Você criou uma senha segura do jeito que mandaram: letra maiúscula, número e um símbolo no fim. Mesmo assim chegou o aviso de login estranho no e-mail, ou a conta do streaming apareceu aberta numa cidade onde você nunca esteve. A explicação de sempre é que faltou complexidade. Quase nunca é isso.
O que derruba uma senha é previsibilidade e repetição. Programas de ataque testam primeiro as combinações que as pessoas costumam montar, como nome com ano e símbolo no final, e depois as senhas que vazaram de outros serviços. Uma senha curta cheia de símbolos cai rápido nesse filtro. Uma frase longa e usada em um lugar só resiste. A seguir estão seis crenças sobre senhas seguras que ainda circulam em empresa, em grupo de família e até em tela de cadastro, cada uma com o que as diretrizes atuais dizem e o ajuste que você pode fazer em poucos minutos.
Mito 1: caractere especial para senha resolve tudo
Caractere especial para senha é qualquer símbolo que não seja letra nem número: @, #, $, %, *, o hífen, o ponto e, em alguns serviços, o espaço. Ele aumenta as possibilidades em cada posição, e por isso muita gente acha que um símbolo basta para blindar a combinação.
O problema está no lugar onde ele aparece. Quem usa símbolo costuma colocá-lo no fim ou trocar letras por sósias: a vira @, s vira $, o vira 0. Essas trocas fazem parte das regras dos programas que testam senhas, então uma combinação como C@sa2025 parece complicada para você e é óbvia para a máquina.
O instituto de padrões dos Estados Unidos foi além. Na norma SP 800-63B do NIST, os sistemas ficam proibidos de impor regras de composição, como exigir mistura de tipos de caractere. O peso passou para o comprimento e para a checagem da senha contra listas de combinações comuns e vazadas.
O ajuste: use o símbolo quando o site exigir, mas no meio da senha e sem trocar letra por sósia. Quem protege é o tamanho.
Mito 2: senha com letras e números de 8 dígitos já basta
Oito caracteres virou padrão porque era o mínimo de muitos formulários antigos. Para a senha usada sozinha, sem segundo fator, a mesma norma do NIST passou a exigir no mínimo 15 caracteres. Os 8 só são aceitos quando a senha faz parte de um login com mais de um fator. A norma também pede que os sistemas aceitem senhas de pelo menos 64 caracteres, justamente para não barrar frases longas.
O Google pede pelo menos 12 caracteres e recomenda frases longas e fáceis de lembrar, segundo a página de ajuda do Google sobre senhas fortes. A mesma página avisa que a conta Google não aceita acentos nem letras acentuadas, detalhe que derruba muita frase em português na hora do cadastro.
Cada caractere a mais multiplica o número de tentativas que um ataque precisa fazer. Por isso quatro palavras comuns separadas por hífen costumam resistir mais do que oito caracteres embaralhados que você nem consegue digitar sem olhar.
O ajuste: mire em 15 caracteres ou mais nas contas que importam (e-mail, banco, gerenciador) e teste o formato no teste de força de senha do Digital Daily, usando um modelo parecido e nunca a senha real.
Mito 3: trocar a senha a cada 90 dias deixa a conta mais protegida
Muita empresa ainda obriga a troca periódica. O efeito costuma ser o contrário do esperado: a pessoa muda Junho2025 para Julho2025, ou acrescenta um número no final. Quem pegou a versão antiga adivinha a nova em poucas tentativas.
A norma do NIST proíbe exigir troca periódica e manda forçar a troca só quando houver indício de que a senha foi comprometida. Esse indício pode ser um aviso de vazamento, um login que você não reconhece ou um alerta do gerenciador.
Se o motivo for um acesso estranho, as checagens para saber se o seu e-mail foi invadido mostram o que fazer além de trocar a senha.
O ajuste: troque quando houver motivo, e troque de verdade, criando uma senha nova do zero. Se a empresa exige troca por política interna, siga a regra no computador de trabalho e leve a conversa para o setor de TI.
Mito 4: uma senha forte pode servir para todas as contas
Essa é a crença que mais provoca invasão em cadeia. Quando um site pequeno vaza a base de usuários, os criminosos testam o mesmo e-mail e a mesma senha em bancos, lojas e redes sociais. A força da combinação não ajuda em nada se ela já está numa lista pública.
O NIST manda os sistemas compararem a senha nova com listas de senhas comuns, previsíveis ou vazadas e recusarem as que aparecerem ali. O Google, na página citada acima, recomenda uma senha diferente para cada conta importante, como e-mail e banco.
O ajuste: uma senha por conta, sem exceção para e-mail, banco e trabalho. Em cadastro de loja ou fórum, repetir é menos grave, mas um gerenciador acaba com a necessidade de decidir caso a caso.
