# De quanto em quanto tempo mudar a palavra-passe: só quando houver motivo

> A resposta que quase ninguém dá é que não se muda por calendário. Muda-se quando acontece alguma coisa. Aqui fica a lista do que conta como «alguma coisa», e o que fazer no resto do tempo, que é quase sempre.

2026-09-02 · David Carrero · password.es
Original: https://password.es/pt/blog/de-quanto-em-quanto-tempo-mudar-a-palavra-passe/

---

Comecemos pelo fim, porque a resposta é curta e quase ninguém a dá inteira:
**quando houver um motivo. Não de noventa em noventa dias.**

O hábito de a mudar por calendário está tão entranhado que soa a higiene, como
lavar os dentes. Mas era uma recomendação com prazo de validade, e o prazo
acabou: o NIST norte-americano escreveu-a em 2003, retirou-a em 2017, e o autor
daquele documento pediu desculpa em público no mesmo ano. Contamos essa história
por inteiro em [o que é uma palavra-passe](/pt/blog/o-que-e-uma-palavra-passe/);
aqui interessa a outra parte, a que quase nunca se explica: **o que fazes tu,
hoje, com as tuas palavras-passe.**

## O calendário não sabe se te roubaram alguma coisa

O problema de rodar por data é que a data não traz informação nenhuma.

Se alguém apanhou a tua palavra-passe numa terça-feira de fevereiro, mudá-la a
1 de abril porque calha oferece-lhe mês e meio largo de acesso. E se ninguém lhe
tocou, mudá-la não te protegeu de nada: trocaste uma palavra-passe boa por outra
provavelmente pior, porque as palavras-passe escritas por obrigação escrevem-se
sem vontade.

Está aí o mecanismo inteiro do fracasso. **A rotação forçada não produz
palavras-passe novas, produz variações.** `Verão2026!` passa a `Outono2026!` e
depois a `Inverno2026!`, e quem te ataca sabe-o, porque essa série é tão previsível
como o calendário de parede de onde saiu. O sistema fica contente — a
palavra-passe «mudou» — e a segurança real desceu, não subiu.

Por isso o NIST, no **SP 800-63B**, diz as duas coisas juntas: nada de mudanças
arbitrárias ao relógio, e **obrigar à mudança assim que houver indício de
compromisso**. Não é que mudar seja indiferente. É que o gatilho tem de ser um
facto, não uma data.

## Os motivos que contam mesmo

É esta a lista. Se te acontecer qualquer uma destas coisas, a palavra-passe
muda-se hoje, não no mês que vem:

- **Apareceu numa fuga de dados.** Do serviço em causa ou de qualquer outro onde
  usasses a mesma.
- **Reutilizaste-a.** Se `X` foi divulgada e a tens noutros quatro sítios, há
  cinco palavras-passe para mudar, não uma.
- **Escreveste-a num site que afinal não era o site.** Um e-mail com pressa, um
  link, um formulário parecido. Não interessa que te tenhas apercebido dois
  segundos depois: já a tinhas enviado.
- **Partilhaste-a.** Com quem vive contigo, com um colega, numa conversa de
  trabalho, num papel. Uma palavra-passe que passou por um canal onde não
  controlas quem lê já não é tua.
- **Vês movimento estranho.** Uma sessão iniciada de um sítio onde nunca
  estiveste, e-mails de reposição que não pediste, uma mensagem enviada que não
  escreveste.
- **O dispositivo esteve comprometido.** Um computador com software malicioso,
  um telemóvel perdido, um portátil que passou por uma assistência desconhecida.
- **O serviço avisa-te.** Quando uma empresa manda esse e-mail, trata do assunto
  no próprio dia. É literalmente o caso que o SP 800-63B contempla.
- **Acabou uma vida em comum.** Um ex, uma casa partilhada, um sócio. Contas que
  eram de duas pessoas e agora são de uma.

Repara no que têm em comum: **são todos factos**. Nenhum é «passaram noventa
dias».

Para o primeiro há ferramenta. Se queres saber se uma palavra-passe concreta está
nas listas que já circulam, e de passagem quanto aguentaria, passa-a pelo
[verificador](/pt/verificador/): é analisada no teu navegador e dali não sai.

## Quando há motivo, a ordem importa

Mudar a palavra-passe é o passo óbvio e muitas vezes não é o primeiro. Esta é a
ordem que evita fazer o trabalho duas vezes:

**Primeiro, o dispositivo.** Se suspeitas que há algo instalado a ler o que
escreves, mudar a palavra-passe a partir dessa mesma máquina é entregar-lhe a
nova. Limpa-a, ou usa outro dispositivo antes.

