Verificador de força de senha grátis

Exemplo prático

Clique na caixa “Senha” e digite 9fK2!xQ. Ela aparece como pontos; clique em “Mostrar” para ler. A página informa Força “Boa”, Entropia “46 bits”, “Hash rápido (10 bi de tentativas/s)” “2 horas” e “Hash lento, estilo bcrypt (10 mil/s)” “206 anos”. Como a senha tem apenas 7 caracteres, “O que corrigir” diz “Curta: 7 caracteres. O tamanho é o que mais importa.” e a lista “Requisitos de senha” marca “Pelo menos 8 caracteres” e “Pelo menos 12 caracteres” com um círculo vazio, enquanto as outras linhas passam. Clique em “Gerar uma frase-senha forte” para obter seis palavras aleatórias, como proud-gate-merry-wise-brave-fancy, com o rótulo “Frase-senha aleatória, cerca de 53 bits”. Agora troque o texto por Summer2024. A Força cai para “Muito fraca”, a Entropia para “0 bits”, os dois tempos mostram “instantaneamente”, e “O que corrigir” diz “Está em listas das senhas mais comuns.” e “Contém um ano (2024), que os invasores testam primeiro.”

Quais configurações usar e os limites

• Leia a pontuação como uma estimativa. “Muito fraca”, “Fraca”, “Boa” e “Forte” vêm de uma estimativa de entropia mais o número de requisitos atendidos. Abaixo de 28 bits, a pontuação não passa de “Muito fraca”; abaixo de 40, de “Fraca”; e abaixo de 60, de “Boa”. Uma correspondência com a lista integrada de senhas comuns força “Muito fraca”, e uma senha construída sobre uma palavra ou nome comum fica retida em “Fraca”. A nota em âmbar “Apenas heurístico.” avisa que a pontuação se baseia na estrutura e em listas integradas curtas, então uma senha fraca que não esteja em nenhuma das listas ainda pode obter uma boa pontuação.
• Compare os dois tempos para quebrar a senha. Os dois valores dividem o número de tentativas por uma taxa de tentativas. “Hash rápido (10 bi de tentativas/s)” supõe 10 bilhões de tentativas por segundo, como contra um hash calculado rapidamente. “Hash lento, estilo bcrypt (10 mil/s)” supõe 10.000 por segundo. A nota sob os cartões diz que as estimativas supõem um invasor que roubou a senha em forma de hash e tenta adivinhá-la offline, e que sites que limitam tentativas de login são muito mais difíceis de atacar. Os tempos aparecem como “instantaneamente” abaixo de um segundo, depois em segundos até anos, depois, por exemplo, 12 mil anos, “milhões de anos” e, além de um bilhão de anos, “praticamente impossível de quebrar”.
• Use a verificação opcional de vazamentos. Clique em “Verificar contra brechas conhecidas” para procurar a senha nos dados do Have I Been Pwned. O navegador gera um hash SHA-1 da senha, envia apenas os 5 primeiros caracteres dele para api.pwnedpasswords.com e compara o restante no seu dispositivo, então a senha em si nunca é enviada. A resposta é “Encontrado em 12.345 brechas conhecidas”, com o conselho de não usá-la, ou “Não encontrado em nenhuma brecha conhecida.” Marque “Verificar automaticamente depois que eu parar de digitar” para executá-la 0,9 segundo depois de você fazer uma pausa, a partir de 4 caracteres; a escolha fica guardada neste navegador. Editar a senha apaga o resultado anterior.
• Use o botão de frase-senha quando a pontuação não for Forte. “Gerar uma frase-senha forte” aparece sob “O que corrigir” enquanto algo está digitado e a pontuação é “Muito fraca”, “Fraca” ou “Boa”. Ele junta seis palavras com hifens, escolhidas com o gerador aleatório seguro do navegador a partir de uma lista de cerca de 490 palavras curtas em inglês, e a identifica como “Frase-senha aleatória, cerca de 53 bits”. “Copiar” a copia e “Testar aqui” a coloca na caixa e a exibe. O verificador então a pontua como caracteres comuns, então o valor da Entropia dela é bem maior que 53 bits. Confie no rótulo de 53 bits, que conta apenas a escolha aleatória das palavras.
• Saiba o que a lista de requisitos verifica. A lista mostra “Pelo menos 8 caracteres”, “Pelo menos 12 caracteres”, letras minúsculas e maiúsculas (ou “Contém letras (de qualquer alfabeto)” para escritas sem distinção de caixa, como árabe, hebraico ou chinês), “Contém números”, “Contém caracteres especiais”, “Não é uma senha comum”, “Sem caracteres repetidos (3+ vezes)” e “Nenhum padrão comum (123, abc, qwerty, anos)”. O teste de senha comum ignora maiúsculas, acentos, dígitos e símbolos em qualquer extremidade, e trocas como @ por a e 0 por o, então P@ssw0rd!! é detectada. “O que corrigir” mostra no máximo dois achados.
• Use Mostrar para conferir o que você digitou. A caixa esconde a senha como pontos e desativa o corretor ortográfico e as maiúsculas automáticas. Clique em “Mostrar” para lê-la e em “Ocultar” para cobri-la de novo. A senha existe apenas na página aberta; a única coisa guardada no navegador é o ajuste da verificação automática de vazamentos. As senhas em outros alfabetos são pontuadas por escrita: letras cirílicas, gregas, árabes, hebraicas, armênias, georgianas, indianas, tailandesas, kana japonesas, coreanas e chinesas acrescentam, cada uma, um conjunto de caracteres possíveis, e não são tratadas como símbolos.

