Testador de senhas

Sua senha nunca sai do seu dispositivo. Como sua privacidade é mantida

Senha para verificar

Experimente:

Veja quanto tempo levaria para descobrir sua senha e se ela já vazou.

Testador de senhas gratuito

Veja se sua senha é segura com este testador de senhas. Digite ou cole sua senha acima para saber o quanto ela é forte, quanto tempo levaria para descobri-la e se ela está entre as um milhão de senhas mais vazadas. Tudo acontece no seu navegador enquanto você digita, e a senha nunca sai deste dispositivo.

Quando você para de digitar, ele também consulta a senha na lista Pwned Passwords do Have I Been Pwned, enviando apenas 5 caracteres de uma impressão digital embaralhada da senha, nunca a própria senha. Veja exatamente o que é enviado.

Ir para: O que o resultado significa · O que é enviado · Se a senha for fraca · Perguntas

O que o resultado significa

A maioria das senhas não é quebrada por alguém digitando tentativas em uma página de login. Um site é invadido, as senhas armazenadas são roubadas e os invasores testam combinações contra essa lista nos próprios computadores, na maior velocidade que o equipamento permite. O tempo mostrado pelo testador de senhas considera 1.000 placas de vídeo testando combinações na velocidade máxima, e esse tempo define o nível:

Muito forte: Um milhão de anos ou mais; Forte o suficiente para tudo o que este testador de senhas consegue avaliar, se for aleatória e única
Forte: Menos de um milhão de anos; Adequada para a maioria das contas, se for única
Razoável: Menos de 100 anos; Troque na próxima vez que você entrar na conta
Fraca: Menos de um ano; Troque agora, em todos os lugares onde você a usa

Parece forte, mas não é

A maioria dos testadores de senhas conta o tamanho e os tipos de caracteres, por isso adora uma senha como P@ssw0rd2024!. As ferramentas de quebra de senhas não contam; elas testam os padrões que as pessoas usam, e começam por eles. Veja o que este testador de senhas diz sobre algumas senhas que parecem boas:

P@ssw0rd2024!VazadaUma palavra, substituições por caracteres parecidos, um ano e um símbolo: encontrada em vazamentos de dados cerca de 500 vezes
Password123!VazadaEncontrada em vazamentos de dados cerca de 300.000 vezes
Liverpool1892VazadaUm time e seu ano de fundação: cerca de 27.000 vezes
k7#Rq!9vT$2m@LxMuito forteAleatória: 31 milhões de anos para quebrar

Uma senha encontrada em um vazamento de dados não é segura, por mais forte que seja, porque invasores tentam usar senhas vazadas antes de qualquer outra coisa. Um testador de senhas pode mostrar que uma senha é fraca; ele não pode provar que ela é segura.

Fontes: Testes de desempenho de placas de vídeo (hashcat), zxcvbn (USENIX Security), Diretrizes do NIST para senhas, NIST sobre computação quântica. Listas de palavras do FrequencyWords, de Hermit Dave, CC BY-SA 4.0.

O que é enviado quando você verifica vazamentos

Nada enquanto você digita cada caractere. Quando você para de digitar ou cola uma senha, isto acontece uma única vez, usando a senha password como exemplo:

Você digita a senhapasswordfica no seu dispositivo
Seu navegador a transforma em uma impressão digital SHA-15BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8fica no seu dispositivo
Só os primeiros 5 caracteres são enviados ao Have I Been Pwned5BAA6enviados
O serviço retorna todas as impressões digitais de senhas vazadas que começam da mesma forma, cerca de 2.000, misturadas com outras fictíciasseu navegador procura uma correspondência

O serviço nunca vê a senha nem sua impressão digital completa, então não consegue saber qual dessas 2.000 você verificou.

A verificação rápida de vazamentos acontece no seu dispositivo. A página baixa, uma única vez, uma lista compacta de impressões digitais do milhão de senhas mais vazadas, por isso a verificação enquanto você digita não precisa fazer nenhuma requisição. A chance de uma correspondência falsa é de cerca de uma em um milhão.
Uma requisição por senha, nunca uma por tecla pressionada. A verificação espera até você parar de digitar. Se a senha já estiver na lista armazenada no dispositivo, nada é enviado, e pequenas alterações em uma senha (a correção de um erro de digitação ou a adição de alguns caracteres) são verificadas no máximo duas vezes: comparar consultas quase idênticas poderia revelar a senha. Alguns testadores de senhas enviam uma consulta a cada tecla pressionada, e essas consultas, juntas, revelam a senha um caractere de cada vez.
Nada é guardado. A senha nunca é armazenada, nunca aparece na barra de endereços e desaparece quando você sai da página.
Confira você mesmo. Abra a aba Rede nas ferramentas de desenvolvedor do seu navegador e digite: nada é enviado até você parar. Então você verá uma única requisição, para api.pwnedpasswords.com, terminando nos 5 caracteres mostrados nesta seção. Ou desconecte-se da internet: tudo continua funcionando, exceto a verificação completa de vazamentos.

Dados de senhas vazadas: Pwned Passwords do Have I Been Pwned, usados sob a licença Creative Commons Atribuição 4.0.

