Comecemos pelo fim, porque a resposta é curta e quase ninguém a dá inteira: quando houver um motivo. Não de noventa em noventa dias.
O hábito de a mudar por calendário está tão entranhado que soa a higiene, como lavar os dentes. Mas era uma recomendação com prazo de validade, e o prazo acabou: o NIST norte-americano escreveu-a em 2003, retirou-a em 2017, e o autor daquele documento pediu desculpa em público no mesmo ano. Contamos essa história por inteiro em o que é uma palavra-passe; aqui interessa a outra parte, a que quase nunca se explica: o que fazes tu, hoje, com as tuas palavras-passe.
O calendário não sabe se te roubaram alguma coisa
O problema de rodar por data é que a data não traz informação nenhuma.
Se alguém apanhou a tua palavra-passe numa terça-feira de fevereiro, mudá-la a 1 de abril porque calha oferece-lhe mês e meio largo de acesso. E se ninguém lhe tocou, mudá-la não te protegeu de nada: trocaste uma palavra-passe boa por outra provavelmente pior, porque as palavras-passe escritas por obrigação escrevem-se sem vontade.
Está aí o mecanismo inteiro do fracasso. A rotação forçada não produz
palavras-passe novas, produz variações. Verão2026! passa a Outono2026! e
depois a Inverno2026!, e quem te ataca sabe-o, porque essa série é tão previsível
como o calendário de parede de onde saiu. O sistema fica contente — a
palavra-passe «mudou» — e a segurança real desceu, não subiu.
Por isso o NIST, no SP 800-63B, diz as duas coisas juntas: nada de mudanças arbitrárias ao relógio, e obrigar à mudança assim que houver indício de compromisso. Não é que mudar seja indiferente. É que o gatilho tem de ser um facto, não uma data.
Os motivos que contam mesmo
É esta a lista. Se te acontecer qualquer uma destas coisas, a palavra-passe muda-se hoje, não no mês que vem:
- Apareceu numa fuga de dados. Do serviço em causa ou de qualquer outro onde usasses a mesma.
- Reutilizaste-a. Se
Xfoi divulgada e a tens noutros quatro sítios, há cinco palavras-passe para mudar, não uma. - Escreveste-a num site que afinal não era o site. Um e-mail com pressa, um link, um formulário parecido. Não interessa que te tenhas apercebido dois segundos depois: já a tinhas enviado.
- Partilhaste-a. Com quem vive contigo, com um colega, numa conversa de trabalho, num papel. Uma palavra-passe que passou por um canal onde não controlas quem lê já não é tua.
- Vês movimento estranho. Uma sessão iniciada de um sítio onde nunca estiveste, e-mails de reposição que não pediste, uma mensagem enviada que não escreveste.
- O dispositivo esteve comprometido. Um computador com software malicioso, um telemóvel perdido, um portátil que passou por uma assistência desconhecida.
- O serviço avisa-te. Quando uma empresa manda esse e-mail, trata do assunto no próprio dia. É literalmente o caso que o SP 800-63B contempla.
- Acabou uma vida em comum. Um ex, uma casa partilhada, um sócio. Contas que eram de duas pessoas e agora são de uma.
Repara no que têm em comum: são todos factos. Nenhum é «passaram noventa dias».
Para o primeiro há ferramenta. Se queres saber se uma palavra-passe concreta está nas listas que já circulam, e de passagem quanto aguentaria, passa-a pelo verificador: é analisada no teu navegador e dali não sai.
Quando há motivo, a ordem importa
Mudar a palavra-passe é o passo óbvio e muitas vezes não é o primeiro. Esta é a ordem que evita fazer o trabalho duas vezes:
Primeiro, o dispositivo. Se suspeitas que há algo instalado a ler o que escreves, mudar a palavra-passe a partir dessa mesma máquina é entregar-lhe a nova. Limpa-a, ou usa outro dispositivo antes.
Depois, o correio. A tua conta de e-mail não é uma conta qualquer: é a que recebe os links de «esqueci-me da palavra-passe» de todas as outras. Quem controla o correio controla o resto pela porta principal. Se há uma única palavra-passe por onde começar, é essa.
