Gerador de Senha Forte e Frase-Senha em Português

Cada caractere é sorteado com crypto.getRandomValues, o gerador criptográfico do próprio navegador. Não usamos Math.random, que é previsível e nunca deve gerar segredo. O sorteio descarta valores fora do maior múltiplo do tamanho do conjunto, técnica chamada de rejeição, para que nenhum caractere saia mais vezes que outro. Se você marcar a opção de exigir um caractere de cada tipo, a senha inteira é sorteada de novo até atender, em vez de ter posições fixas trocadas, porque só assim todas as senhas válidas continuam igualmente prováveis.

Não. A senha existe apenas na memória do navegador enquanto a página está aberta. Nada vai para localStorage, para a URL, para log, para o histórico de navegação, para analytics ou para servidor. Ao recarregar a página, a senha desaparece. A página também não tem botão de compartilhar, de imprimir nem de gerar PDF, justamente porque essas ações levariam o segredo para fora da tela.

Porque ela é fraca. A conta clássica de entropia, comprimento vezes o logaritmo do alfabeto, descreve o sorteio de uma senha aleatória e não serve para senha escolhida por gente: ela daria 94 bits para aaaaaaaaaaaaaaaaaaaa, que qualquer ataque acha na primeira centena de tentativas. A avaliação desta página procura repetição, sequência, caminho de teclado, palavra de dicionário em português, nome próprio brasileiro, data e as trocas de letra por símbolo, monta a divisão mais barata da senha e cobra por essa divisão. A conta ingênua continua na tela, ao lado, para você ver a diferença.

Depende de quantas palavras ela tem e de quem escolheu as palavras. Uma frase escolhida por você, tirada de uma música ou de um ditado, é fraca: está em qualquer lista de ataque. Uma frase de palavras realmente sorteadas é forte e ainda dá para decorar. A lista desta página tem 2.048 palavras do português, o que dá exatamente 11 bits por palavra sorteada: 6 palavras são 66 bits e 7 palavras são 77 bits. O separador e a letra maiúscula do começo são decisões fixas e públicas, então não entram na conta.

Do banco de palavras curado a mão das palavras cruzadas do próprio ValorFinal, filtrado para palavras de 4 a 8 letras, sem acento e sem cedilha, com no máximo seis palavras por prefixo de três letras. O arquivo é versionado no repositório, tem número de versão e é gerado por um script que qualquer pessoa pode rodar de novo e conferir. Não é a lista de dados da EFF, que é em inglês, e não afirmamos que exista uma lista oficial em português.

Não existe uma resposta só. O mesmo segredo cai em segundos se o serviço guardou as senhas com um hash rápido e vazou, e resiste por séculos se o ataque precisa passar pela tela de login com bloqueio de tentativas. Por isso a página mostra quatro cenários, cada um com a hipótese escrita: tentativa no site com bloqueio, tentativa no site sem bloqueio, vazamento com bcrypt e vazamento com hash rápido. O tempo mostrado é o médio, ou seja, metade do espaço de busca.

Pode, e ela avisa quando isso é provável. O método só enxerga o que está nos dicionários dele: uma frase em inglês, um nome próprio raro, uma gíria regional ou uma palavra com acento podem receber nota mais alta do que merecem. Nesses casos a página mostra o aviso em vez de chamar a senha de segura. No sentido contrário o erro é seguro: se ela diz que a senha é fraca, ela é.

Não. O vazamento de um único serviço derruba todos os outros em que a mesma senha foi usada, e isso acontece com frequência. Use uma senha diferente por serviço, guardada em um gerenciador de senhas, e ative a verificação em duas etapas onde existir. Uma senha forte protege contra adivinhação, não contra phishing nem contra malware no aparelho.

Não recomendamos, e a página avisa isso na própria aba de análise. Nada sai do seu aparelho, mas o hábito de digitar a senha em uma página da internet é exatamente o que o golpe de phishing explora: da próxima vez pode ser um site parecido com este. Teste com uma senha inventada que siga o mesmo padrão da sua, que a avaliação vale igual.