Gerador e verificador de senhas: como no Chrome ou para celular

Verificar uma senha

Digite uma senha para ver uma estimativa de quão difícil é adivinhá-la. Ela fica nesta página: nada é enviado e nada é salvo. É melhor verificar uma senha do mesmo tipo que você usa do que a senha real.

Esta é uma estimativa para uma senha escolhida ao acaso entre os caracteres que ela usa, reduzida por repetições, sequências, linhas do teclado e as 10.000 senhas mais comuns. Uma senha feita de palavras, nomes ou datas é muito mais fraca do que o número indica. O tempo vale para um invasor que tem um hash roubado e tenta 10 bilhões de senhas por segundo. Um site que limita as tentativas torna isso muito mais longo. Não é um verificador completo como o zxcvbn.

Gerador e verificador de senhas

Esta página cria uma senha no seu navegador com os números aleatórios seguros do próprio navegador (crypto.getRandomValues), então a senha nunca é enviada a um servidor e ninguém mais pode vê-la. Há três tipos de senha, porque uma boa senha para um gerenciador de senhas e uma boa senha que você precisa digitar à mão no celular não são a mesma coisa.

Senha aleatória

Escolha o tamanho e os tipos de caracteres. O gerador coloca pelo menos um caractere de cada tipo escolhido e os mistura com um embaralhamento sem viés. A opção "Sem caracteres parecidos" remove 0, O, 1, l, I e |, o que é útil quando você precisa ler a senha no papel ou na tela. Use 16 caracteres ou mais em uma conta importante e deixe um gerenciador de senhas lembrar dela.

Senha como a do Chrome

Quando você clica em um campo de senha em um formulário de cadastro, o Chrome oferece uma senha forte. A regra é pública e está no código-fonte do Chromium: 15 caracteres por padrão, formados por letras minúsculas, maiúsculas, dígitos e os símbolos - _ . : !, com pelo menos uma letra minúscula, uma maiúscula e um dígito. O Chrome deixa de fora os caracteres parecidos (0, 1, l, I, O). Este gerador segue o mesmo alfabeto e a mesma regra, então você pode criar uma senha assim em qualquer lugar, também quando o Chrome não a oferece. São cerca de 89 bits, muito mais do que um site precisa.

Senha fácil de digitar no celular

Uma senha forte é difícil de digitar à mão no celular: as maiúsculas pedem Shift, os dígitos e símbolos pedem outra página do teclado, e um erro fica invisível atrás dos pontinhos. A sugestão de um gerenciador de senhas ou do Chrome é ótima quando é preenchida por você, e um incômodo quando é preciso digitá-la em uma TV, um console ou um celular novo.

O terceiro tipo forma a senha com sílabas, cada uma com uma consoante e uma vogal (kuvobi@tazemu@nipefo). Existem 70 sílabas assim, então cada sílaba soma cerca de 6,1 bits, o mesmo que um caractere aleatório de um conjunto de 70. Você digita letras e quase nenhum sinal, pode ler a senha em voz alta e memorizá-la pelo som. Dez sílabas com dois dígitos, uma letra maiúscula e um símbolo dão cerca de 69 bits, e 15 sílabas dão cerca de 92 bits, tanto quanto os 15 caracteres do Chrome. O preço é o tamanho: 30 letras em vez de 15 caracteres, mas sem Shift e sem trocar de teclado. O contador abaixo da senha mostra quantos caracteres precisam de Shift ou de outra página do teclado.

Regras de cadastro dos sites

A maioria dos formulários de cadastro pede o mesmo: um tamanho mínimo, letras maiúsculas e minúsculas, um dígito e um símbolo. Por exemplo, o Proton Mail pede pelo menos 8 caracteres (recomenda 12), letras maiúsculas e minúsculas, dígitos e símbolos, e um só símbolo basta. A senha para celular é feita para atender a isso: primeira letra maiúscula, dígitos no final e um símbolo entre as palavras, só com letras latinas. Os únicos símbolos são @, # e $: são os mais fáceis de achar no teclado de um celular Android e de um computador. Se você desligar o símbolo, ele não existe, e a caixa abaixo da senha fica vermelha e diz o que falta. O verificador tem uma linha com as mesmas regras.

Verificar uma senha

Digite uma senha no verificador. Ele mostra o tamanho, os tipos de caracteres, quantos bits teria uma senha aleatória desse tipo e quanto tempo leva para tentar metade de todas as senhas assim a 10 bilhões de tentativas por segundo (um ataque a um banco de hashes roubado). A estimativa é reduzida por repetições, sequências como abcd e 1234, linhas do teclado como qwerty e pelas 10.000 senhas mais comuns, também com alguns dígitos acrescentados (Password1). A lista é carregada quando você começa a digitar.

É uma estimativa, não uma promessa. Uma senha feita de palavras, nomes ou datas é muito mais fraca do que o número indica, e o verificador não tem como saber a sua data de aniversário. Não verifique a senha que você realmente usa: verifique uma do mesmo tipo.

Como trocar a senha no Linux

Para trocar a sua própria senha, abra o terminal e execute passwd. Ele pede a senha atual e depois a nova, duas vezes. Para trocar a senha de outro usuário, execute como root:

sudo passwd username

Variações úteis:

• sudo passwd -e username faz a senha expirar, então o usuário precisa escolher uma nova no próximo login.
• sudo passwd -l username bloqueia a conta, e sudo passwd -u username a desbloqueia.
• echo "username:newpassword" | sudo chpasswd define a senha em um script. Assim a senha fica no histórico do shell e na lista de processos, então use apenas para uma senha temporária que o usuário troque logo em seguida.
• No macOS o comando passwd no Terminal funciona do mesmo jeito. No Windows, net user username * pede a nova senha sem mostrá-la.

Crie a nova senha aqui e cole no prompt: o terminal não mostra nada enquanto você digita, então uma senha longa é fácil de errar.

"Verifique sua senha e tente novamente"

Essa mensagem diz que o login não confere e, de propósito, nunca diz qual parte está errada. Os motivos mais comuns são:

• O Caps Lock está ligado ou o layout do teclado não é o que você pensa (letras cirílicas no lugar das latinas). Ative "Mostrar a senha" no campo, se ele tiver essa opção.
• Um espaço foi copiado junto com a senha, no começo ou no fim.
• A senha foi trocada em outro dispositivo, e o navegador ou o programa de e-mail ainda envia a antiga. Atualize-a nas senhas salvas.
• Para uma conta de e-mail: o programa usa a senha da conta, mas o serviço quer uma senha de aplicativo, porque a verificação em duas etapas está ativada.
• A conta foi bloqueada depois de tentativas demais. Espere ou redefina a senha pelo link "Esqueci a senha".

Limitações

• O verificador é uma estimativa e não um verificador completo como o zxcvbn: ele não conhece palavras, nomes nem datas.
• As regras do Proton Mail são as do formulário de cadastro dele no momento em que isto foi escrito, e o site pode mudá-las.
• As sílabas são feitas de 14 consoantes e 5 vogais, escolhidas para serem fáceis de ler e de pronunciar. Por acaso, elas podem formar uma palavra de algum idioma.
• Para a senha mestra de um gerenciador de senhas, uma senha longa de sílabas ou palavras que você consiga memorizar é melhor que uma curta com símbolos.
• Para obter o hash de uma senha use o gerador de hash.