Criar uma senha segura: forte de verdade e fácil de memorizar

Criar uma senha segura soa como tarefa chata: digitar uma embrulhada de letras, números e símbolos que cinco minutos depois já saiu da cabeça. Não surpreende que a maioria termine em Verao2026! ou no nome do cachorro. Dá para fazer diferente. Este artigo mostra o que de fato torna uma senha segura em 2026, quais erros acontecem com mais frequência e como montar, com um método simples, senhas fortes que ainda assim ficam na memória.

O que realmente torna uma senha segura em 2026

Durante muito tempo valeu a regra de misturar o máximo de tipos de caractere, de preferência com substituições como a por @ ou o por 0. Essa regra está superada, e órgãos oficiais como o NIST americano e o BSI alemão ajustaram há tempos as suas recomendações. O motivo: uma substituição como P@ssw0rd! não é segurança, é um padrão conhecido. Justamente esses truques estão em cada lista de ataque que os criminosos percorrem ao quebrar senhas.

O que realmente conta cabe em três palavras:

Comprimento. Cada caractere a mais multiplica o número de possibilidades que um atacante teria de testar. Uma senha de 16 a 20 caracteres é praticamente impossível de quebrar com o poder de cálculo atual, mesmo composta apenas por letras e números. Já uma senha curta com oito símbolos crípticos é, na conta, bem mais fraca do que aparenta.

Acaso. Uma senha é tão segura quanto o acaso que carrega. Pessoas são péssimos geradores de acaso: escolhemos sem perceber padrões que conhecemos, nomes, anos, fileiras do teclado. Uma senha realmente aleatória não se adivinha porque não segue sistema reconhecível nenhum, nem o seu próprio.

Exclusividade. Cada serviço precisa da sua própria senha. Assim que você reutiliza uma, basta um único vazamento em qualquer provedor para que criminosos a testem de forma automatizada em todas as suas outras contas, prática conhecida como credential stuffing e que acontece milhões de vezes por dia.

Quem cumpre essas três regras resolveu o problema das senhas no essencial. O desafio real é outro: como memorizar algo longo e aleatório?

Os 5 erros mais comuns com senhas

Antes da solução vale olhar para o que mais dá errado na prática. Estes cinco padrões aparecem no topo de praticamente toda estatística de vazamento de senhas:

1. Padrões de teclado. qwerty, 123456 ou asdfgh parecem aleatórios aos próprios olhos, mas encabeçam todas as listas que os atacantes testam primeiro. Estão entre os primeiros candidatos de qualquer ataque automatizado justamente por serem tão difundidos.

2. Nome mais ano. Ana1987 ou Silva2026 parecem pessoais e por isso seguros, e é exatamente por isso que são fáceis de adivinhar. Anos de nascimento, nomes de filhos ou de animais de estimação e o ano corrente muitas vezes se deduzem já dos perfis em redes sociais, sem nenhum conhecimento técnico.

3. Reutilizar a mesma senha. Provavelmente o erro mais caro: uma senha para o e-mail, a loja online e as redes sociais ao mesmo tempo. Um único vazamento em qualquer um desses serviços abre então todas as portas de uma vez.

4. Palavras de dicionário puras. Palavras isoladas como Felicidade ou Senha123 caem em segundos em um ataque de dicionário, por mais longas que sejam, enquanto forem feitas de blocos de linguagem previsíveis.

5. Regras de substituição previsíveis. Quem transforma Verao em V3r40! pensa em segurança, mas segue um padrão que qualquer software de ataque guarda há muito tempo. Trocar um caractere não deixa forte uma senha fraca, apenas faz com que ela demore um pouquinho mais para cair.

Os cinco erros têm uma raiz comum: surgem porque as pessoas inventam as senhas em vez de sorteá-las. É aí que entra o método a seguir.

O método da história, passo a passo

O nosso cérebro é ruim para guardar sequências de caracteres e excelente para guardar imagens e histórias, sobretudo se forem absurdas. Psicólogos chamam isso de efeito de superioridade da imagem. O método da história aproveita exatamente isso: em vez de gravar uma sequência, você grava uma imagem esquisita, e dessa imagem se deriva uma senha forte por uma receita fixa e simples.

Um exemplo torna a coisa concreta. A história 😢🦄💡🛁, "O unicórnio triste tem uma ideia na banheira", vira pela receita:

Tr1st3=Un1c0rn10!Id314%B4nh31r4-2284A1C1379617

A derivação funciona assim: tomam-se as quatro palavras-chave da história (estado de espírito, personagem, ação, lugar), trocam-se algumas letras por números parecidos (a vira 4, e vira 3, i vira 1, o vira 0), separam-se as palavras com símbolos e acrescenta-se no fim uma sequência aleatória de números. O resultado é longo, parece aleatório porque é aleatório, e mesmo assim pode ser reconstruído a partir da imagem que ficou gravada.

O ponto fraco das histórias inventadas por conta própria: as pessoas pensam em histórias previsíveis, o animal preferido, o hobby, a última viagem. Com isso o acaso some, e com ele a segurança. A história precisa ser sorteada, não escolhida. Justamente para isso construímos uma ferramenta gratuita.

O método da história é pensado de propósito para as poucas senhas que você precisa mesmo carregar na cabeça, a começar pela senha mestra do seu gerenciador de senhas. Para todo o resto existe uma solução melhor.

Um gerenciador de senhas para as demais contas

Uma pessoa tem em média bem mais de cem contas online, do e-mail ao serviço de streaming e à loja virtual. Inventar uma história diferente para cada uma delas não é necessário nem praticável. Aqui entra o gerenciador de senhas: ele gera para cada serviço uma senha longa, aleatória e exclusiva e a guarda por você, de modo que você mesmo só precisa de uma única senha mestra.

Três opções consagradas e recomendáveis:

Bitwarden é gratuito, de código aberto e pode ser auditado de forma independente, um fator de confiança importante em uma ferramenta que administra todas as suas senhas. Para a maioria dos usos particulares, a versão gratuita já basta.

Proton Pass vem do provedor por trás do Proton Mail e dá peso especial à proteção de dados e à criptografia de ponta a ponta, com uma boa porta de entrada gratuita e integração próxima ao restante do ecossistema Proton.

1Password é pago, em troca é especialmente confortável de usar e um clássico, sobretudo para famílias e equipes que querem compartilhar senhas com segurança.

A divisão de trabalho fica clara: uma senha mestra forte, montada pelo método da história, protege o gerenciador de senhas, e o gerenciador protege todo o resto. Sempre que possível, some a autenticação em dois fatores, que torna inútil uma senha roubada sozinha. Se você mesmo administra um site WordPress, vale também a leitura do nosso artigo sobre segurança de senhas no WordPress, com proteção contra força bruta, políticas de senha para todos os perfis de usuário e autenticação em dois fatores do ponto de vista de quem opera o site.

A lista de verificação final

• No mínimo 16 caracteres, acaso real em vez de padrões inventados.
• Uma senha própria e exclusiva para cada serviço.
• Monte pelo método da história as poucas senhas que precisam ficar na cabeça, por exemplo com o gerador de senha de emoji.
• Entregue as demais contas a um gerenciador de senhas.
• Onde estiver disponível, ative também a autenticação em dois fatores.

Perguntas frequentes