Como criar senhas fortes que ninguém quebra

VVazaram 16 bilhões de credenciais em 2025. Se sua senha estava em algum desses bancos (e provavelmente estava), ela não vale mais nada. Não importa se você "criou uma senha forte" — o que importa é se ela aparece numa wordlist que hackers usam pra testar logins em massa. E elas estão lá.

A boa notícia: criar uma senha que sobrevive a ataques de força bruta E dictionary attacks é simples se você seguir 4 regras. Vamos a elas.

O problema não é o conteúdo da senha — é o padrão. "Senha@123" tem maiúscula, minúscula, número e símbolo. Cumpre todos os requisitos de qualquer formulário. Mas é a 47ª senha mais usada no Brasil. Hackers testam ela ANTES de qualquer força bruta. Em 0,2 segundos sua conta cai.

Senha forte = senha que NÃO ESTÁ em nenhuma wordlist conhecida + tem comprimento suficiente pra brute-force ser inviável. Não tem nada a ver com complexidade visual.

• —Comprimento ≥ 12 caracteres. Cada caractere extra dobra o tempo de quebra. 12 chars = anos. 16 chars = séculos. 8 chars = horas.
• —Aleatória. Senhas geradas por humanos seguem padrões previsíveis (palavra + número + símbolo no final). Use um gerador.
• —Única por serviço. Vazou no LinkedIn? Os hackers tentam a mesma no seu banco. Se for diferente, eles param ali.
• —Armazenada em gerenciador. Você não precisa decorar — precisa que o 1Password, Bitwarden ou KeePass guarde pra você.

• —8 caracteres (só letras): instantâneo
• —8 caracteres (mistos): 1 hora
• —12 caracteres (mistos): 200 anos
• —16 caracteres (mistos): 1 trilhão de anos
• —20+ caracteres (mistos): basicamente impossível com hardware atual

Esses tempos assumem brute-force ofensivo (placas RTX 4090 testando 100 bilhões de hashes/segundo). Atacante real demora ainda mais por causa de rate limiting, mas a margem fica clara: 12+ caracteres é o mínimo, 16 é o sweet spot.

Trocar letras por números (l33t speak)

"P@ssw0rd" não é mais seguro que "Password" — todas as wordlists modernas testam as variações leet automaticamente. Você só ganhou complicação pra você, zero pro atacante.

Frases (passphrases) sem aleatoriedade

"Eu amo café da manhã" tem 19 caracteres mas é uma frase comum em português. Wordlists de 4-5 palavras quebram isso. Frase boa só funciona se as palavras forem ALEATÓRIAS (correto-bateria-cavalo-grampo, no famoso XKCD).

Usar a senha do email pra "tudo importante"

Email é raiz. Quem pega seu email reseta TODAS as outras contas (banco, redes sociais, AWS) via "esqueci a senha". Sua senha de email tem que ser a mais única e mais longa de todas. E ter 2FA por app autenticador, não SMS.

• —Use o gerador abaixo pra criar uma senha de 16+ caracteres com tudo ligado.
• —Salva ela no seu gerenciador (1Password, Bitwarden, ou o do seu navegador).
• —Ativa 2FA em qualquer conta que aceite — preferindo app autenticador (Authy, Aegis) ao SMS.
• —Verifica se seu email já vazou em haveibeenpwned.com. Se sim, troca essa senha em TODOS os serviços que usavam ela.