Gerador de Senhas

0
Password length
16chars
64
Included character sets
Batch generation

Gerador de senhas online gratuito usando CSPRNG do Web Crypto para senhas aleatórias fortes, frases de senha e PINs. Detecção de força, exclusão de caracteres ambíguos, exportação em lote. Gerado localmente no navegador.

Sugestões Relacionadas

Derivação de Chave PBKDF2

Hash MD5

Hash SHA-256

Verificador de Força de Senha

Criptografar e descriptografar AES

O que é um gerador de senhas seguro?

Um gerador de senhas cria senhas aleatórias e imprevisíveis. Ao contrário de senhas escolhidas por humanos, um verdadeiro gerador usa um Gerador de Números Pseudoaleatórios Criptograficamente Seguros (CSPRNG) para selecionar caracteres aleatoriamente de um conjunto especificado, evitando padrões humanos previsíveis (nome+aniversário, sequências de teclado como qwerty, empresa+ano), reduzindo drasticamente o risco de ataques de dicionário e preenchimento de credenciais.

**Por que não Math.random()?** PRNGs gerais têm estado interno que pode ser revertido a partir de pequenas saídas, permitindo que atacantes prevejam futuros números «aleatórios». Esta ferramenta usa a API Web Crypto do navegador — apoiada por CSPRNGs no nível do SO (getrandom Linux, SecRandomCopyBytes macOS, BCryptGenRandom Windows) que passam em testes de aleatoriedade criptográfica.

**A entropia é o núcleo da força da senha**: Entropia = log₂(N^L) bits, onde N = tamanho do conjunto de caracteres e L = comprimento. Uma senha de 16 caracteres de 94 caracteres ASCII imprimíveis tem ~104 bits — média 2¹⁰³ tentativas para quebrar, ou cerca de 200 bilhões de anos a 1 trilhão de tentativas/seg.

**Frases de senha** feitas de múltiplas palavras escolhidas aleatoriamente (como Brave-Cloud-Star42) parecem «mais simples» mas atingem mais de 60 bits quando as palavras são verdadeiramente aleatórias — suficiente para a maioria dos cenários, e muito mais fáceis de lembrar que senhas de caracteres aleatórios. Esta é a abordagem Diceware / XKCD #936.

Todas as senhas são geradas localmente no seu navegador sem envio. A ferramenta também fornece detecção de força: cálculo de entropia, estimativa de tempo de força bruta e detecção de padrões fracos (caracteres repetidos, dígitos/letras sequenciais, correspondência de senhas comuns).

Casos de uso

  • Gere senhas aleatórias fortes para novas contas, verifique entropia e tempo de quebra
  • Gere em lote credenciais temporárias para equipes ou ambientes de teste
  • Gere frases de senha memoráveis para senhas Wi-Fi ou de dispositivos
  • Configure PINs de dispositivos, inicialize contas admin ou redefina senhas
  • Substitua senhas fracas criadas por humanos por senhas aleatórias fortes

Como Usar

  1. Selecione o modo: Aleatório, Frase de senha ou PIN
  2. Configure comprimento e opções de caracteres (16+ recomendado), opcionalmente exclua caracteres ambíguos
  3. Revise a força: entropia, estimativa de tempo de quebra, detecção de senhas fracas
  4. Copie ou exporte em lote para TXT para cadastro/redefinição/distribuição

Recursos

  • Geração CSPRNG: usa Web Crypto do navegador (crypto.getRandomValues) para aleatoriedade criptograficamente segura
  • Três modos: Senha aleatória, Frase de senha memorável (combinação de palavras), PIN numérico
  • Medidor de força completo: tamanho do conjunto de caracteres, entropia, detecção de senhas fracas, risco de caracteres sequenciais/repetidos, estimativa de tempo de força bruta
  • Excluir ambíguos: opcionalmente ignorar 0/O/1/l/I para cenários de entrada manual
  • Geração em lote: gere 5/10/20 senhas de uma vez com download TXT
  • Apenas local: toda geração e análise acontece no navegador, nenhum dado enviado

Senha aleatória vs Frase de senha memorável vs PIN numérico: qual escolher?

Cada um dos três modos de senha tem trocas. Escolher o errado significa que você não consegue lembrar, que é facilmente roubada ou que simplesmente não serve para o cenário. Decida com base em (quem lembra, quem digita, quem armazena) para evitar armadilhas comuns.

