Uma senha forte ajuda a proteger e-mails, redes sociais, aplicativos bancários, contas de trabalho e serviços públicos contra acessos não autorizados.
O problema é que muitas pessoas ainda utilizam combinações fáceis de descobrir, como datas de nascimento, nomes de familiares, números de telefone ou sequências como “123456”. Outro erro comum é repetir a mesma senha em vários sites.
Atualmente, a principal recomendação não é criar uma palavra curta cheia de substituições difíceis de memorizar. O mais importante é usar uma senha longa, exclusiva e difícil de prever.
Neste guia, você aprenderá como criar senhas seguras, como armazená-las e o que fazer quando uma combinação for exposta.
O que torna uma senha forte?
Uma senha forte deve ser:
- Longa;
- Exclusiva para cada conta;
- Difícil de adivinhar;
- Diferente de informações pessoais;
- Armazenada de forma segura.
As orientações atuais do Instituto Nacional de Padrões e Tecnologia dos Estados Unidos, o NIST, priorizam o comprimento da senha. A instituição informa que uma senha longa é mais importante do que a obrigação de inserir símbolos, números e letras maiúsculas de maneira previsível.
Para contas importantes, procure utilizar pelo menos 15 caracteres quando o serviço permitir. O Google recomenda um mínimo de 12 caracteres para senhas criadas pelo usuário, enquanto as diretrizes mais recentes do NIST estabelecem 15 caracteres como mínimo para senhas usadas como único fator de autenticação.
Como criar uma senha forte
Uma forma prática é criar uma frase-senha formada por palavras que não tenham uma relação óbvia.
Por exemplo:
Farol-Cacto-Pijama-47-Rio
Esse exemplo não deve ser utilizado em uma conta real, porque passou a ser público. A ideia é criar sua própria combinação.
Você pode escolher:
- Quatro ou mais palavras aleatórias;
- Uma frase longa inventada;
- Palavras separadas por números ou símbolos;
- Uma combinação gerada por um gerenciador de senhas.
Uma frase-senha tende a ser mais fácil de memorizar do que uma sequência curta e confusa.
Exemplo de senha fraca e senha forte
Senhas fracas
- 123456;
- senha123;
- pedro2026;
- brasil123;
- qwerty;
- nomedofilho;
- data de nascimento;
- número do telefone;
- nome do time seguido do ano;
- endereço da residência.
Essas combinações podem ser descobertas por tentativa automatizada, informações públicas ou dados encontrados em redes sociais.
Estrutura mais segura
Uma estrutura melhor seria:
PalavraAleatória-PalavraAleatória-58-OutraPalavra
Novamente, não copie esse padrão de forma literal. Crie palavras e números que não estejam relacionados à sua vida pessoal.
Quanto maior a senha, melhor?
Em geral, sim.
Uma senha longa aumenta a quantidade de combinações que um invasor precisaria testar.
Por isso, uma frase com várias palavras pode ser mais segura e fácil de lembrar do que uma senha curta cheia de substituições previsíveis, como trocar a letra “a” por “@” ou “s” por “$”.
Isso não significa que símbolos sejam inúteis. Eles podem aumentar a variedade da senha, principalmente quando o site exige sua utilização. O ponto principal é não depender apenas dessas substituições.
Precisa colocar letras maiúsculas, números e símbolos?
Depende das exigências do serviço.
Muitos sites ainda obrigam o usuário a combinar:
- Letras maiúsculas;
- Letras minúsculas;
- Números;
- Símbolos.
Você pode seguir essas regras, mas não deve sacrificar o comprimento.
Uma senha como:
Casa123!
pode cumprir as exigências visuais de um site, mas continua curta e previsível.
Uma frase longa, exclusiva e sem relação com seus dados pessoais tende a oferecer uma proteção melhor.
Nunca repita a mesma senha
Cada conta deve ter sua própria senha.
Quando uma senha repetida aparece em um vazamento, criminosos podem testá-la automaticamente em outros serviços. Esse tipo de ataque explora o hábito de reutilizar credenciais.
O Google recomenda utilizar uma senha exclusiva para cada conta, justamente para impedir que o vazamento de um serviço comprometa todos os outros.
As contas que mais precisam de senhas exclusivas são:
- E-mail principal;
- Banco;
- Conta Google;
- Conta Apple;
- GOV.BR;
- Redes sociais;
- Plataformas de compras;
- Serviços de armazenamento;
- Contas profissionais.
O e-mail merece atenção especial porque costuma ser usado para recuperar as senhas das outras contas.
Como lembrar de várias senhas?
A melhor solução é utilizar um gerenciador de senhas.
Esse tipo de ferramenta pode:
- Criar combinações aleatórias;
- Salvar as credenciais;
- Preencher os logins;
- Alertar sobre senhas repetidas;
- Avisar sobre credenciais comprometidas;
- Sincronizar dados entre dispositivos.
