# A palavra-passe do router, e porque é que a de fábrica não serve

> O teu router tem duas palavras-passe: a do Wi-Fi e a de administração do próprio aparelho. Na segunda quase ninguém mexeu, e é essa que manda mesmo em tua casa.

2026-09-06 · David Carrero · password.es
Original: https://password.es/pt/blog/a-palavra-passe-do-router/

---

O teu router tem duas palavras-passe, e quase ninguém sabe.

Uma é a do Wi-Fi: a que ditas ao telefone, a que está apontada num papel na
cozinha, a que lês ao canalizador. A outra é a de administração do próprio
aparelho, a que abre o painel onde se configura tudo. **Nessa segunda quase nunca
se mexe**, e se tu não lhe mexeste continua a ser exactamente a que veio impressa
no autocolante de baixo.

As duas protegem coisas diferentes e falham de maneiras diferentes. Vale a pena
separá-las, porque vinte anos de conversa sobre «a palavra-passe do Wi-Fi»
serviram, entre outras coisas, para tapar a outra.

## A que sabes de cor e a que nunca olhaste

A chave do Wi-Fi decide **quem se pode ligar** à rede. É uma autorização de
entrada: com ela, um dispositivo entra na tua rede local e convive com os
restantes.

A palavra-passe de administração decide **quem pode mudar como a rede
funciona**. É a partir desse painel que se mexe no nome da rede, no tipo de
cifra, nos servidores DNS que a casa inteira usa, nas portas abertas para fora e
na possibilidade de administrar o router a partir da internet. Não é mais uma
porta: é a porta a partir da qual se reconfiguram as outras.

Aí está a assimetria incómoda. Se alguém tem a chave do Wi-Fi, está na tua rede.
Se alguém tem a de administração, **a tua rede é dele**: pode mudar a chave do
Wi-Fi, baixar a cifra ou desviar por onde sai o teu tráfego, e tu davas por isso
pelo efeito, nunca por um aviso.

A recomendação da CISA sobre isto não tem meios-termos: muda o utilizador e a
palavra-passe de acesso ao router, porque a informação que ele traz de fábrica
*pode ser pública e estar ao alcance de qualquer pessoa*, e põe uma longa,
aleatória e única. E acrescenta outra que quase toda a gente incumpre sem dar por
isso: **que não seja a mesma que a do Wi-Fi.** São duas coisas distintas e
partilham-se de forma muito distinta —uma sabe-a meio bairro; a outra não devia
saber ninguém.

## 2011: o botão que parecia cómodo

Há um terceiro segredo no teu router de que quase nunca se fala: o PIN do **WPS**,
o sistema de emparelhamento rápido que aparece como um botão no aparelho e como
um número de oito algarismos no autocolante.

Em Dezembro de 2011, o CERT/CC publicou a nota de vulnerabilidade **VU#723755**,
a partir do trabalho de Stefan Viehböck, sobre uma fragilidade de desenho na
verificação desse PIN. O que te interessa não é o pormenor técnico: é a resposta
oficial, que continua igual quinze anos depois. **Não havia correcção; havia um
interruptor.** A recomendação era —e é— entrar na configuração e desactivar o
WPS. A CISA repete-o hoje no seu guia para redes domésticas, na mesma lista onde
pede que se desactive a administração remota.

É a parte mais rentável deste artigo todo: duas caixas que se desmarcam uma vez e
não voltam a incomodar.

## 2015: quando a chave de fábrica já vinha calculada

Uma palavra-passe de fábrica não é um segredo teu. É um valor que o fabricante
escolheu, que está impresso no aparelho, que sai no manual e que muitas vezes se
repete em todas as unidades de um modelo.

E há casos publicados de coisa pior: chaves de fábrica que não eram aleatórias
mas sim **calculadas a partir de dados que o próprio router emite para o ar**. No
catálogo do NIST está o **CVE-2015-0558**, sobre um router doméstico que gerava a
sua chave WPA a partir de uma cadeia fixa e do seu endereço MAC. Pouco depois, um
aviso público da SEARCH-LAB sobre um modem de cabo muito difundido na Europa
dizia-o com uma frase que resume tudo: *«o SSID e a palavra-passe por omissão
derivam apenas do endereço MAC. Como o endereço MAC é emitido por Wi-Fi, a
palavra-passe por omissão pode ser calculada facilmente.»* O operador acabou por
escrever aos clientes a pedir-lhes que a mudassem.

Não é preciso saber como aquilo se fazia —e aqui não se vai contar— para ficar
com a única coisa que importa: **uma chave que o fabricante conseguiu gerar,
outra pessoa conseguiu reproduzir.** A tua chave de fábrica não é aleatória por
ser comprida e feia. É feia porque saiu de um procedimento, e os procedimentos
estudam-se.

## A palavra-passe mais fácil de fazer comprida que vais ter

Agora a boa notícia, e é rara, porque quase nenhum conselho de segurança sai de
graça.