Mito 5: anotar senha é sempre errado
Proibir qualquer anotação empurra as pessoas para a memória, e a memória empurra para senhas curtas e repetidas. A orientação do Google é não deixar senhas anotadas à vista e guardá-las em local secreto ou trancado, o que admite o papel bem guardado.
Para quem trabalha em casa com dez ou vinte acessos, o caminho mais prático é o gerenciador. Ele cria senhas longas e únicas, preenche os campos sozinho e só pede que você memorize uma senha mestra. A norma do NIST exige que os sistemas permitam gerenciadores e preenchimento automático, e recomenda liberar o comando de colar no campo de senha.
Se ainda não usa um, o comparativo de gerenciadores de senhas gratuitos e os erros que anulam a proteção ajuda na escolha.
O ajuste: nada de senha em papel colado no monitor, na nota do celular ou numa planilha sem proteção. Papel em gaveta trancada serve para poucas senhas; gerenciador serve para todas.
Mito 6: com senha segura, a verificação em duas etapas sobra
Senha forte não protege contra o golpe em que você mesmo digita a senha numa página falsa. Nesse caso o criminoso recebe a combinação pronta, seja ela longa ou curta. O segundo fator é o que impede o acesso mesmo com a senha na mão dele.
Nem todo segundo fator protege igual. Código por SMS é o mais frágil, porque depende do chip do celular, enquanto aplicativo autenticador e chave física resistem melhor. A comparação dos métodos está no guia de verificação em dois fatores e qual método ativar primeiro.
O ajuste: ative o segundo fator no e-mail antes de tudo, porque é por ele que se recupera quase todas as outras contas. Depois passe para banco, WhatsApp e gerenciador.
Exemplo de senha forte montada do zero em quatro passos
Lista de senhas prontas não serve para uso: se estão publicadas, entram nas listas de teste dos ataques. O que serve é o método. Siga a ordem e troque as palavras pelas suas.
- Escolha quatro palavras sem ligação entre si e sem relação com a sua vida, como um objeto, uma cor, um animal e um verbo. Fuja de nome de filho, de pet, de time e de data.
- Junte as palavras com um separador, como hífen ou ponto, e sem acento, para a senha funcionar em qualquer site.
- Se o site exigir, coloque um número de dois ou três dígitos e uma letra maiúscula no meio, nunca só no começo ou no fim.
- Conte os caracteres. O resultado precisa passar de 15; se não passar, acrescente mais uma palavra.
Um modelo do formato, só para ilustrar e nunca para copiar: tijolo.Verde-47-coruja.nadar. São 28 caracteres, fáceis de digitar e difíceis de adivinhar. A sua precisa ter outras palavras, outro número e outra ordem.
Senhas seguras por tipo de conta: dicas de senhas que mudam o tamanho e a proteção
Nem toda conta pede o mesmo cuidado. A tabela abaixo organiza onde gastar esforço primeiro, do acesso que derruba todos os outros até o cadastro de loja.
| Conta | O que se perde se vazar | Tamanho sugerido | Segundo fator |
|---|---|---|---|
| E-mail principal | Recuperação de quase todas as outras contas | 15 caracteres ou mais | Sim, aplicativo ou chave física |
| Gerenciador de senhas | Todas as senhas guardadas | 20 ou mais, em frase memorizada | Sim |
| Banco e carteira digital | Dinheiro | O máximo que o banco aceitar | Sim |
| Login do trabalho | Dados da empresa e de clientes | A regra da TI da empresa | Sim, se a empresa oferecer |
| Wi-Fi e painel do roteador | Acesso à rede da casa | 15 caracteres ou mais | Não se aplica |
| Cadastro de loja ou fórum | Spam e golpe por e-mail | Gerada pelo gerenciador | Se houver |
A senha do Wi-Fi tem um detalhe a mais: o roteador costuma vir com uma senha de fábrica impressa na etiqueta. O passo a passo para trocar a senha do roteador e fechar a rede de casa cobre essa parte.
Quando o problema não é a senha
Se você seguiu tudo e mesmo assim perdeu a conta, olhe para o caminho por onde a senha saiu da sua mão. Os três mais comuns:
- Página falsa: você digitou a senha num link recebido por e-mail ou mensagem. Os sinais aparecem nos exemplos reais de phishing e no endereço do remetente.
- Programa espião no aparelho: extensão de navegador desconhecida ou aplicativo instalado fora da loja oficial pode capturar o que você digita.
- Sessão esquecida aberta: computador compartilhado com a conta logada ou WhatsApp Web ativo em outra máquina.
Nesses casos, trocar a senha resolve só metade. Encerre as sessões ativas nas configurações da conta, remova do aparelho o que você não reconhece e ative o segundo fator antes de criar a senha nova. Feito nessa ordem, quem entrou perde o acesso e não volta pela mesma porta.