O Google possui um gerenciador integrado ao Chrome e ao Android. A Apple oferece o aplicativo Senhas em dispositivos atualizados, além da sincronização pelo iCloud. Ambos conseguem gerar e armazenar combinações fortes e exclusivas.
Com um gerenciador, o usuário precisa memorizar principalmente a senha principal da ferramenta.
Como criar a senha principal do gerenciador
A senha principal deve ser especialmente forte, porque protege todas as demais credenciais armazenadas.
Utilize:
- Uma frase longa;
- Palavras aleatórias;
- Pelo menos 15 caracteres;
- Uma combinação que não seja usada em nenhum outro lugar.
Não salve essa senha em um arquivo chamado “senhas” nem a envie para si mesmo por mensagem.
Também é recomendável ativar a autenticação em duas etapas no gerenciador.
É seguro salvar senhas no navegador?
Os gerenciadores integrados a navegadores e sistemas são uma alternativa mais segura do que reutilizar a mesma combinação ou guardar senhas em documentos desprotegidos.
Ainda assim, a segurança depende de proteger o próprio aparelho e a conta principal.
Adote estes cuidados:
- Use senha ou biometria no celular;
- Não deixe o computador desbloqueado;
- Ative a autenticação em duas etapas;
- Mantenha o sistema atualizado;
- Remova dispositivos desconhecidos;
- Não compartilhe sua conta principal.
No iPhone, as senhas armazenadas podem ser protegidas por Face ID, Touch ID ou código do aparelho.
Ative a autenticação em duas etapas
Uma senha forte não deve ser a única proteção.
A autenticação em duas etapas, também chamada de 2FA ou MFA, exige uma segunda confirmação além da senha.
Essa confirmação pode ser:
- Código gerado por aplicativo;
- Notificação no celular;
- Chave física de segurança;
- Biometria;
- Código enviado por SMS;
- Passkey.
A autenticação adicional ajuda a impedir o acesso mesmo quando alguém descobre a senha.
Quando houver opção, prefira aplicativos autenticadores, chaves de segurança ou passkeys. O SMS ainda oferece uma camada adicional, mas pode ser mais vulnerável do que métodos resistentes a phishing.
O que são passkeys?
Passkeys são uma alternativa às senhas tradicionais.
Em vez de digitar uma combinação, o usuário confirma o acesso utilizando:
- Impressão digital;
- Reconhecimento facial;
- Código do aparelho;
- Chave de segurança.
Cada passkey é criada para um serviço específico. Ela não pode ser reutilizada da mesma maneira que uma senha tradicional.
Google e Apple apresentam as passkeys como uma forma de acesso mais segura e resistente a páginas falsas de phishing.
Quando um serviço confiável oferecer essa opção, considere utilizá-la.
O que não usar em uma senha
Evite informações que possam ser descobertas facilmente:
- Seu nome;
- Nome do parceiro;
- Nome dos filhos;
- Nome do animal de estimação;
- Data de nascimento;
- CPF;
- Telefone;
- Cidade;
- Time de futebol;
- Placa do carro;
- Nome da empresa;
- Sequências do teclado;
- Ano atual.
Também evite pequenas alterações em senhas antigas.
Por exemplo:
- Senha2024;
- Senha2025;
- Senha2026.
Esse padrão é fácil de prever.
Posso anotar a senha em papel?
Anotar uma senha em papel pode ser aceitável em determinadas situações, desde que o papel fique guardado em um lugar realmente seguro e não esteja próximo ao aparelho.
Não deixe senhas:
- Coladas no monitor;
- Dentro da capa do celular;
- Na carteira junto com cartões;
- Em uma agenda aberta;
- Em uma fotografia na galeria;
- Em um grupo de mensagens.
Para a maioria das pessoas, um gerenciador confiável é mais prático.
Posso salvar senhas no bloco de notas?
Não é recomendado guardar senhas em um bloco de notas comum, documento de texto, planilha ou conversa sem proteção.
Esses arquivos podem ser acessados caso alguém desbloqueie o aparelho ou invada a conta de armazenamento.
Se for necessário armazenar informações sensíveis, utilize um gerenciador criado para essa finalidade.
Com que frequência devo trocar minhas senhas?
Não é necessário trocar todas as senhas mensalmente apenas por rotina.
Trocas excessivamente frequentes podem fazer a pessoa escolher combinações previsíveis ou reutilizar versões antigas.
Troque a senha quando:
- Houver um vazamento;
- Você reutilizou a mesma combinação;
- Receber um alerta de segurança;
- Perceber um acesso desconhecido;
- Tiver compartilhado a senha;
- Suspeitar de phishing;
- Perder um aparelho desbloqueado;
- Instalar um aplicativo malicioso;
- A conta for usada sem autorização.
Depois da troca, encerre sessões desconhecidas e ative a autenticação em duas etapas.
Como saber se uma senha vazou?
Gerenciadores modernos podem verificar se uma credencial aparece em bases conhecidas de vazamentos.
O Google Password Manager consegue alertar sobre senhas comprometidas ou reutilizadas. A ferramenta da Apple também apresenta avisos de segurança sobre credenciais vulneráveis.
