Verificador de força de senha: entropia, tentativas e tempo

Como usar

Digite uma senha no campo Senha. Ela fica oculta; pressione Mostrar para ler o que você digitou.
Leia a Entropia estimada e o rótulo de Força. Mais bits significam mais tentativas para um atacante.
Confira as linhas de Tempo médio para quebrar das três taxas declaradas, e as verificações da NIST abaixo delas.
Veja Padrões encontrados para saber quais partes da senha um atacante testaria primeiro.

Como a estimativa funciona

Cada caractere que nenhum padrão cobre custa log2 do conjunto, ou seja, o número de caracteres que as classes da senha permitem: 26 letras minúsculas, 26 maiúsculas, 10 dígitos, 33 símbolos e o espaço, e 100 para outros caracteres. Um padrão custa os seus próprios bits: uma palavra da lista de senhas comuns custa os bits da sua posição, uma repetição ou uma sequência custa pouco, e o mesmo vale para um percurso de teclas vizinhas ou para um ano.

A estimativa é o modo mais barato de dividir a senha em caracteres e padrões. A ordem em que um atacante testaria as partes não é contada, então a estimativa pode ser um pouco baixa. Cada número é um modelo de escala, não a medição de um ataque real.

entropia se aleatória = comprimento × log2(conjunto);   estimativa = a divisão mais barata em caracteres e padrões

O que a NIST SP 800-63B diz

Uma senha usada sozinha deve ter pelo menos 15 caracteres, e uma senha usada apenas como parte de um login de múltiplos fatores pode ter 8. Um verificador deve aceitar pelo menos 64 caracteres e deve aceitar espaços e todos os caracteres imprimíveis.

Verificadores não devem impor regras de composição, como misturar tipos de caractere, e não devem exigir troca periódica, a menos que haja indício de que a senha foi comprometida. Eles devem comparar a senha inteira com uma lista de senhas comuns ou vazadas, devem permitir colar o texto, e devem permitir gerenciadores de senha e preenchimento automático.

Exemplo resolvido: Password2026

Password2026 tem 12 caracteres de um conjunto de 62 possíveis (minúsculas, maiúsculas e dígitos), então, se fosse aleatória, a sua entropia seria 12 × log2(62), o que dá 71,5 bits.

O seu padrão é barato: password é a primeira palavra da lista de senhas comuns (posição 1, em inglês), o que custa 0 bits, mais 1 bit pela maiúscula P; e 2026 é um ano, que custa log2(140), cerca de 7,1 bits. A estimativa é de 8,1 bits: fraca, com cerca de 280 tentativas em média, então ela cai em uma fração de segundo até na taxa online.

Perguntas frequentes

A senha é enviada para algum servidor ou guardada?

Não. A página analisa a senha no seu navegador e não faz nenhuma requisição que a contenha. A lista de senhas comuns é um arquivo que este site serve, então a página a carrega, mas a senha em si nunca é enviada, e recarregar a página a esquece.

Por que Password1! é fraca se tem maiúscula, dígito e símbolo?

Os atacantes testam primeiro as palavras comuns, com as adições usuais, então a mistura de tipos acrescenta pouco. A NIST SP 800-63B usa exatamente este exemplo e conclui que as regras de composição acrescentam pouco; o comprimento e a verificação contra senhas comuns importam mais.

O que significa o valor de entropia?

É o número de bits da escolha estimada da senha. Cada bit extra dobra as tentativas necessárias em média, então 60 bits são muito mais difíceis de adivinhar que 40.

Por que os três tempos diferem tanto?

Eles usam três taxas declaradas: um ataque online sem limite de tentativas, um ataque offline contra um hash lento e um ataque offline contra um hash rápido em uma placa de vídeo. Atacantes reais diferem das três; as taxas mostram apenas a escala.

Um resultado forte significa que a senha é segura para usar?

Não, por si só. A página não verifica se a senha vazou ou se foi reutilizada em outro site. Use uma senha diferente para cada conta, e um gerenciador de senhas para guardá-las.

Por que 15 caracteres, se a NIST permite 8?

A NIST fixa 15 para uma senha usada sozinha e permite 8 quando ela é um fator de um login de múltiplos fatores. A página mostra o número para fator único, porque é o mais rigoroso.

Por que a lista de senhas comuns é tão curta?

A NIST recomenda uma lista de bloqueio de valores comumente usados e diz que uma lista excessivamente grande acrescenta pouco. A página usa as 10.001 senhas mais comuns da lista SecLists, publicada sob a licença MIT. Essa lista é em inglês: senhas comuns em português podem não estar nela, então uma senha previsível em português pode passar pela verificação.

Fontes

Números e texto verificados pela última vez em terça-feira, 10 de novembro de 2026.