Como usar

Digite ou cole a senha no campo. Ela fica oculta por padrão; use “Mostrar” para conferir o que digitou.
Confira a classificação de força, os valores de entropia e a estimativa aproximada do tempo para quebrar a senha.
Confira os padrões encontrados e siga as dicas para dificultar que a senha seja adivinhada.

Como funciona

O verificador começa calculando a entropia do conjunto de caracteres: o número de caracteres possíveis (26 letras minúsculas, 26 maiúsculas, 10 números, 33 símbolos ASCII incluindo o espaço e 100 para qualquer outro caractere, como letras com acento ou emoji) elevado ao comprimento da senha, expresso em bits como log2(conjunto) × comprimento. Esse valor pressupõe que cada caractere foi escolhido aleatoriamente, o que raramente acontece com senhas criadas por pessoas.

Em seguida, ele procura padrões que invasores tentam primeiro e contabiliza cada parte encontrada com base apenas nos bits necessários para adivinhar o padrão: uma lista integrada com as 1.000 senhas mais comuns, cerca de 3.000 palavras frequentes em inglês e 600 nomes próprios comuns (também após desfazer substituições no estilo leet, como 4→a, 3→e, 0→o, $→s), sequências de teclado como qwerty e asdf, sequências como abc ou 4321, caracteres ou blocos repetidos, anos de 1900 a 2099 e datas como 12/05/1990 ou 19900512. O resultado é a “estimativa após padrões”. O método é semelhante, em princípio, ao estimador de código aberto zxcvbn, mas é mais simples.

O tempo para quebrar a senha pressupõe 10 bilhões de tentativas por segundo, aproximadamente o que algumas placas de vídeo modernas conseguem alcançar contra um hash rápido e sem salt, como MD5 ou SHA-1, em um ataque offline, e que, em média, metade das possibilidades restantes precisa ser testada. Ataques online contra um formulário de login são muito mais lentos; hashes lentos e bem configurados também. Considere o valor uma ordem de grandeza, não uma garantia. O verificador não sabe se sua senha apareceu em um vazamento de dados.

Exemplos

Uma senha com aparência de forte

“Summer2023!” tem 11 caracteres e inclui os quatro tipos de caracteres, então a entropia do conjunto de caracteres é de cerca de 72 bits. O verificador encontra a palavra “Summer” e o ano 2023, e a estimativa cai para aproximadamente 22 bits: muito fraca, pode ser adivinhada em bem menos de um segundo em um ataque offline.

Substituições no estilo leet não ajudam

“P@55w0rd” é reconhecida como “password” com substituições, uma das senhas mais comuns. Ela é classificada como muito fraca, independentemente de quantos símbolos contém.

Uma senha aleatória

Uma senha de 16 caracteres gerada aleatoriamente, como “v7#Qm!2pXr9$Lw4z”, não tem padrões detectáveis. A estimativa equivale ao valor do conjunto de caracteres, de cerca de 105 bits, e é classificada como muito forte.

Perguntas frequentes

É seguro digitar minha senha real aqui?

A análise é feita inteiramente no seu navegador, com JavaScript nesta página. A senha não é enviada a um servidor, salva nem incluída em dados de análise. Se preferir, verifique uma senha com a mesma estrutura em vez da senha real.

Por que minha senha parece mais fraca do que o número de entropia indica?

A entropia do conjunto de caracteres pressupõe que cada caractere é aleatório. Palavras, nomes, datas e padrões de teclado são testados logo no início por ferramentas de quebra de senha, então o verificador os considera muito mais fáceis de adivinhar. A “estimativa após padrões” leva isso em conta.

Este verificador informa se minha senha foi vazada?

Não. O verificador apenas compara sua senha com uma lista integrada de 1.000 senhas muito comuns e estima o quão fácil é adivinhá-la. Para verificar vazamentos, é necessário usar um serviço separado; se usar um, escolha um que receba apenas parte do hash da senha.

Qual é uma boa meta?

Para a maioria das contas, tente alcançar a classificação “forte” (60 bits ou mais após considerar os padrões). Para a senha mestra de um gerenciador de senhas ou para uma conta de e-mail, tente alcançar “muito forte” (80 bits ou mais), por exemplo, usando uma frase-senha com seis palavras aleatórias.

Por que medidores diferentes mostram resultados diferentes?

Cada medidor usa suas próprias listas de palavras, regras de padrões e suposições sobre a velocidade dos invasores. Medidores simples apenas contam os tipos de caracteres, o que superestima senhas como “Password1!”. Use qualquer estimativa como referência, não como uma medida exata.

Privacidade

A senha é analisada somente no seu navegador. Ela não é enviada, armazenada, registrada em logs nem enviada para análise; apenas é registrado um evento anônimo informando que a ferramenta foi usada. As listas de senhas comuns e palavras fazem parte da página, então nenhuma consulta é feita pela rede.