ModoPergunta típica para escolherForça de segurançaFacilidade de usoUsuário típico
Senha aleatória(Nunca digito manualmente, meu gerenciador preenche)Alta (16 caracteres atingem ~104 bits)Ruim (não memorável, requer gerenciador)E-mail principal, banco, contas sociais, chaves API
Frase de senha memorável(Quero poder ditar, digitar e ainda estar seguro)Média-Alta (5-6 palavras Diceware ~64-77 bits)Boa (legível, pronunciável)Senha mestra, Wi-Fi, senhas entre dispositivos
PIN numérico(Apenas 0-9 permitido, restrito pelo dispositivo)Baixa (6 dígitos só ~20 bits, 10 dígitos ~33 bits)Boa (teclado numérico basta)Tela de bloqueio, PIN de cartão, códigos de uso único

Best Practices

Salve as senhas geradas em um gerenciador imediatamente, não as deixe na tela por muito tempo

Uma senha forte recém-gerada está em texto puro; permanecer na área de transferência, na tela ou no histórico do navegador são todos pontos de risco. Gere, cole imediatamente no site de destino, limpe a área de transferência. Não insira nenhum outro trabalho entre esses três passos. **Nunca** tire um print de uma senha gerada para o seu álbum de fotos, e nunca a escreva em papel e envie uma foto a outras pessoas. Esta ferramenta mantém as senhas apenas na página atual; elas se perdem ao recarregar ou fechar, então prepare o local de armazenamento antes de clicar em gerar.

As senhas geradas são enviadas para um servidor?

Use uma **frase de senha memorável longa** para a senha mestra, senhas aleatórias de 16-20 caracteres para o resto

Estratégia em camadas: a senha mestra (para desbloquear o gerenciador) precisa ser memorizável para um humano e forte o suficiente - escolha uma frase Diceware de 5-6 palavras. Para os outros 99% dos sites/serviços, use senhas aleatórias de 16-20 caracteres com o autopreenchimento do gerenciador. **Nunca** use uma frase de senha memorável para cada site (impossível lembrar, fácil de enfraquecer) e **nunca** use uma senha aleatória para a senha mestra (você vai anotá-la, a segurança vai a zero). Este é o pensamento central em camadas do gerenciamento de senhas.

Qual comprimento uma senha deve ter para ser segura?Senha aleatória ou frase de senha memorável?

Exclua caracteres ambíguos somente quando a entrada manual for necessária

Excluir 0/O/1/l/I e outros caracteres ambíguos reduz significativamente o tamanho do conjunto de caracteres (5-10 bits de perda de entropia no mesmo comprimento). **Ativar apenas quando** houver necessidade de entrada manual, ditado por telefone ou distribuição impressa. Se a senha for usada somente em um gerenciador de senhas, manter todos os caracteres imprimíveis gera mais entropia. Um teste simples: (Vou precisar digitar essa senha com os dedos algum dia?) Se sim, exclua; se não, não exclua.

Por que excluir caracteres ambíguos (0/O/1/l/I)?

Geração em lote é só para cenários de teste/distribuição, não reutilize para contas de produção

O fluxo de geração em lote de 5/10/20 senhas aplica-se principalmente a: inicialização de ambientes de teste, distribuição de contas temporárias, geração de códigos de convite, saída única de chaves API. **Não** pegue uma do resultado do lote e a reutilize para sua própria conta de produção - senhas geradas em lote geralmente seguem as mesmas regras com assinaturas evidentes (conjunto de caracteres, comprimento, tipo de gerador); uma vez que uma conta vaza, atacantes podem adivinhar as diferenças estruturais das outras senhas do lote. Gere e armazene individualmente as senhas de contas de produção.

Geração apenas local

Novas senhas precisam estar acompanhadas de 2FA para serem realmente seguras

Mesmo a senha mais forte cai diante de phishing, keyloggers, vazamentos de banco de dados de senhas ou ameaças internas de operadoras. **Toda conta importante (e-mail, banco, redes sociais, nuvem) deve ativar 2FA**. Ordem recomendada: TOTP (Google Authenticator / Authy) > chave de hardware (YubiKey) > SMS. **Evite 2FA por SMS** (ataques de SIM swap podem contornar). Senha forte + 2FA + gerenciador são todos necessários - 2FA é a última linha de defesa após um vazamento de senha.

NIST SP 800-63B - Diretrizes de Identidade Digital

Consulte o HIBP antes de decidir se redefine uma senha vazada

Quando você suspeitar que uma senha vazou (ver notícias de que algum site foi invadido, receber e-mails de phishing, etc.), não a troque imediatamente. Primeiro, use a API Pwned Passwords do Have I Been Pwned (HIBP) para checar se essa senha aparece de fato em algum corpus de vazamento conhecido. O HIBP oferece uma API de k-anonimato, que esta ferramenta pode integrar no futuro; por ora, você pode ir manualmente a haveibeenpwned.com/Passwords e buscar com os 5 primeiros caracteres do hash SHA-1. Só redefina com urgência se houver confirmação no corpus; senhas que não estão no corpus de vazamento não precisam de troca forçada por (conforto psicológico) (o NIST explicitamente não recomenda redefinições periódicas).

Have I Been Pwned - Verificação de vazamento de senha

Perguntas frequentes

Por que usar Web Crypto API em vez de Math.random()?

Math.random() é um PRNG geral não projetado para cenários de segurança — seu estado interno pode ser potencialmente revertido. crypto.getRandomValues() usa o CSPRNG no nível do sistema operacional, produzindo aleatoriedade imprevisível adequada para senhas e chaves.

As senhas geradas são enviadas para um servidor?

Não. Todas as senhas são geradas localmente no seu navegador. A análise de força, cálculo de entropia e estimativa de tempo de quebra executam no lado do cliente. A aba Rede do DevTools confirma zero solicitações externas.