Se sua senha for fraca ou tiver vazado

Troque a senha em todos os sites onde você a usa, começando pelo seu e-mail, porque ele permite redefinir as senhas das outras contas.
Crie uma senha nova em vez de modificar a antiga. Adicionar um caractere ou trocar 1 por 2 é a primeira coisa que os invasores tentam. Crie uma senha aleatória ou uma frase-senha.
Use um gerenciador de senhas, para que cada conta tenha sua própria senha sem que você precise memorizar nenhuma delas.
Ative a verificação em duas etapas sempre que essa opção estiver disponível. Ela mantém a conta segura mesmo se a senha vazar.

Perguntas frequentes

Qual é o testador de senhas mais seguro?

Um que não envia nada enquanto você digita e permite que você comprove isso. Esta página avalia a força da senha e verifica se ela está entre o milhão de senhas mais vazadas no seu próprio dispositivo. A verificação completa de vazamentos espera até você parar de digitar e envia apenas 5 caracteres de uma impressão digital da senha, uma única vez. Você pode acompanhar isso na aba Rede do navegador ou se desconectar da internet e ver que o testador de senhas continua funcionando.

Como verificar se minha senha foi vazada?

Digite ou cole sua senha acima. Se ela estiver entre o milhão de senhas mais vazadas, você verá isso na hora. Quando você para de digitar, ele também verifica todos os vazamentos conhecidos. Se ela aparecer em qualquer um deles, pare de usá-la.

É seguro usar o Have I Been Pwned?

Sim, para verificar senhas. A verificação foi projetada para que o serviço nunca receba sua senha: seu navegador envia apenas os primeiros 5 caracteres da impressão digital da senha e faz a comparação final por conta própria. Esta página também solicita entradas fictícias na resposta, para que nem mesmo o tamanho dela revele algo.

Qual é a senha mais hackeada?

123456, encontrada em vazamentos de dados mais de 210 milhões de vezes, seguida por 123456789, 12345678, password e qwerty (dados do Have I Been Pwned). Qualquer coisa que uma pessoa consiga pensar rapidamente já está nas listas.

Você pode me dar um exemplo de senha forte?

Qualquer exemplo que você já tenha visto publicado deixou de ser forte, porque agora está nas listas. Até correcthorsebatterystaple, da tirinha xkcd, já apareceu em vazamentos milhares de vezes. Uma senha forte é criada de forma aleatória só para você: use o gerador de senhas ou o gerador de frases-senha.

Quanto tempo levaria para quebrar minha senha?

Digite sua senha acima e o testador de senhas mostrará o tempo médio que 1.000 placas de vídeo levariam para quebrá-la, testando combinações na velocidade máxima contra uma lista de senhas roubada — o cenário para o qual vale a pena se preparar. Uma senha aleatória de 8 caracteres é quebrada em segundos; uma de 16 caracteres leva cerca de 3 bilhões de anos.

Por que outros testadores de senhas mostram tempos maiores?

Todo testador de senhas precisa partir de uma suposição sobre os recursos do invasor, e a maioria não diz qual é. Muitos consideram um site que armazena senhas de uma forma que torna a verificação lenta de propósito, permitindo apenas milhares de tentativas por segundo. Alguns usam velocidades de placas de vídeo de anos atrás, e outros consideram apenas o tamanho da senha e não identificam padrões como palavras e datas. Nós mostramos um cenário mais severo e deixamos isso claro: uma lista de senhas roubada, com 1.000 placas de vídeo testando combinações na velocidade máxima. Em muitos sites bem administrados, quebrar senhas leva muito mais tempo do que isso, mas você não tem como saber qual é o caso de cada site. Por isso, considere nossos tempos como o pior cenário para o qual se preparar.

Por que uma senha longa ainda aparece como fraca?

Porque as ferramentas de quebra de senhas não tentam adivinhar uma letra de cada vez. Elas testam palavras inteiras, nomes, lugares, datas e senhas comuns, depois combinam esses elementos e acrescentam números. LiverpoolFootball1892 tem 21 caracteres, mas, para uma ferramenta de quebra de senhas, são duas palavras comuns e um ano: cerca de cem milhões de tentativas, que uma placa de vídeo consegue testar em menos de um segundo. O tamanho só ajuda quando os caracteres são imprevisíveis, como em uma senha aleatória ou uma frase-senha de palavras aleatórias.

Onde posso ver quais das minhas senhas salvas estão comprometidas?

Seu gerenciador de senhas pode verificar todas de uma vez. Em um iPhone ou Mac, abra o app Senhas e consulte a seção Segurança. No Chrome, o Gerenciador de senhas do Google tem o Check-up de senhas. NordPass, Bitwarden, 1Password e a maioria dos outros gerenciadores de senhas oferecem um relatório semelhante.

Qual deve ser o tamanho de uma senha?

Pelo menos 16 caracteres aleatórios ou sete palavras aleatórias. O NIST, uma agência de padronização dos EUA, orienta os sites a aceitar senhas de pelo menos 64 caracteres e a exigir no mínimo 15 quando a senha é a única proteção da conta.

Idioma