Como usar
- Defina o Tamanho do PIN de 4 a 12 dígitos. A NIST SP 800-63B exige no mínimo quatro e recomenda seis.
- Marque as regras que quiser: Nenhum dígito usado duas vezes, Nenhum trio de dígitos em sequência ou Evitar os 20 PINs de quatro dígitos mais comuns.
- Escolha Quantos PINs para sortear. A página sorteia de novo sempre que você muda uma configuração.
- Use Copiar ou Baixar para guardar a lista. A página não guarda os PINs.
Como os PINs são sorteados
Cada dígito é um sorteio com crypto.getRandomValues, os números aleatórios seguros do seu navegador. O sorteio é imparcial: um valor de 32 bits só é usado quando cai abaixo do maior múltiplo do intervalo, então cada dígito tem a mesma chance.
Quando uma regra está marcada, um PIN que a quebra é descartado e sorteado de novo. Assim, todo PIN que passa nas regras tem a mesma chance, e a entropia é o valor real para as regras escolhidas.
entropia (bits) = log2(número de PINs que passam nas regras)Quais regras, e por quê
A NIST SP 800-63B diz que um PIN usado como segredo de ativação tem pelo menos quatro dígitos, e que seis ou mais é o recomendado. Ela também aconselha uma lista de valores proibidos, com os valores mais usados.
Um dígito usado duas vezes (1122) e três dígitos em sequência (1234, 321) são padrões que tornam um PIN fácil de adivinhar. A lista dos vinte PINs de quatro dígitos mais comuns vem da lista de frequência do SecLists (licença MIT); 1234 e 0000 estão no topo.
- Quatro dígitos dão 10.000 PINs; seis dão um milhão.
- Sem repetir nenhum dígito, um PIN pode ter no máximo dez dígitos, porque existem só dez dígitos.
Exemplo resolvido: quatro dígitos sem sequências nem PINs comuns
Dos 10.000 PINs de quatro dígitos, 306 têm três dígitos em sequência. Sobram 9.694, e 18 desses são PINs comuns (1234 e 4321 já estão fora). Assim, 9.676 PINs passam nas regras.
A entropia deles é log2(9.676), que é 13,2 bits quando arredondada para uma casa decimal. Dois elevado à entropia exata, 13,24, dá 9.676.
Perguntas frequentes
Os PINs são guardados ou enviados para algum servidor?
Não. Os PINs são sorteados no seu navegador e mostrados nesta página. Nada é guardado, enviado ou gravado, e ao recarregar a página eles somem, então copie antes os que quiser.
Por que não usar uma data de nascimento ou um ano como PIN?
Datas e anos são usados por muita gente, então são PINs fracos. Um PIN aleatório desta página é mais difícil de adivinhar, mas também é mais difícil de lembrar, então guarde-o em um gerenciador de senhas se o serviço permitir.
O que o valor de entropia significa para um PIN?
É o número de bits da escolha. Quando as regras são conhecidas e o PIN é aleatório, um atacante precisa, em média, de cerca da metade de 2 elevado ao número de bits em tentativas, então cada bit a mais dobra o trabalho.
Um PIN de quatro dígitos é seguro o suficiente?
A NIST SP 800-63B aceita quatro dígitos como mínimo e recomenda seis. Muitos aparelhos e cartões limitam as tentativas erradas, então confira esse limite antes de escolher um PIN curto para algo importante.
Por que o tamanho do PIN fica limitado a dez dígitos sem repetição?
Sem repetir nenhum dígito, existem só dez dígitos diferentes para escolher, então um PIN não pode ter mais de dez. A página recusa um PIN maior com essa regra marcada.
De onde vem a lista de PINs comuns?
É o início da lista de frequência de PINs de quatro dígitos do SecLists, publicada sob a licença MIT. A lista cobre só PINs de quatro dígitos, então a regra não tem efeito nos outros tamanhos.
Fontes
- NIST SP 800-63B, seção 3.2.10 (em inglês): activation secrets
- SecLists (em inglês): four-digit PIN codes sorted by frequency (MIT)
- MDN (em inglês): Crypto.getRandomValues()
Números e texto verificados pela última vez em terça-feira, 10 de novembro de 2026.