Verificador de senha

O que acontece com o que você digita

Fica nesta aba do navegador. O verificador é um programa que roda no seu dispositivo, então nenhuma requisição aos nossos servidores ou aos de terceiros leva a sua senha. Não guardamos nada, e o campo é limpo quando você sai da página.

O Google Analytics e a gravação de sessões ficam desligados nesta página. Quando a primeira avaliação aparecer, o verificador já tem tudo de que precisa, e você pode desligar a internet e continuar. Para conferir se algo é enviado, abra as ferramentas de desenvolvedor do navegador e observe a aba Rede enquanto digita; você verá apenas o download do próprio verificador, na primeira vez que clicar no campo. Só não controlamos uma coisa: extensões instaladas no navegador podem ler qualquer campo de qualquer página.

Como ler o resultado

A avaliação vem do zxcvbn, um estimador de força de senhas de código aberto criado no Dropbox e descrito em um artigo da conferência USENIX Security de 2016. Em vez de contar símbolos, ele procura o que os programas de quebra de senhas tentam primeiro: senhas comuns, nomes, palavras comuns em inglês, datas, repetições, sequências, padrões do teclado e letras trocadas por símbolos. Depois, estima quantas tentativas seriam necessárias.

Os tempos mostram o que essa estimativa significa em quatro velocidades presumidas, desde um serviço online que limita as tentativas até um banco de dados roubado protegido por um hash rápido. Não são previsões. O verificador também tem limites:

• Ele conhece sobretudo o inglês. Suas listas têm senhas comuns, nomes e sobrenomes dos Estados Unidos e palavras em inglês, então uma palavra em português pode receber uma nota melhor do que merece. Acentos também atrapalham: “garcía” parece bem mais forte que “garcia”.
• Não sabe se a senha já vazou. Uma senha vazada pode ser usada sem precisar adivinhar nada.
• É cauteloso com sequências realmente aleatórias. A cada caractere não reconhecido, multiplica as tentativas por 10, então uma senha longa e aleatória criada por um gerenciador é mais forte do que os tempos indicam.
• As estimativas ficam menos precisas à medida que crescem. O artigo do zxcvbn relata alta precisão só até cerca de 100 mil tentativas, e isso com 1,5 MB de dados; a versão usada aqui tem cerca de 400 KB. Então trate números grandes e a nota máxima como aproximados.
• Não conhece você. Algo que tem a ver com a sua vida, como o nome de um animal de estimação ou de uma rua, pode ter boa nota aqui e ainda ser fácil para quem conhece você.

O que torna uma senha forte

• Tamanho. O CERT.br recomenda senhas longas e sugere, por exemplo, três palavras aleatórias. A CISA, agência de cibersegurança dos EUA, fala em pelo menos 16 caracteres.
• Variedade. O CERT.br sugere misturar números, caracteres especiais e letras maiúsculas e minúsculas para deixar a senha ainda mais forte.
• Nada pessoal. O CERT.br pede para não usar nomes, sobrenomes, datas nem o que você divulga em redes sociais, e para evitar sequências de teclado.
• Uma senha por conta. Reusar é arriscado, avisa o CERT.br: basta o atacante descobrir a senha de uma conta para acessar as outras em que ela é usada.
• Símbolos não bastam. Este verificador classifica P@ssw0rd1! como fraca, por ser muito parecida com uma senha comum.

Por que um gerenciador de senhas ajuda

Ninguém guarda de cabeça uma senha longa e diferente para cada conta. O CERT.br cita os aplicativos gerenciadores de senhas como uma das formas de guardá-las. Nosso guia de gerenciadores de senhas explica como começar. Depois, ative a verificação em duas etapas: com ela, diz o CERT.br, mesmo quem descobrir sua senha precisará de outras informações para invadir a conta.