Verificador de Força de Senha

O que a pontuação do checklist recompensa

O veredito vem de uma pontuação simples de 0 a 6. Cada um destes acrescenta um ponto:

O comprimento vale sozinho três dos seis pontos, porque o comprimento é o maior fator isolado da força real.

Como a entropia e o tempo de quebra são estimados

Entropia é o número de bits necessários para descrever a senha se cada caractere fosse aleatório: length × log2(alphabet size). O tamanho do alfabeto soma as classes que você usou: 26 para minúsculas, 26 para maiúsculas, 10 para dígitos e 33 para símbolos comuns, então uma senha que usa as quatro classes recorre a 95 caracteres possíveis.

A estimativa do tempo de quebra pressupõe um atacante offline que já tem o hash roubado e consegue testar cerca de 10 bilhões (10^10) de tentativas por segundo em GPUs de consumo rápidas. Esse número corresponde a hashes fracos e rápidos como MD5 ou SHA-1. Hashes lentos por projeto, como bcrypt ou Argon2, reduzem essa taxa por um fator de milhões, de modo que a mesma senha é muito mais segura onde eles são usados.

O que esta ferramenta verifica e o que não verifica

• Ela verifica o comprimento, quais classes de caracteres estão presentes, a entropia bruta em bits e uma estimativa de tempo de quebra a partir dessa entropia.
• Ela não verifica sua senha contra dicionários, listas de senhas vazadas, sequências de teclado (qwerty, 1qaz2wsx) ou substituições comuns (p@ssw0rd). Uma senha pode passar em todas as verificações de classes de caracteres e ainda ser trivial de adivinhar se for uma palavra conhecida ou uma senha já vazada.

Trate a pontuação como um piso, não como uma garantia: ela diz que uma senha é curta ou simples demais, mas uma pontuação alta não prova que a senha seja imprevisível.

O que realmente torna uma senha forte

1. Comprimento em primeiro lugar. Cada caractere extra vale mais do que qualquer outra mudança isolada. Uma senha aleatória de 14 caracteres vence uma complexa de 8 caracteres sempre.
2. Aleatoriedade. As pessoas criam entropia ruim na cabeça. Deixe um gerador escolher os caracteres.
3. Espalhe a variedade. Coloque dígitos e símbolos em qualquer lugar, não apenas grudados no fim, onde os invasores esperam encontrá-los.
4. Uma senha por site. Uma senha forte reutilizada em 50 contas é tão segura quanto o site mais fraco que a armazena.

A recomendação segura

• Use um gerenciador de senhas para criar e guardar uma senha aleatória única de 16 caracteres ou mais para cada site.
• Use uma frase-senha de 5 a 8 palavras aleatórias para as poucas senhas que você precisa digitar à mão, como a senha mestra do seu gerenciador.
• Ative a autenticação de dois fatores em todo lugar onde ela for oferecida.
• Consulte o pwnedpasswords.com antes de continuar reutilizando qualquer senha, já que esta ferramenta não consegue ver se a sua já vazou.