Senhas e chaves de acesso
Desde julho de 2025, a norma americana NIST SP 800-63B-4 diz que uma senha usada sozinha deve ter pelo menos 15 caracteres e que os serviços não podem obrigar você a trocá-la periodicamente.
"Summer2024!" cumpre todas as regras. Então por que é fraca?
Muita gente ainda acredita que uma senha forte precisa de uma letra maiúscula, um número e um símbolo, e que trocá-la a cada 90 dias a mantém segura. Os formulários de cadastro ensinaram exatamente isso durante anos. Veja o que essas regras produziram. "Summer2024!" cumpre todas elas. Noventa dias depois, vira "Autumn2024!", e quem viu a primeira consegue adivinhar a segunda. As regras deixaram as senhas mais difíceis de lembrar sem torná-las muito mais difíceis de adivinhar.
O que a norma americana de 2025 pede no lugar disso
A diretriz americana atual, a NIST Special Publication 800-63B-4, concluída em julho de 2025, inverte esses hábitos. Uma senha usada sozinha deve ter pelo menos 15 caracteres. Se ela for só uma parte de um login com vários fatores, o mínimo é 8. Os serviços devem aceitar pelo menos 64 caracteres, inclusive espaços e todos os caracteres imprimíveis, e não podem impor outras regras de composição, como "um símbolo". Também não podem forçar trocas periódicas. A troca só é exigida quando há indícios de que a senha vazou. A NIST também pede que os serviços comparem cada senha nova com uma lista de bloqueio de senhas comuns, previsíveis ou já vazadas, porque uma senha que apareceu em um vazamento deixou de ser secreta, por mais longa que seja.
Contando o que um adivinhador precisa testar
Por que o comprimento vence? Cada caractere a mais multiplica o número de senhas possíveis. Oito letras minúsculas dão 26 elevado a 8, cerca de 209 bilhões de combinações. Um computador que testa um arquivo de senhas roubado passa por isso rapidamente. Quatro palavras sorteadas de uma lista de 7776 dão cerca de 3.66 × 10¹⁵. A tabela mostra como os números crescem depressa, e o exercício de código mais abaixo permite calcular dois deles você mesmo.
| Senha | Combinações possíveis |
|---|---|
| 8 letras minúsculas | 26⁸ ≈ 2.09 × 10¹¹ |
| 8 de 95 caracteres imprimíveis | 95⁸ ≈ 6.63 × 10¹⁵ |
| 4 palavras aleatórias de 7776 | 7,776⁴ ≈ 3.66 × 10¹⁵ |
| 5 palavras aleatórias de 7776 | 7,776⁵ ≈ 2.84 × 10¹⁹ |
| 16 letras minúsculas | 26¹⁶ ≈ 4.36 × 10²² |
Por que um vazamento se espalha para outras contas
A CISA, agência de cibersegurança dos EUA, resume uma senha forte em três palavras: longa (pelo menos 16 caracteres), aleatória e única para cada conta. Aleatória pode ser uma sequência de caracteres variados ou uma frase-senha de quatro a sete palavras sem relação entre si. Única é o mais importante. Quando um site vaza, criminosos testam o mesmo e-mail e a mesma senha em outros sites, então uma senha reutilizada transforma um vazamento em muitos. Ninguém consegue lembrar dezenas de senhas longas e aleatórias. Por isso a CISA e a NIST apoiam os gerenciadores de senhas, programas que geram, guardam e preenchem senhas para que você só precise lembrar de uma. A NIST diz que os serviços devem permitir gerenciadores de senhas e o preenchimento automático, e devem permitir colar.
Uma chave de acesso não deixa nada para digitar nem nada para roubar
Uma chave de acesso (passkey) substitui o segredo compartilhado por criptografia de chave pública. A MDN a descreve como um par de chaves ligado à sua conta em um site. A chave privada fica em um autenticador no seu dispositivo ou conectado a ele, e você a libera com o PIN, a digital ou o rosto. A chave pública fica no servidor do site. Para entrar, o site envia um desafio e o seu dispositivo o assina. Nada secreto é digitado. Nada secreto fica guardado no servidor também, então um vazamento no servidor não revela nada reutilizável. Cada chave de acesso também está presa ao domínio do site, o que significa que uma página de phishing parecida não consegue usá-la. A NIST considera esse tipo de login criptográfico resistente a phishing e as senhas não, e permite chaves de acesso sincronizadas entre seus dispositivos.
Por onde começar? Dê primeiro uma frase-senha longa à sua conta de e-mail, porque ela pode redefinir as outras. Se você usa um gerenciador de senhas, essa frase-senha vira a única senha que você memoriza. Depois troque toda senha que você sabe que reutilizou, começando pelas contas de banco e de compras. Quando um site oferecer criar uma chave de acesso, aceitar costuma ser a melhoria mais rápida. Você pode manter a senha como alternativa.
Longa: pelo menos 16 caracteres. Aleatória: caracteres variados ou de 4 a 7 palavras sem relação. Única: uma senha diferente para cada conta.
- "Acrescente uma maiúscula, um número e um símbolo e a senha fica forte." A NIST SP 800-63B-4 agora proíbe os serviços de impor regras assim. Uma palavra mais "2024!" cumpre todas elas, como mostra Summer2024!. O comprimento ajuda muito mais: na tabela, 16 letras minúsculas (cerca de 4.36 × 10²²) superam 8 caracteres tirados de todos os 95 imprimíveis (cerca de 6.63 × 10¹⁵).
