Ir para o conteúdo principal
Bethemesh
Segurança e privacidade

Testador de força de palavra-passe

Analise uma palavra-passe em tempo real enquanto escreve: entropia estimada, penalizações por palavras-passe comuns, sequências de teclado, repetições, sequências e datas, nível de muito fraca a muito forte, tempo para a quebrar online e offline e conselhos concretos. Nada sai do seu navegador.

  • Área de transferência

Integrar este widget

Personalize o resultado, verifique a pré-visualização e copie o código.

Pré-visualização

Tipo de código de integração

Código a copiar

Responsivo e redimensionado automaticamente pela Bethemesh.

Estimativa local: a palavra-passe não é enviada nem comparada com fugas de dados. Utilize uma palavra-passe diferente para cada serviço.

Esta ferramenta foi útil?

Como funciona esta ferramenta?

Este testador estima a força de uma palavra-passe enquanto a escreve, tendo em conta os padrões que os atacantes experimentam primeiro. Destina-se a quem quer avaliar uma palavra-passe antes de a adotar e a equipas que fazem sensibilização para a segurança, com um nível, uma entropia, um tempo de quebra e conselhos.

A ferramenta calcula primeiro uma entropia de base com a fórmula comprimento × log2(tamanho do alfabeto), deduzindo o alfabeto dos tipos presentes: 26 minúsculas, 26 maiúsculas, 10 algarismos e símbolos. Depois penaliza os padrões previsíveis: presença na lista das palavras-passe mais comuns, sequências de teclado como qwerty, azerty ou 12345, caracteres repetidos (aaaa), sequências alfabéticas ou numéricas (abcd, 6789), anos e datas. Assim, Qwerty2024! tem 11 caracteres e 4 tipos, mas combina uma sequência de teclado e um ano, dois elementos que os dicionários de ataque testam de imediato, e a estimativa desce muito. O resultado é um nível de muito fraca a muito forte, acompanhado da entropia estimada em bits.

O tempo de quebra corresponde ao número de combinações (2 elevado à entropia) dividido por uma velocidade de tentativas, em dois cenários. Online, o atacante passa pelo formulário de início de sessão, limitado a poucas tentativas por segundo pela limitação de taxa ou pelo bloqueio. Offline, roubou uma base de hashes rápidos (MD5, SHA-1, SHA-256 sem sal) e testa 10 mil milhões de palavras-passe por segundo, a ordem de grandeza de uma máquina de quebra com GPU. Uma palavra-passe aleatória de 8 minúsculas (cerca de 2 × 10¹¹ combinações) resiste séculos online, mas cerca de vinte segundos offline. Trata-se de uma estimativa, não de uma garantia: a ferramenta não verifica se a palavra-passe consta de uma fuga de dados, porque não faz qualquer chamada de rede.

Como usar esta ferramenta

  1. Introduza a palavra-passe

    Escreva ou cole a palavra-passe no campo mascarado; utilize o botão mostrar/ocultar para confirmar o que escreveu. A análise é atualizada a cada carácter.

  2. Leia o diagnóstico

    Consulte o nível (de muito fraca a muito forte), a entropia estimada em bits e os dois tempos de quebra: ataque online limitado e ataque offline a 10 mil milhões de tentativas por segundo.

  3. Aplique os conselhos

    Siga as recomendações apresentadas, por exemplo aumentar o comprimento ou retirar um ano ou uma sequência de teclado, e volte a testar até obter um nível satisfatório.

Estimativa de entropia

Estimativa de entropia

H = bits dos padrões detetados + caracteres não abrangidos × log₂(tamanho do conjunto de caracteres)

Casos de uso

Validar uma palavra-passe mestra

Antes de adotar a palavra-passe principal do seu gestor ou da sessão do computador, confirme que atinge o nível muito forte e que não assenta numa sequência de teclado nem numa data pessoal.

Conduzir uma ação de sensibilização

Mostre em direto porque Password2024! ou Qwerty123 caem em segundos offline enquanto uma frase-passe longa resiste, para convencer os colegas a mudar de hábitos.

Comparar duas estratégias de palavra-passe

Teste uma palavra-passe curta cheia de substituições, como Tr0ub4dor&3, ao lado de uma frase-passe de quatro palavras aleatórias para ver qual ganha realmente em entropia e tempo de quebra.

