Gerador de senha

Gerada no seu navegador, nunca enviada nem salva

Este gerador de senha funciona inteiramente no seu aparelho. A página é carregada sem nenhuma senha: a primeira só é criada quando a ferramenta começa a rodar no seu navegador. Cada caractere é escolhido com crypto.getRandomValues, o gerador de números aleatórios criptográfico do navegador, e não com Math.random. Os resultados ficam só na memória da página: não são enviados, registrados, gravados no armazenamento local nem colocados na barra de endereço. Recarregou ou fechou a aba, eles desaparecem.

Como cada caractere é sorteado

Transformar um número aleatório em “um entre 90 caracteres” parece simples, mas o atalho comum de usar o resto da divisão por 90 faz alguns caracteres saírem um pouco mais vezes que outros. Esta ferramenta usa amostragem por rejeição: os números que causariam esse viés são descartados e sorteados de novo, então todos os caracteres têm exatamente a mesma chance.

Com “Incluir pelo menos um de cada tipo escolhido” ligado, o gerador sorteia primeiro um caractere de cada tipo marcado (por exemplo uma maiúscula, um número e um símbolo), completa o resto com o conjunto inteiro e depois embaralha todas as posições com o algoritmo de Fisher–Yates. Assim os caracteres obrigatórios não ficam sempre no começo, um padrão que atacantes testam primeiro. É exatamente o que pedem muitos bancos, apps e lojas online: “pelo menos uma letra maiúscula, um número e um caractere especial”.

Entropia em termos simples

Entropia mede quantas possibilidades um atacante teria de testar. Para uma senha é tamanho × log2(quantidade de caracteres possíveis). Com os quatro tipos marcados são 90 caracteres, cada um vale cerca de 6,5 bits, e a senha padrão de 16 caracteres tem uns 104 bits. Para uma frase-senha é palavras × log2(tamanho da lista): a lista tem 976 palavras, cada uma soma uns 9,9 bits e cinco palavras dão uns 50 bits. Adicionar um número soma mais alguns bits.

A classificação de força depende dos bits: menos de 40 é fraca, de 40 a 59 razoável, de 60 a 79 forte e 80 ou mais muito forte. O tempo mostrado é quanto levaria testar todas as combinações a 10 bilhões de tentativas por segundo, um ataque rápido contra um banco de dados roubado; em média, o acerto vem na metade desse tempo. Esses números só valem para senhas geradas ao acaso, como estas. Uma senha inventada por você, como o nome do cachorro mais o ano de nascimento, é bem mais fraca do que o tamanho sugere.

Bons hábitos que valem mais que qualquer gerador

• Uma senha diferente para cada site. Muitas invasões de conta usam senhas vazadas de um site e testadas em outro. Uma senha única e aleatória elimina esse risco.
• Use um gerenciador de senhas. Ninguém decora dezenas de senhas aleatórias. O gerenciador guarda tudo criptografado e preenche para você; basta lembrar uma frase-senha mestra forte.
• Frase-senha onde você precisa digitar. Para a senha mestra ou o login do computador, sete ou mais palavras aleatórias são mais fáceis de digitar que 16 caracteres aleatórios e continuam muito difíceis de adivinhar.
• Ative a verificação em duas etapas (2FA). Um app autenticador ou uma chave de segurança protege a conta mesmo se a senha vazar.

Precisa sortear nomes ou números de forma justa? O sorteador online usa o mesmo método sem viés. E para conferir quantos caracteres um texto tem antes de colar num campo com limite, use o contador de palavras.