Problemas comuns e como resolvê-los

Aparece “Falha na verificação de brecha — verifique sua conexão e tente novamente.”

A consulta de vazamentos é a única parte da página que usa a rede. Ela pede a api.pwnedpasswords.com a lista de terminações de hash que compartilham o seu prefixo de 5 caracteres, e esta mensagem aparece quando esse pedido falha ou o serviço responde com um erro. Confira se você está online e se nada bloqueia esse endereço, depois clique em “Verificar contra brechas conhecidas” de novo. A pontuação de força não usa a rede, então continua funcionando.

A Força diz “Muito fraca” e a Entropia diz “0 bits” para uma senha que parece complicada.

A senha correspondeu à lista de senhas comuns, o que define a entropia como 0, os dois tempos para quebrar como “instantaneamente” e a pontuação como “Muito fraca”. A correspondência ignora maiúsculas, acentos, dígitos e símbolos em qualquer extremidade, trocas de caracteres parecidos como 4 por a, 3 por e e 0 por o, e um “my” ou “the” no início. Assim, Password123!, P@ssw0rd!! e mypassword contam como a mesma senha famosa. Escolha algo que não tenha relação com uma palavra.

Aparece “Baseada na palavra comum “istanbul”.” (com a sua própria palavra).

Depois que os dígitos e símbolos das extremidades são removidos e as trocas de caracteres parecidos são desfeitas, a senha é um nome, mês, cidade ou palavra do dia a dia da lista integrada. A pontuação fica então retida em “Fraca” no máximo, e a entropia é limitada ao custo da própria palavra mais alguns bits pelos enfeites: 3,4 bits por dígito, 5 por símbolo, 1 por letra maiúscula. Um ano no final vale cerca de 7 bits no total. Acrescente palavras sem relação, ou use o botão de frase-senha.

Aparece “Sequência de teclado ou de alfabeto “qwerty123”.” (com a sua própria sequência).

Três ou mais caracteres vizinhos de uma fileira do teclado, de uma diagonal como qazwsx, da fileira de números, do alfabeto ou dos dígitos de 0 a 9, para a frente ou para trás, contam como uma sequência. As mesmas fileiras nos teclados AZERTY e russo também contam. Os caracteres dentro de uma sequência valem um quarto da sua força normal, e a linha “Nenhum padrão comum (123, abc, qwerty, anos)” falha. Quebre a sequência com caracteres sem relação.

O botão “Gerar uma frase-senha forte” não aparece.

Ele fica dentro do painel “O que corrigir”, que só é exibido enquanto a caixa não está vazia e a força é “Muito fraca”, “Fraca” ou “Boa”. Quando a pontuação é “Forte”, o painel fica oculto, e com a caixa vazia só aparece o campo de entrada. Para obter uma frase-senha a partir de uma caixa vazia, digite antes qualquer texto curto e depois clique no botão.

Como se compara

Esta página dá uma estimativa, não um veredicto. Ela usa listas integradas curtas de senhas, nomes e palavras comuns, um teste de padrões de teclado e um modelo de entropia por conjunto de caracteres, e não sabe nada sobre o seu nome, a sua data de nascimento nem o site para o qual você está escolhendo uma senha. A verificação opcional de vazamentos usa o serviço público de faixas do Have I Been Pwned e diz apenas se esta senha exata aparece em dados vazados, não se uma parecida aparece. Para senhas de caracteres aleatórios, a página tem um link para o gerador de senhas (“Gerar uma senha forte”), e ela mesma gera frases-senha. Ela não guarda senhas nem verifica como um site faz o hash, então os dois tempos para quebrar são suposições sobre a velocidade do invasor.