só porque está escrito. Qualquer testador de força de senha pode dizer o mesmo, e dizer não custa nada.
- Carregue esta página, desconecte-se da internet e digite. O testador continua funcionando.
- Abra as ferramentas para desenvolvedores do navegador, vá até a aba Rede e digite. Nenhuma requisição aparece.
- Veja o código-fonte da página e leia o código que avalia o que você digita.
Uma ferramenta que manda a sua senha para outro lugar não passa em nenhuma dessas três verificações.
Quando você não deve digitar a sua senha verdadeira
Se você tem qualquer dúvida sobre um site, não digite nele uma senha verdadeira. Isso vale também para este testador de força de senha, mesmo que dizer isso nos custe algumas visitas.
Testar com uma senha substituta quase não faz diferença: basta que ela tenha o mesmo comprimento, a mesma mistura de caracteres e o mesmo formato. Um testador de força de senha avalia a estrutura: se a sua tem uma palavra, use outra tão comum quanto ela e o veredito será o mesmo.
Como funciona este testador de força de senha
Por que contar caracteres dá a resposta errada
O jeito óbvio de pontuar uma senha é comprimento × log₂(conjunto). Por essa fórmula, Flamengo2024! tem 13 caracteres de um conjunto de 95 e vale 85,4 bits: “forte”, sem discussão.
Não é. É o nome de um time de futebol com o ano e o símbolo que quase todo mundo acrescenta, e qualquer testador de força de senha que diga o contrário está medindo outra coisa.
Comparação de duas formas de pontuar as mesmas senhas. Pela fórmula do conjunto de caracteres, senha vale 23,5 bits, s3nh@ 30,5, Senha@123 59,1 e Flamengo2024! 85,4; pela estimativa de tentativas, 11,8, 13,8, 34,5 e 41,6. Com uma senha realmente aleatória, as duas coincidem quase exatamente: 124,8 contra 123,8. A fórmula só engana com senhas que alguém inventou.
Contar tentativas em vez de caracteres
Este testador de força de senha estima o menor número de tentativas que bastaria: ele experimenta várias vias de ataque e fica com a mais barata.
Se a senha está numa lista de 20.000 senhas comuns, o número de tentativas é a posição dela na lista. Se é uma das 10.000 palavras mais usadas em português, conta a posição dela entre essas palavras.
Se ela tem enfeites — uma maiúscula, números ou sinais no fim —, essa posição é multiplicada pelo pequeno espaço que eles ocupam. A força bruta só é a resposta quando não sobra nada mais barato.
O que ele detecta
Este testador de força de senha procura senhas comuns e suas versões com maiúsculas, palavras frequentes em português com ou sem acento, números e sinais acrescentados no fim, letras trocadas por caracteres parecidos, como @ no lugar de a, fileiras do teclado como qwerty, sequências alfabéticas e numéricas, repetições, anos soltos e frases secretas feitas com palavras de uma lista.
O que ele não detecta
Ser específico sobre o que falta importa mais do que se dizer completo:
- Palavras soltas em português fora das 10.000 mais usadas, e em inglês fora das listas da EFF. Dentro de uma frase secreta, também são reconhecidas as palavras das duas listas em português deste site
- Nomes de pessoas, de lugares e de times de futebol, a não ser os que já estão nas listas:
flamengoestá,corinthiansepalmeirasnão estão - Senhas comuns em outros idiomas além do português e do inglês
- A semelhança com o seu nome, o seu e-mail ou o seu nome de usuário
A biblioteca zxcvbn cobre tudo isso. Ela também pesa uns 200 KB, enquanto o estimador desta página, com as listas em português, fica em torno de 160 KB. Se a sua senha tem uma palavra pouco frequente, espere que este testador de força de senha dê a ela uma nota mais alta do que o zxcvbn daria.
O que torna uma senha forte de verdade
O comprimento vale mais que a complexidade
Cada caractere que você acrescenta multiplica o trabalho do atacante, e é por isso que um testador de força de senha dá tanto peso ao comprimento. Cada símbolo que você troca só acrescenta uma regra que o atacante já tem.