A seguir, fechar as sessões abertas. Mudar a palavra-passe nem sempre expulsa quem já está lá dentro. Procura nas definições da conta a opção de terminar sessão em todos os dispositivos e usa-a: caso contrário, o intruso continua ligado numa sessão que já não precisa da tua palavra-passe para nada.
E por último, vê o que ele deixou montado. É o passo que mais gente salta. Quem entra numa conta não se limita a olhar: muda o endereço de recuperação, acrescenta um telemóvel, ativa um segundo fator próprio, liga uma aplicação, mete uma regra de reencaminhamento na caixa. Se mudas a palavra-passe e não vês isso, ele volta a entrar amanhã por uma porta que continua escancarada. Revê métodos de recuperação, dispositivos autorizados, aplicações ligadas e regras de reencaminhamento.
Mais uma coisa, óbvia e por isso mesmo a mais desrespeitada: quando mudares, a nova tem de ser nova. Não a do costume com outro número. Gera-a no gerador e guarda-a onde não dependa da tua memória.
O que fazes nos outros trezentos e sessenta dias
Se o gatilho é um facto e os factos são raros, a pergunta passa a ser outra: então não há nada a fazer? Pelo contrário. Aquilo que a rotação tentava resolver mal resolve-se bem com quatro coisas, e todas se fazem uma só vez.
Que sejam longas. O SP 800-63B põe o comprimento à frente da contorção: uma palavra-passe longa vale mais do que uma curta cheia de símbolos. É aí que está a maior parte do trabalho.
Que sejam diferentes em cada sítio. É esta que transforma a fuga de dados de outra pessoa num incidente pequeno em vez de num incêndio. Se cada conta tem a sua, uma delas ser divulgada não toca nas restantes; se partilhas palavra-passe, um serviço de que nem te lembras decide a segurança do teu banco.
Que sejam cotejadas com as listas de divulgadas. É exatamente a troca que o NIST fez: em vez de te exigir um símbolo, verificar que a tua palavra-passe não anda já em circulação. Essa verificação, sim, caduca — uma palavra-passe que hoje não está nas listas pode estar lá para o ano — e é por isso que os bons gestores a repetem sozinhos e te avisam.
Que haja segundo fator onde for possível. Com um segundo fator ativo, uma palavra-passe roubada deixa de ser uma chave e passa a ser meia.
As quatro juntas fazem uma coisa que a rotação nunca fez: mudam a palavra-passe precisamente quando há motivo, porque ficas a saber que há. Um gestor que vigia as listas é um sistema de aviso; o calendário não avisa de nada, apenas passa.
E se na empresa te obrigam de noventa em noventa dias
Acontece, e acontece muito, porque há políticas escritas há quinze anos que ninguém voltou a abrir. Duas coisas.
A primeira, prática: se tens de a mudar, muda a sério. Gera uma nova inteira e guarda-a no gestor. A variação sazonal é a única coisa pior do que não mudar, porque dá a sensação de se ter feito alguma coisa.
A segunda, para quem possa mexer na política: o argumento não é preciso inventar. Está no SP 800-63B, é a orientação oficial do NIST, e diz por escrito que não se deve exigir a mudança periódica de palavras-passe e que se deve forçá-la quando há indício de compromisso. Quem mantém hoje a regra dos noventa dias está a seguir um documento que o próprio organismo que o publicou substituiu há anos.
A resposta curta, outra vez
De quanto em quanto tempo se muda a palavra-passe? Quando acontecer alguma coisa.
E como «quando acontecer alguma coisa» só funciona se ficares a saber que aconteceu, a resposta longa é: faz com que cada palavra-passe seja longa, diferente e vigiada, e assim no dia em que houver uma para mudar hás de sabê-lo, será uma só, e leva-te dois minutos.
O resto é assinalar uma cruz num calendário para te sentires a salvo.
Fontes: NIST SP 800-63, «Electronic Authentication Guideline» (2003), onde aparecem as regras de composição e a mudança periódica · NIST SP 800-63B, «Digital Identity Guidelines: Authentication and Lifecycle Management» (2017): comprimento acima da complexidade, sem mudança periódica arbitrária, mudança obrigatória perante indício de compromisso e cotejo com listas de palavras-passe comprometidas · declarações de Bill Burr, autor do guia de 2003, ao Wall Street Journal em agosto de 2017.
Foto de Hatice Baran · Pexels