Todas as palavras-passe da tua vida arrastam o mesmo inimigo escondido: há que as
escrever. Muitas vezes à mão, num telemóvel, à pressa. É por isso que as pessoas
as fazem curtas, e é por isso que «põe uma de trinta caracteres» soa a castigo.

**A do Wi-Fi não tem esse problema.** Escreve-la uma vez por dispositivo e não
voltas a vê-la: o telemóvel, o portátil e a televisão guardam-na para sempre. E
quando é preciso dá-la a alguém, quase todos os telemóveis e boa parte dos
routers modernos partilham-na com um código QR, sem que ninguém escreva nada.

Ou seja: **o comprimento sai praticamente de graça, e por isso não há desculpa
para ser curta.** A norma IEEE 802.11i, que define isto desde 2004, admite frases
de acesso até 63 caracteres. Quase ninguém chega a metade.

Então o que pôr? A CISA propõe algo muito concreto e muito fácil de seguir: uma
frase memorável de **cinco a sete palavras sem relação entre si**, com pelo menos
dezasseis caracteres no total, e que não uses em mais nenhuma conta. É a lógica
do diceware aplicada à tua sala. Se preferes uma cadeia aleatória e deixar o QR
fazer o trabalho, ainda melhor: tira-a do [gerador](/pt/) e não voltes a olhar
para ela. E se aquela que tens agora te deixa dúvidas, passa-a pelo
[verificador](/pt/verificador/) antes de decidires seja o que for.

## 2018: o que é o WPA3 e porque é que muda as contas

Em 2018 a Wi-Fi Alliance apresentou o **WPA3**, o sucessor do WPA2. Hoje é
obrigatório para qualquer equipamento que queira o selo Wi-Fi CERTIFIED.

A mudança de fundo tem um nome feio, **SAE**, e uma consequência muito fácil de
perceber. Com o WPA2, alguém que estivesse perto podia captar o cumprimento
inicial entre o teu telemóvel e o router, ir para casa e testar contra esse
ficheiro milhões de chaves por segundo, sem limite de tentativas e sem que
ninguém desse por nada. É exactamente o problema de uma fuga de palavras-passe:
quando o material está no disco do atacante, **não há ninguém do outro lado a
dizer que não.**

O WPA3 quebra isso. Nas palavras da própria Wi-Fi Alliance, *«o WPA3-Personal
substitui a chave pré-partilhada do WPA2 (WPA2-PSK) por Simultaneous
Authentication of Equals (SAE). Ao contrário do WPA2-PSK, o SAE é resistente aos
ataques de dicionário fora de linha.»* Cada tentativa volta a exigir falar com o
router, e um router que recebe milhares de tentativas falhadas pode dar por isso
e travar.

E depois há a parte honesta, que o próprio documento faz questão de dizer. Essa
resistência significa que *«o peso da segurança da palavra-passe deixa de recair
sobre os utilizadores»*, e que exigir maiúsculas e símbolos já não é um requisito
válido com SAE. Mas **não é autorização para pôr uma má**: o ataque activo
continua a existir, e a especificação remata-o sem rodeios —as palavras-passe
usadas com SAE têm de ser extremamente difíceis de adivinhar. É o mesmo que o
NIST diz há anos do resto das tuas palavras-passe: o comprimento manda sobre a
contorção.

Dois avisos práticos. Se o teu router não chega ao WPA3, a CISA dá por bons o
WPA3 Personal e o WPA2 com AES, e só esses dois; uma rede aberta, WEP ou TKIP não
são uma palavra-passe fraca, são não ter nenhuma. E se activares o **modo de
transição**, a tua rede aceita ao mesmo tempo WPA3 e WPA2 para que entrem os
aparelhos velhos: é uma decisão razoável numa casa com uma impressora de 2013,
mas convém saber o que é —enquanto estiver ligado, a tua rede mantém uma porta
WPA2—. Se tudo o que tens entra por WPA3, desliga-o.

## 2024: a lei mete-se por baixo do autocolante

Durante décadas isto foi um problema de conselhos. Agora é também um problema de
regulamentação.

A 29 de Abril de 2024 entrou em vigor no Reino Unido o regime da **PSTI**, a lei
de segurança dos produtos ligados, que **proíbe as palavras-passe por omissão
universais** nos aparelhos de consumo: acabou o modelo em que todas as unidades
de um produto saíam de fábrica com a mesma chave. A lei admite, isso sim, uma
palavra-passe por omissão **única por unidade**, que é precisamente o caso do
autocolante com uma cadeia diferente em cada router. Na União Europeia, os
requisitos de cibersegurança da Directiva de Equipamentos de Rádio —o Regulamento
Delegado (UE) 2022/30— são de aplicação obrigatória desde 1 de Agosto de 2025.