- "Trocar a senha a cada 90 dias me mantém seguro." Trocas forçadas costumam gerar só a próxima variação: Summer2024! vira Autumn2024!. A NIST diz que os serviços não podem forçar trocas periódicas e só devem exigir uma senha nova quando houver indícios de que a antiga foi comprometida.
- "Minha senha é longa, então tudo bem mesmo tendo aparecido em um vazamento." Quando uma senha entra em uma lista de vazamentos, os atacantes a testam primeiro, seja qual for o comprimento. Por isso a NIST pede que os serviços comparem as senhas novas com uma lista de bloqueio de senhas vazadas e expliquem a recusa.
- "Uma senha bem forte para todos os sites é suficiente." Aqui a força não ajuda. Outro site a vaza, e pronto. Criminosos testam logins vazados em outros lugares (credential stuffing), então só uma senha diferente para cada conta limita um vazamento a uma conta.
| Mínimo da NIST, só a senha | 15 caracteres |
| Mínimo da NIST, como parte de MFA | 8 caracteres |
| Troca forçada a cada 90 dias? | NIST: não pode, salvo indícios de comprometimento |
| Lista de bloqueio | Senhas comuns, previsíveis e vazadas que um serviço recusa |
| Chave de acesso | Par de chaves ligado a um site; a chave privada fica no seu dispositivo |
| Credential stuffing | Testar logins vazados em outros sites; senhas únicas o derrotam |
- NIST: pelo menos 15 caracteres sozinha, 8 com MFA; sem regras de composição; sem trocas periódicas forçadas.
- CISA: longa, aleatória, única; um gerenciador de senhas torna isso possível.
- Senhas reutilizadas transformam um vazamento em muitos.
- Chaves de acesso usam um par de chaves preso ao site, por isso resistem a phishing.
- Pela NIST SP 800-63B-4, qual é o comprimento mínimo de uma senha usada sozinha?
- O que a NIST diz sobre obrigar a troca de senha a cada 90 dias?
- Os serviços não podem, salvo indícios de comprometimento
- É obrigatório
- É obrigatório a cada 30 dias
- Só para bancos
- Qual regra a NIST proíbe os serviços de impor?
- Exigir uma mistura de tipos de caracteres
- Um comprimento mínimo
- Consultar uma lista de bloqueio
- Permitir colar
- Quantas senhas possíveis existem com 8 letras minúsculas? Responda em bilhões, arredondando.
- Por que senhas únicas são tão importantes?
- Logins vazados são testados em outros sites
- Os sites percebem se você reutiliza uma
- Senhas curtas são proibidas por lei
- São mais rápidas de digitar
- Segundo a CISA, uma senha forte tem pelo menos quantos caracteres?
- Onde fica a chave privada de uma chave de acesso?
- Em um autenticador no seu dispositivo ou conectado a ele
- No servidor do site
- No seu e-mail
- No histórico do navegador
- Por que um site de phishing não consegue usar sua chave de acesso?
- Cada chave de acesso está presa ao domínio do site verdadeiro
- As chaves de acesso expiram a cada hora
- Sites de phishing são bloqueados por lei
- As chaves de acesso são criptografadas duas vezes
- O que um serviço deve fazer se a sua senha nova aparecer em uma lista de senhas vazadas?
- Recusá-la e explicar o motivo
- Aceitá-la se for longa
- Acrescentar um número a ela
- Ignorar a lista
- Qual é a escolha mais forte para uma conta nova?
- Uma frase-senha única de 5 palavras aleatórias, guardada em um gerenciador de senhas
- Sua senha de sempre mais o nome do site
- P@ssw0rd!
- Seu aniversário e o nome do seu pet
Fontes deste curso (13)
- (checked 2026-10-17; reordered 2026-10-19: standards and law first, then official agency guidance, then technical documentation, history last)
- Standard: NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management (pages.nist.gov/800-63-4/sp800-63b.html, final 31 July 2025 per the csrc.nist.gov document history (Date Published: July 2025), checked 2026-10-17: sec. 3.1.1.2 password rules, 3.1.3.3 PSTN restricted, 3.2.5 phishing resistance, Appendix B syncable authenticators)
- Law: 개인정보 보호법 제2조 (국가법령정보센터, law.go.kr)
- Official agency guidance: CISA Secure Our World: Use Strong Passwords, Turn on MFA, Recognize and Report Phishing, Update Software, and tip sheets (cisa.gov/secure-our-world, checked 2026-10-17)
- CISA, More than a Password (cisa.gov/MFA) and fact sheet Implementing Phishing-Resistant MFA (2022)
- checked 2026-10-17
- CISA #StopRansomware Guide (checked 2026-10-17)
- CISA, Back Up Business Data and Data Backup Options (Ruggiero and Heckathorn, 2012, Carnegie Mellon University, produced for US-CERT, which CISA retired into CISA.gov on 24 February 2023; 3-2-1 rule) (checked 2026-10-17)
- KISA, 118 상담 서비스 (kisa.or.kr/118, checked 2026-10-17)
- KISA 보호나라 스미싱 확인서비스 (boho.or.kr, checked 2026-10-17)
- KISA 개인정보침해 신고센터 (privacy.kisa.or.kr, checked 2026-10-17)
- Technical documentation: MDN Web Docs, Passkeys (developer.mozilla.org/en-US/docs/Web/Security/Authentication/Passkeys, checked 2026-10-17) and autocomplete attribute (checked 2026-10-17)
- No product is recommended. Every code exercise was checked with a Playwright probe against a reference solution.
Data de verificação: 2026-10-17