O NIST chegou à mesma conclusão na SP 800-63B: exige um comprimento mínimo e proíbe expressamente obrigar a misturar tipos de caracteres. Explicamos isso em detalhe em Quantos caracteres uma senha deve ter?
Ser única vale mais que as duas coisas
Uma senha forte usada em vários sites só está tão protegida quanto o site mais fraco que a guarda. Assim que um deles sofre um vazamento, os atacantes testam essa senha em todos os outros.
É a única coisa que nenhum testador de força de senha consegue medir. A nota descreve a senha isolada; ela não sabe onde mais você a usou.
Por que trocar letras por símbolos não ajuda
Transformar senha em s3nh@ leva a estimativa deste testador de força de senha de 12 bits para 14. Qualquer ferramenta de quebra de senhas aplica essas trocas por conta própria, porque todo mundo as faz.
O mesmo vale para a maiúscula no começo e o número no fim. São os dois enfeites mais previsíveis que existem, e é justamente por isso que quase todo mundo os escolhe.
Como ler o resultado
O número da entropia
É o logaritmo na base 2 do número estimado de tentativas. Abaixo de 40 bits, a senha é quebrada sem esforço; entre 60 e 80, basta para contas do dia a dia; acima de 80, há folga — o testador de força de senha classifica o resultado nessa escala.
Os dois tempos de quebra
Os dois números descrevem a mesma senha. Eles mudam porque a forma como ela foi guardada decide a que velocidade dá para atacá-la.
Contra MD5 ou SHA-1, um atacante testa cerca de um trilhão de senhas por segundo; contra bcrypt, alguns milhares. Você quase nunca escolhe qual deles protege a sua senha, então o número que importa é o do hash rápido que este testador de força de senha mostra.
O que fazer se o resultado for fraco
Não tente remendar. Acrescentar um símbolo a uma senha que este testador de força de senha acabou de chamar de fraca muda poucos bits, no máximo.
Troque-a por uma senha gerada: o gerador de senhas para as que um gerenciador preenche, ou o gerador de frases secretas para as poucas que você precisa digitar de memória.
Perguntas frequentes
A minha senha é enviada para algum lugar?
Não. Ela é analisada por JavaScript no seu navegador e nunca sai da página. Você pode conferir abrindo a aba Rede do navegador enquanto digita, ou desconectando-se da internet: o testador continua funcionando.
Devo digitar a minha senha verdadeira?
Se você tem qualquer dúvida sobre um site, não digite — e isso vale para este também. Uma senha com o mesmo formato, com o mesmo comprimento e a mesma mistura de caracteres, dá quase o mesmo resultado sem nenhum risco.
Por que a minha senha tira nota pior aqui do que em outros testadores?
A maioria mede a variedade de caracteres, e por esse critério S3nh@123 parece forte. Este testador de força de senha reconhece nela uma palavra muito usada com trocas previsíveis e pontua o que um atacante realmente teria de fazer: uns 25 bits.
O que significa o número da entropia?
É o logaritmo na base 2 do número de tentativas que estimamos que um atacante precisa fazer. Cada bit a mais dobra esse número. Abaixo de 40 bits, a senha é quebrada sem esforço; acima de 80, há folga.
Por que aparecem dois tempos de quebra?
Porque a resposta depende de como o site guardou a sua senha. Contra um hash rápido como o MD5, um atacante testa cerca de um trilhão de senhas por segundo; contra o bcrypt, alguns milhares. Você quase nunca pode escolher qual deles protege a sua senha.
Acrescentar um símbolo no fim ajuda?
Muito pouco. As regras de quebra testam primeiro o acréscimo de sinais e números, então senha! custa só uns 5 bits a mais que senha. Aumentar o comprimento, ou tirar a palavra do dicionário, ajuda muito mais.
Ele guarda o que eu digito?
Não. Nada é gravado no armazenamento do navegador, nada é acrescentado à URL e nenhum evento de análise registra o que você digita. Quando você fecha a aba, tudo desaparece.