Ao receber um alerta:
- Acesse o site pelo endereço oficial;
- Troque a senha;
- Não reutilize a combinação anterior;
- Encerre outras sessões;
- Ative a autenticação em duas etapas;
- Verifique alterações na conta.
Não altere a senha por meio de um link suspeito recebido por e-mail ou mensagem.
O que fazer se alguém descobrir minha senha?
Aja rapidamente:
- Use um aparelho confiável;
- Troque a senha da conta;
- Encerre as sessões abertas;
- Remova dispositivos desconhecidos;
- Confira e-mail e telefone de recuperação;
- Ative a autenticação em duas etapas;
- Verifique mensagens e atividades;
- Troque outras contas que utilizavam a mesma senha.
Caso a senha comprometida seja a do e-mail principal, comece por ele.
Se houver movimentações financeiras, entre em contato com o banco pelos canais oficiais.
Como proteger a conta GOV.BR
A conta GOV.BR pode dar acesso a documentos, benefícios e serviços públicos.
Para protegê-la:
- Use uma senha exclusiva;
- Não compartilhe códigos;
- Ative a verificação em duas etapas;
- Não entre por links desconhecidos;
- Confira os dispositivos conectados;
- Mantenha o telefone e o e-mail atualizados;
- Nunca pague para desbloquear a conta.
Nenhum atendente legítimo deve pedir sua senha completa.
Como proteger aplicativos bancários
Além de uma senha forte:
- Use bloqueio de tela;
- Ative biometria;
- Não compartilhe códigos;
- Evite aparelhos modificados;
- Não instale aplicativos enviados por mensagens;
- Não permita acesso remoto;
- Mantenha o sistema atualizado;
- Reduza os limites de transações quando possível;
- Ative notificações de movimentação.
A senha bancária não deve ser igual à senha do e-mail, redes sociais ou lojas.
Como criar uma senha forte passo a passo
Siga este método:
- Escolha quatro ou mais palavras sem relação entre si;
- Evite nomes e informações pessoais;
- Crie uma combinação com pelo menos 15 caracteres;
- Adicione números ou símbolos quando desejar ou quando o site exigir;
- Não use essa combinação em outra conta;
- Salve-a em um gerenciador;
- Ative a autenticação em duas etapas;
- Troque-a caso apareça em um vazamento.
Exemplo de estrutura:
Palavra-Palavra-72-Palavra-Palavra
Não utilize exemplos publicados na internet como senha real.
Erros comuns
Evite:
- Repetir a mesma senha;
- Fazer apenas uma alteração no final;
- Compartilhar por WhatsApp;
- Usar informações públicas;
- Salvar em arquivo aberto;
- Digitar a senha depois de abrir um link suspeito;
- Desativar a autenticação em duas etapas;
- Informar códigos a supostos atendentes;
- Usar a mesma senha pessoal e profissional;
- Aceitar senhas sugeridas por desconhecidos.
Perguntas frequentes
Quantos caracteres uma senha deve ter?
Prefira pelo menos 15 caracteres quando possível. Alguns serviços podem impor limites ou regras próprias.
Uma senha com símbolos é sempre segura?
Não. Uma combinação curta e previsível continua fraca mesmo com símbolos.
Posso usar uma frase como senha?
Sim. Frases-senha longas podem ser seguras e mais fáceis de memorizar.
Posso repetir a senha em contas pouco importantes?
Não é recomendado. Uma conta aparentemente sem importância pode conter dados usados em golpes ou na recuperação de outros serviços.
Gerenciador de senhas é seguro?
É uma opção mais segura do que reutilizar combinações ou guardá-las em arquivos comuns, desde que a conta principal esteja bem protegida.
É melhor usar senha ou passkey?
Quando disponível em um serviço confiável, a passkey pode oferecer maior resistência a phishing e eliminar a necessidade de memorizar uma senha.
Preciso trocar a senha todos os meses?
Não sem motivo. Troque quando houver suspeita, reutilização, vazamento ou acesso indevido.
Autenticação em duas etapas substitui uma boa senha?
Não. As duas proteções devem ser usadas em conjunto quando a conta ainda utiliza senha.
Posso compartilhar uma senha com familiares?
Evite enviar por mensagens. Quando o compartilhamento for necessário, utilize o recurso seguro de um gerenciador compatível. A Apple, por exemplo, oferece grupos para compartilhar senhas e passkeys com contatos de confiança.
Para criar uma senha forte, priorize comprimento, exclusividade e imprevisibilidade.
Utilize uma frase-senha com pelo menos 15 caracteres ou deixe um gerenciador gerar uma combinação aleatória. Nunca repita a mesma senha em diferentes serviços e evite nomes, datas e sequências fáceis.
Ative a autenticação em duas etapas nas contas importantes e utilize passkeys quando estiverem disponíveis.
A senha mais segura não é apenas aquela difícil de adivinhar. Ela também precisa estar armazenada corretamente e acompanhada de outras camadas de proteção.