Exemplos

Detetar uma palavra-passe comum

Entrada

Palavra-passe a avaliar: password

Resultado

8 caracteres, apenas minúsculas (sem maiúsculas, algarismos nem símbolos); Pontos fracos detetados: Uma das palavras-passe mais usadas; 10 bits de entropia; Conselhos: Torne-a mais longa: aponte para pelo menos 15 caracteres quando a palavra-passe for o único fator de autenticação. Dê prioridade ao comprimento e à imprevisibilidade: acrescentar uma maiúscula, um algarismo ou um símbolo não basta para tornar forte uma palavra-passe curta. Evite palavras-passe comuns, mesmo com substituições como @ em vez de a. Prefira uma frase-passe de várias palavras aleatórias ou uma palavra-passe gerada.

Dicas e boas práticas

  • Trocar letras por algarismos ou símbolos (p@ssw0rd) não engana as ferramentas de quebra, que aplicam essas substituições automaticamente: aumente antes o comprimento.
  • Num computador partilhado ou de trabalho, teste uma variante com a mesma estrutura em vez da sua palavra-passe real, por simples precaução face a extensões ou programas instalados.
  • Um nível muito forte não protege uma palavra-passe reutilizada em vários sites: se vazar num deles, todas as contas ficam expostas. Utilize uma palavra-passe única por site e ative a autenticação de dois fatores.

Fontes e referências

Perguntas frequentes

É arriscado escrever a minha palavra-passe num testador online?

Com este testador, a palavra-passe é analisada por código executado no seu navegador e nunca é transmitida: não é enviado qualquer pedido de rede durante a análise. Por precaução geral, evite ainda assim introduzir uma palavra-passe real num dispositivo que não controla.

Quanto tempo demora a quebrar a minha palavra-passe?

Depende sobretudo do cenário. Online, o limite de tentativas torna difícil adivinhar até uma palavra-passe mediana; offline, depois de roubar uma base de hashes rápidos, um atacante pode testar 10 mil milhões de palavras-passe por segundo. A ferramenta mostra as duas estimativas, que pressupõem que a palavra-passe ainda não é conhecida.

A ferramenta verifica se a minha palavra-passe foi divulgada?

Não, não faz chamadas de rede nem consulta bases de fugas de dados. Para isso, utilize um serviço como o Pwned Passwords do Have I Been Pwned, que só compara um prefixo do hash SHA-1 (k-anonimato); uma palavra-passe presente numa fuga deve ser alterada, seja qual for a sua pontuação.

O que torna uma palavra-passe forte?

Ser longa, imprevisível e única: pelo menos 15 caracteres segundo a NIST SP 800-63B-4 quando usada isoladamente, sem palavras óbvias do dicionário, datas, nomes nem sequências de teclado. Uma palavra-passe aleatória de um gerador ou uma frase-passe com várias palavras escolhidas ao acaso cumpre estes critérios.

Basta acrescentar uma maiúscula e um algarismo no fim?

Raramente. Maiúscula inicial, algarismo ou ano no fim e ponto de exclamação final são exatamente as transformações que as regras de quebra experimentam primeiro. A ferramenta deteta em particular anos e sequências; alguns caracteres aleatórios a mais ajudam muito mais.

Porque é que a minha pontuação difere de outro testador?

Cada testador usa o seu próprio modelo: tamanho dos dicionários, padrões detetados, velocidade de ataque presumida. Os resultados são estimativas e podem variar entre ferramentas; retenha sobretudo os padrões assinalados e a ordem de grandeza do tempo de quebra.

Ferramentas relacionadas

Continue com estas ferramentas

Ferramentas semelhantes ou complementares a esta.

Ferramentas semelhantes

Gerador de palavras-passe

Gere palavras-passe fortes e aleatórias de 8 a 128 caracteres, com a entropia indicada.

Segurança e privacidadeEm destaqueUtilizar esta ferramenta

Gerador de política de palavras-passe

Crie uma política de palavras-passe moderna: comprimento, listas de bloqueio, frases-passe, expiração e limite de tentativas.

Segurança e privacidadeUtilizar esta ferramenta

Leia também