A minha senha tirou uma nota boa. A minha conta está segura?
Significa que a senha resiste às tentativas de adivinhá-la. Não diz nada sobre se o site que a guarda sofreu um vazamento, nem sobre se você a usou em outros sites. Ser única importa tanto quanto ser forte.
Por que ele não verifica se a minha senha vazou?
Porque, para saber isso, é preciso mandar algo para fora do seu navegador: a senha ou uma parte do hash dela, e esta página promete não fazer isso. Se você quer essa verificação, o haveibeenpwned.com oferece e explica o que é enviado e como é protegido.
Mais geradores gratuitos
Todos os geradores deste site funcionam no seu navegador, sem conta e sem limites, assim como este testador de força de senha. Os de chaves e segredos e o de UUID, por enquanto, só estão em inglês.
Ferramentas de senha
Geradores aleatórios
- Gerador de strings aleatóriasQualquer comprimento, qualquer conjunto de caracteres, em lote.
- Gerador de letras aleatóriasUma letra ao acaso, ou várias, todas com a mesma chance.
- Gerador de códigos aleatóriosCupons, vales-presente e números de série, em lote.
- UUID Generator (em inglês)Version 4 UUIDs, single or by the hundred.
- Gerador de PINSenhas numéricas que nunca são 1234.
Chaves e segredos
- API Key Generator (em inglês)Prefixed keys in common formats.
- Secret Key Generator (em inglês)128 to 512-bit secrets in hex or Base64.
- JWT Secret Generator (em inglês)HS256, HS384 and HS512 signing secrets.
- Salt Generator (em inglês)Random salts for password hashing.
- Hash Generator (em inglês)SHA-256, SHA-384 and SHA-512 in-browser.
Metodologia
Atualizado em
Como a estimativa é calculada
tentativas = mín(posição na lista comum, posição com enfeites, posição no dicionário, custo de sequência, custo de repetição, força bruta)
Cada via dá um número de tentativas e vence o menor, porque um atacante pega o caminho mais barato. A entropia é log₂(tentativas). A força bruta, conjunto^comprimento ÷ 2, só entra como limite superior e raramente é a resposta para uma senha que alguém inventou.
Onde a estimativa é generosa
Os enfeites são cobrados por todo o seu espaço de caracteres. Verão2024! é pontuada como se o 2024! do fim pudesse ser qualquer combinação de cinco caracteres que não são letras, quando na prática um atacante testa os anos primeiro.
Os ataques reais contra senhas com esse formato são mais rápidos do que esta página sugere, então tome cada número como o máximo de segurança que você pode esperar.
O que não é verificado
Nem palavras em português fora das 10.000 mais usadas, nem nomes, nem senhas comuns em outros idiomas, nem a semelhança com o seu e-mail ou nome de usuário. A biblioteca zxcvbn faz tudo isso e é a melhor ferramenta se você puder arcar com uns 200 KB de JavaScript. Este estimador, com as suas listas, ocupa uns 160 KB.
De onde vêm as listas
As 20.000 senhas comuns juntam a lista de 10.000 do SecLists e as 10.000 seguintes do zxcvbn-ts (licença MIT); as duas vêm de vazamentos publicados. As 10.000 palavras mais usadas em português saem das frequências do OpenSubtitles2024 (OPUS, licença ODC-BY), por meio do zxcvbn-ts.
As frases secretas são reconhecidas pelas palavras dessa mesma lista, pelas duas listas em português dos geradores deste site, de 1.024 e 4.096 palavras, e pelas duas listas da EFF, em inglês.
Privacidade
O que você digita é passado a uma função e a nada mais. Nunca é enviado pela rede, gravado no localStorage, colocado na URL ou anexado a um evento de análise.
As listas em português são baixadas quando a página carrega, não enquanto você digita. As páginas em português não carregam o Google Analytics, e o que você digita nunca entra em nenhuma contagem.
Confira com a aba Rede do navegador, ou desconectando-se da internet: o testador de força de senha continua funcionando sem conexão.