Daí deduzem-se duas coisas, e não são a mesma. A primeira: os routers novos vão
chegar melhores de fábrica. A segunda, que é a que te toca: **nada disto se
aplica para trás ao aparelho que já tens na sala.** Se está ali há seis anos, em
tua casa continua a valer o mundo de antes.

## A rede de convidados, ou deixar de ditar a tua chave

Pensa em quanta gente sabe a tua chave do Wi-Fi. O cunhado, a ama, o amigo que
foi lá jantar em 2022 e ainda tem o telemóvel configurado, o técnico que subiu
para instalar qualquer coisa.

Nenhum deles tem só uma autorização para chegar à internet: **tem um dispositivo
dentro da tua rede local**, ao lado do teu disco em rede, da tua impressora e das
tuas câmaras. E não fazes ideia do estado em que esse dispositivo está.

A rede de convidados é a resposta, e é uma função que já tens e não usas. A CISA
di-lo com todas as letras: se o teu router tem rede de convidados, activa-a,
põe-lhe uma palavra-passe própria —longa, aleatória e única— e que a use toda a
gente que não se liga ao teu Wi-Fi de forma habitual. E acrescenta uma coisa que
quase ninguém faz: **manda para lá também as engenhocas ligadas** —a tomada
inteligente, a televisão, o aspirador robô— se a única coisa de que precisam é de
sair para a internet, para que não possam descobrir os restantes aparelhos da
casa.

É o princípio deste blogue todo aplicado à sala de estar: uma credencial por
sítio. O teu Wi-Fi principal é um sítio. As visitas são outro.

## O que fazer, por ordem

- **Entra no painel do router e muda a palavra-passe de administração.** É a única
  desta lista em que provavelmente nunca mexeste e a que mais manda. Longa,
  aleatória e **diferente da do Wi-Fi**.
- **Põe uma chave de Wi-Fi comprida.** Cinco a sete palavras sem relação, ou uma
  cadeia do [gerador](/pt/). Escreve-la uma vez e depois partilha-la por QR.
- **Sobe para WPA3 se o teu router deixar.** Se não, WPA2 com AES.
- **Desactiva o WPS e a administração remota.** Duas caixas, uma só vez.
- **Liga a rede de convidados** e manda para lá as visitas e as engenhocas.
- **Actualiza o firmware** e deixa ligadas as actualizações automáticas, se as
  houver.
- **Não reutilizes nenhuma das duas noutro sítio.** Se tens dúvidas sobre alguma
  das que já usas, passa-a pelo [verificador](/pt/verificador/).

Nada disto demora mais de vinte minutos, e são vinte minutos que se fazem uma vez.

O router é o aparelho mais importante da tua casa e o único que se administra
sozinho enquanto ninguém o administrar. Está há anos ligado a um canto, a fazer o
seu trabalho sem se queixar, e é precisamente por isso que nunca parece a altura
de olhar para ele.

A palavra-passe de fábrica não é má por ser curta nem por ser feia. **É má porque
não é tua.** Escolheu-a outra pessoa, imprimiu-a num autocolante e mandou-a para
milhares de casas iguais à tua. Mudá-la é o mais parecido que existe, em
informática doméstica, com mudar a fechadura quando te mudas.

---

*Fontes: CISA, «Project Upskill · Module 5: Securing Your Home Wi-Fi», do Joint
Cyber Defense Collaborative —mudar o utilizador e a palavra-passe de acesso ao
router porque a informação de fábrica pode ser pública, frase de acesso de cinco
a sete palavras sem relação e pelo menos dezasseis caracteres, WPA3 Personal ou
WPA2 AES como únicas cifras consideradas seguras, desactivar o WPS e a
administração remota, e activar a rede de convidados também para os dispositivos
ligados— · Wi-Fi Alliance, «WPA3 Security Considerations Overview» (Abril de
2019), sobre a substituição do WPA2-PSK pelo SAE, a sua resistência aos ataques
de dicionário fora de linha e a exigência de que as palavras-passe continuem a
ser extremamente difíceis de adivinhar · CERT/CC, nota de vulnerabilidade
VU#723755 (27 de Dezembro de 2011), reportada por Stefan Viehböck, cuja solução
recomendada é desactivar o WPS · NVD (NIST), CVE-2015-0558, sobre um router
doméstico que gerava a sua chave WPA a partir de uma cadeia fixa e do seu
endereço MAC · aviso público da SEARCH-LAB (Gergely Eberhardt) sobre o modem Ubee
EVW3226, publicado na Full Disclosure em Julho de 2016 · IEEE 802.11i, que define
a frase de acesso entre 8 e 63 caracteres · Reino Unido, regime da Product
Security and Telecommunications Infrastructure Act, em vigor desde 29 de Abril de
2024 · União Europeia, Regulamento Delegado (UE) 2022/30 da Directiva de
Equipamentos de Rádio, de aplicação obrigatória desde 1 de Agosto de 2025 · NIST
SP 800-63B, sobre o comprimento face à complexidade.*