O Que e uma Boa Política de Senhas?

Uma política de senhas define as regras mínimas que uma senha deve atender para ser aceita em um sistema. A ciencia moderna mudou bastante nos últimos anos - o que antes era boa pratica (expiração a cada 90 dias, complexidade obrigatória) hoje e considerado contraproducente.

Princípios modernos (2026)

  • Tamanho > complexidade - 16 caracteres minusculos e mais seguro que 8 com tudo
  • Permita tudo - aceite todos os caracteres Unicode imprimiveis (emojis, espacos, acentos)
  • Bloqueie senhas conhecidas - listas de vazamentos, dicionarios e variações comuns
  • Não force expiração - só exija troca se houver suspeita de comprometimento
  • MFA como padrão - senha sozinha nunca e suficiente
  • Monitore autenticacoes anomalas - login de local novo, dispositivo novo

Padrões de Referência

NIST SP 800-63B (EUA)

A diretriz de autenticação digital do NIST (National Institute of Standards and Technology), revisão 3 de 2017 e atualizações de 2024. E considerada o padrão-ouro para políticas modernas.

  • Mínimo 8 caracteres (recomendado 16+)
  • Não exija complexidade (misturar maiusculas/números/simbolos)
  • Não exija expiração periódica sem motivo
  • Bloqueie senhas em listas de vazamentos
  • Permita todos os caracteres imprimiveis, incluindo espacos e Unicode
  • Limite tentativas de login (rate limiting)

ISO/IEC 27001 e 27002

Norma internacional de gestão de segurança da informação. Menos específica que o NIST, mas exige política formal de controle de acesso e gestão de credenciais (controle A.9.4.3). Referência pratica comum: 12+ caracteres, complexidade misturada, alinhado a risco do ativo.

PCI-DSS 4.0

Padrão do setor de cartões de pagamento. Requisito 8.3.6 exige senhas com mínimo 12 caracteres contendo letras e números. Considera-se que MFA e obrigatório para acesso administrativo e acesso remoto a ambientes de dados de cartão (CDE).

LGPD (Brasil)

A LGPD não específica regras técnicas de senha, mas o Art. 46 exige adoção de medidas de segurança aptas a proteger dados pessoais. Na prática, ISMS (ISO 27001) e ANPD recomendam 12+ caracteres, MFA e proibicao de reuso. Para detalhes, veja nosso guia de implementação técnica da LGPD.

Tamanho domina a matemática

Cada caractere adicional multiplica o espaço de busca pelo tamanho do alfabeto. Em alfabeto de 62 chars (a-z,A-Z,0-9), cada char adicional multiplica por 62. De 8 para 9 chars: 62x mais combinacoes. Tamanho e de longe a variável mais importante.

Entendendo Entropia

Entropia (em bits) mede quanto uma senha e imprevisivel. Calcula-se como:

entropia = tamanho * log2(tamanho_do_alfabeto)

Tabela de referência

  • < 40 bits - Fraca, quebrada em segundos por GPU moderna
  • 40-60 bits - Regular, vulnerável a força bruta em horas/dias
  • 60-80 bits - Boa, resistente a brute force offline por meses
  • 80-100 bits - Forte, resistente por anos mesmo com hardware avançado
  • 100+ bits - Excelente, sem ataque conhecido em tempo razoável

Pegadinha da entropia

O cálculo acima assume senha aleatoria. Uma senha como Empresa@2026 tem teoricamente ~66 bits, mas na prática tem <25 bits de entropia real porque segue padrões humanos previsiveis. Atacantes usam dicionarios e regras que priorizam esses padrões.

Erros Comuns em Políticas

  • Forçar expiração frequente - usuários incrementam (Empresa@2025 → Empresa@2026), reduzindo qualidade
  • Tamanho máximo baixo - bloquear senhas com mais de 16 chars impede uso de passphrases
  • Regras complexas confusas - usuários escrevem em post-it
  • Lista de caracteres proibidos - sinaliza sistema armazenando em texto puro ou com SQL vulnerável
  • Não bloquear vazamentos conhecidos - atacantes começam por ai (credential stuffing)
  • Sem MFA - nenhuma política de senha sozinha compensa ausência de MFA

Recomendações Práticas

Para usuários

  • Use um gerenciador de senhas (Bitwarden, 1Password, KeePassXC)
  • Senha única para cada serviço - jamais reutilize
  • Use passphrases (5-7 palavras aleatorias) para o que precisa decorar
  • Ative MFA (preferir TOTP ou passkeys sobre SMS)
  • Troque senha apenas se suspeitar de vazamento

Para organizações

  • Adote NIST SP 800-63B como baseline
  • Mínimo 12-16 caracteres conforme criticidade
  • Implemente bloqueio de senhas vazadas (haveibeenpwned API, listas internas)
  • MFA obrigatório para admins e acesso remoto
  • Treinamento de conscientização - veja nosso programa gratuito
  • SSO + gerenciador corporativo para reduzir quantidade de senhas

Perguntas Frequentes

O que e uma boa política de senhas?

Foca em tamanho (12-16+ caracteres), diversidade, bloqueio de senhas comuns/vazadas, permite todos os caracteres e NÃO força trocas periódicas sem motivo. E a diretriz moderna do NIST SP 800-63B.

O que mudou no NIST SP 800-63B?

Abandonou práticas tradicionais: não exige complexidade obrigatória, não exige expiração, exige mínimo 8 (recomendado 16+), bloqueio de listas de vazamento e permite Unicode. Foco mudou para tamanho e aleatoriedade.

Devo exigir troca de senha a cada 90 dias?

Não. Trocas arbitrarias diminuem qualidade (usuários incrementam número). Troque apenas se houver suspeita de comprometimento. Mitigue risco com MFA, detecção de vazamentos e monitoramento.

Quanto vale a entropia de uma senha?

Entropia (bits) mede imprevisibilidade. 8 chars minusculos = ~38 bits (fraca); 12 mistos = ~72 bits (boa); 16 mistos = ~95 bits (forte). Mire em 80+ bits para contas comuns.

Esta ferramenta envia minha senha a algum servidor?

Não. Toda validação acontece no navegador em JavaScript puro. Nenhuma senha e transmitida, salva ou registrada. Lista de senhas comuns embutida no código. Abra DevTools (F12) para auditar.

Outras Ferramentas Gratuitas

Gerador de Senhas

Gere senhas fortes ou passphrases com criptografia segura do navegador. Configuravel, 100% local.

Calculadora de Hash

Calcule MD5, SHA-1, SHA-256 e outros hashes - útil para entender por que senhas em SHA puro são inseguras.

Codificador Base64/URL/Hex

Converta texto entre Base64, URL e Hexadecimal. Útil para pentest e analise de payloads.

Sua empresa precisa de política de senhas alinhada a NIST/ISO/LGPD?

Implementamos políticas, controles técnicos (AD/LDAP, SSO, MFA), conscientização e auditoria de conformidade.

Solicitar Proposta