**Depois, o correio.** A tua conta de e-mail não é uma conta qualquer: é a que
recebe os links de «esqueci-me da palavra-passe» de todas as outras. Quem
controla o correio controla o resto pela porta principal. Se há uma única
palavra-passe por onde começar, é essa.

**A seguir, fechar as sessões abertas.** Mudar a palavra-passe nem sempre expulsa
quem já está lá dentro. Procura nas definições da conta a opção de terminar
sessão em todos os dispositivos e usa-a: caso contrário, o intruso continua ligado
numa sessão que já não precisa da tua palavra-passe para nada.

**E por último, vê o que ele deixou montado.** É o passo que mais gente salta.
Quem entra numa conta não se limita a olhar: muda o endereço de recuperação,
acrescenta um telemóvel, ativa um segundo fator próprio, liga uma aplicação, mete
uma regra de reencaminhamento na caixa. **Se mudas a palavra-passe e não vês isso,
ele volta a entrar amanhã por uma porta que continua escancarada.** Revê métodos
de recuperação, dispositivos autorizados, aplicações ligadas e regras de
reencaminhamento.

Mais uma coisa, óbvia e por isso mesmo a mais desrespeitada: quando mudares, a
nova tem de ser **nova**. Não a do costume com outro número. Gera-a no
[gerador](/pt/) e guarda-a onde não dependa da tua memória.

## O que fazes nos outros trezentos e sessenta dias

Se o gatilho é um facto e os factos são raros, a pergunta passa a ser outra:
então não há nada a fazer? Pelo contrário. Aquilo que a rotação tentava resolver
mal resolve-se bem com quatro coisas, e todas se fazem uma só vez.

**Que sejam longas.** O SP 800-63B põe o comprimento à frente da contorção: uma
palavra-passe longa vale mais do que uma curta cheia de símbolos. É aí que está a
maior parte do trabalho.

**Que sejam diferentes em cada sítio.** É esta que transforma a fuga de dados de
outra pessoa num incidente pequeno em vez de num incêndio. Se cada conta tem a
sua, uma delas ser divulgada não toca nas restantes; se partilhas palavra-passe,
um serviço de que nem te lembras decide a segurança do teu banco.

**Que sejam cotejadas com as listas de divulgadas.** É exatamente a troca que o
NIST fez: em vez de te exigir um símbolo, verificar que a tua palavra-passe não
anda já em circulação. Essa verificação, sim, caduca — uma palavra-passe que hoje
não está nas listas pode estar lá para o ano — e é por isso que os bons gestores a
repetem sozinhos e te avisam.

**Que haja segundo fator onde for possível.** Com um segundo fator ativo, uma
palavra-passe roubada deixa de ser uma chave e passa a ser meia.

As quatro juntas fazem uma coisa que a rotação nunca fez: **mudam a palavra-passe
precisamente quando há motivo, porque ficas a saber que há.** Um gestor que vigia
as listas é um sistema de aviso; o calendário não avisa de nada, apenas passa.

## E se na empresa te obrigam de noventa em noventa dias

Acontece, e acontece muito, porque há políticas escritas há quinze anos que
ninguém voltou a abrir. Duas coisas.

A primeira, prática: se tens de a mudar, **muda a sério**. Gera uma nova inteira
e guarda-a no gestor. A variação sazonal é a única coisa pior do que não mudar,
porque dá a sensação de se ter feito alguma coisa.

A segunda, para quem possa mexer na política: o argumento não é preciso inventar.
Está no **SP 800-63B**, é a orientação oficial do NIST, e diz por escrito que não
se deve exigir a mudança periódica de palavras-passe e que se deve forçá-la quando
há indício de compromisso. Quem mantém hoje a regra dos noventa dias está a seguir
um documento que o próprio organismo que o publicou substituiu há anos.

## A resposta curta, outra vez

De quanto em quanto tempo se muda a palavra-passe? **Quando acontecer alguma
coisa.**

E como «quando acontecer alguma coisa» só funciona se ficares a saber que
aconteceu, a resposta longa é: faz com que cada palavra-passe seja longa,
diferente e vigiada, e assim no dia em que houver uma para mudar hás de sabê-lo,
será uma só, e leva-te dois minutos.

O resto é assinalar uma cruz num calendário para te sentires a salvo.

---

*Fontes: NIST SP 800-63, «Electronic Authentication Guideline» (2003), onde
aparecem as regras de composição e a mudança periódica · NIST SP 800-63B,
«Digital Identity Guidelines: Authentication and Lifecycle Management» (2017):
comprimento acima da complexidade, sem mudança periódica arbitrária, mudança
obrigatória perante indício de compromisso e cotejo com listas de palavras-passe
comprometidas · declarações de Bill Burr, autor do guia de 2003, ao Wall Street
Journal em agosto de 2017.*