Testar Força da Senha

Como o cálculo é feito

Sua senha não é enviada. A verificação roda inteiramente em JavaScript no seu aparelho. O campo de entrada não aparece na barra de endereço nem no histórico, e nada é salvo. Só uma lista pública de senhas comuns é carregada uma vez, como arquivo, e comparada localmente.

Como é feita a estimativa

1. Conjunto de caracteres × comprimento: a partir dos tipos de caractere presentes, calcula-se o conjunto (a–z 26, A–Z 26, 0–9 10, caracteres especiais 33, acentos e outras letras especiais 100 por padrão). A entropia sem desconto é comprimento × log₂(conjunto) – para 12 caracteres com os quatro tipos, 12 × log₂(95) ≈ 78,8 bits.

2. Descontos por padrões: pessoas não escolhem caracteres ao acaso. Por isso, atacantes testam primeiro listas de senhas vazadas, palavras com trocas (S3nh@), sequências (abc, 123), linhas de teclado (qwerty, asdf, azerty), repetições e anos. A ferramenta separa sua senha nesses blocos e conta, para cada um, só os poucos bits que um atacante precisa para adivinhá-lo – de forma simplificada, seguindo o método zxcvbn (Wheeler, USENIX Security 2016). É exibido o menor dos dois valores.

3. Tempo para quebrar: 2^bits dividido pelas tentativas por segundo – ou seja, o tempo para testar todas as possibilidades. Premissas iguais às do zxcvbn: ataque offline a um banco de senhas roubado, com hash rápido (10 bilhões de tentativas/s, ex.: MD5 sem "sal" em placas de vídeo) ou com hash lento (10.000 tentativas/s, ex.: bcrypt). Logins on-line com bloqueio de tentativas são muito mais lentos de atacar.

Níveis

• Muito fraca menos de 40 bits (offline em menos de 2 minutos) ou está na lista de senhas comuns
• Fraca 40–59 bits (offline de minutos a pouco mais de 3 anos e meio)
• Média 60–79 bits
• Forte 80–99 bits (offline, milhões de anos)
• Muito forte a partir de 100 bits

A estimativa é um limite superior: se um atacante conhece dados pessoais (nomes, datas de nascimento, nomes de animais de estimação) ou a senha está em um vazamento, ela é quebrada muito mais rápido. Recomendações do BSI (o órgão federal de segurança da informação da Alemanha): 8–12 caracteres com quatro tipos de caractere, ou 20–25 caracteres com dois tipos, sem padrões de teclado como "asdfgh" ou "1234abcd". O NIST SP 800-63B exige pelo menos 15 caracteres quando não há segundo fator, e não recomenda misturas de caracteres obrigatórias — e sim a comparação com uma lista de senhas conhecidas.

Perguntas frequentes

Fontes e base legal

• NIST SP 800-63B: NIST SP 800-63B-4 – 3.1.1.2 Password Verifiers (length, blocklist)
• BSI – Creating secure passwords
• Wheeler (2016): zxcvbn – Low-Budget Password Strength Estimation, USENIX Security
• zxcvbn (Dropbox, MIT) – attack scenarios offline_fast_hashing_1e10_per_second / offline_slow_hashing_1e4_per_second
• SecLists – 10k-most-common.txt (common passwords, MIT)

Última atualização: 27 de setembro de 2026