Qual comprimento uma senha deve ter para ser segura?

Pelo menos 12 caracteres com maiúsculas, minúsculas, dígitos e símbolos. Uma senha aleatória de 16 caracteres levaria bilhões de anos para ser quebrada por força bruta em velocidades modernas. Veja a tabela de tempos de quebra acima.

Senha aleatória ou frase de senha memorável?

Por caractere, senhas aleatórias têm maior entropia. Mas frases de senha (4-6 palavras verdadeiramente aleatórias) atingem mais de 60 bits de entropia e são muito mais fáceis de lembrar. A chave é a seleção de palavras verdadeiramente aleatória, não frases inventadas.

Por que excluir caracteres ambíguos (0/O/1/l/I)?

Estes se parecem em muitas fontes e causam erros de entrada. Se as senhas são digitadas manualmente, ditadas por telefone ou impressas, exclua-os. Se usadas apenas por gerenciador de senhas, mantenha todos os caracteres para maior entropia.

Rotacionar senhas periodicamente é mais seguro?

Segundo o NIST SP 800-63B, rotação regular de senhas NÃO é mais recomendada a menos que comprometimento seja confirmado. Rotação forçada leva os usuários a escolher senhas fracas ou anotá-las. Melhor: senhas aleatórias longas + gerenciador + 2FA.

O que é entropia de senha?

Entropia mede a imprevisibilidade em bits. Entropia = log₂(tamanho_do_conjunto ^ comprimento). Uma senha de 16 caracteres de 94 caracteres ASCII imprimíveis tem ~104 bits, significando que um atacante média 2¹⁰³ tentativas — cerca de 200 bilhões de anos a 1 trilhão de tentativas/seg.

Glossário

CSPRNG
Gerador de Números Pseudoaleatórios Criptograficamente Seguros. Produz saídas imprevisíveis que passam em rigorosos testes de aleatoriedade; mesmo conhecendo muitas saídas passadas não revela as futuras.
Entropia de senha
Mede a imprevisibilidade em bits. Fórmula: log₂(N^L). 60+ bits = seguro; 100+ bits = extremamente forte.
Ataque de força bruta
Tentar todas as combinações possíveis de caracteres. Defende-se usando senhas aleatórias longas que tornam as combinações fisicamente incontáveis.
Ataque de dicionário
Usar listas de senhas comuns (123456, password, qwerty) para adivinhar credenciais. Muito mais rápido que força bruta; senhas aleatórias são imunes.
Preenchimento de credenciais
Usar pares usuário/senha vazados de um site para tentar login em outros. Defende-se com senhas únicas por site e verificando no Have I Been Pwned.
Frase de senha
Uma senha feita de múltiplas palavras aleatórias. Mais fácil de lembrar com alta entropia quando as palavras são verdadeiramente aleatórias (método Diceware).
Diceware
Método de Arnold Reinhold de 1995 usando 5 lançamentos de dados para escolher palavras de uma lista de 7776 palavras. 6 palavras Diceware ≈77 bits de entropia.
NIST SP 800-63B
Diretrizes de identidade digital do NIST — a referência autoritativa para segurança de senhas. Desde 2017, não recomenda mais rotação regular nem caracteres especiais obrigatórios, enfatizando comprimento, triagem de senhas vazadas e MFA.
2FA/MFA
Autenticação de Dois Fatores / Múltiplos Fatores requer um segundo fator além da senha (TOTP, chave de hardware). NIST recomenda 2FA em todas as contas importantes.
Lista negra de senhas vazadas
Listas de senhas comprometidas/comuns publicamente conhecidas (123456, password, admin, qwerty). NIST recomenda verificar contra essas listas no cadastro/troca de senha.

Comprimento da senha vs tempo de quebra (maiúsc+minúsc+dígitos+símbolos)

ComprimentoEntropia(bit)CombinaçõesTempo de quebra (1 trilhão/seg)Classificação
6 caracteres~37~139 bilhões< 1 segundo❌ Muito fraca
8 caracteres~52~2.2×10¹⁴~2.5 dias❌ Fraca
10 caracteres~65~3.7×10¹⁸~116 anos⚠️ Razoável
12 caracteres~78~6.1×10²²~1.9 milhões de anos✅ Forte
16 caracteres~104~6.3×10³⁰~200 bilhões de anos✅✅ Muito forte
20 caracteres~131~6.7×10³⁸Trilhões de vezes a idade do universo✅✅✅ Inquebrável

Comparação de três modos de senha

ModoExemploEntropia típicaFacilidade de memorizaçãoIdeal para
Senha aleatóriaxK9#mP2$vL8@nQ4!~6.5bit/caractereRuimSenhas mestres para gerenciadores, senhas de BD, chaves API
Frase de senha memorávelBrave-Cloud-Star42~10bit/palavraBoaSenhas Wi-Fi, senhas de login que exigem entrada manual
PIN numérico4829173.3bit/dígitoBoaTela de bloqueio, PIN de cartão bancário, códigos de uso único

Authoritative References