Verificador de segurança

Analise a sua palavra-passe em detalhe

Não contamos maiúsculas nem símbolos: procuramos a tua palavra-passe em dicionários de palavras, nomes, cidades e padrões de teclado, e estimamos as tentativas necessárias.

Toda a análise ocorre no seu navegador. Não enviamos qualquer informação nem armazenamos os resultados.

Por omissão ocultamos a palavra-passe. Pode alternar a visibilidade através do botão lateral.

O veredicto vem do tempo, não de uma percentagem.

—

para a quebrar por força bruta

—
Tentativas necessárias
—
O teu alfabeto
0 símbolos
Comprimento
0 caracteres

O que encontrámos na tua palavra-passe

A força bruta é estimada a 1012 tentativas por segundo, a ordem de grandeza de um ataque offline contra um hash rápido — o mesmo modelo que o gerador usa. Contra um hash lento (bcrypt, Argon2) o valor sobe muitas ordens de grandeza.

Como isto funciona, e o que não pode saber

Procuramos a tua palavra-passe em dicionários de palavras-passe expostas, palavras, nomes próprios, apelidos, cidades, datas e percursos de teclado, e reconhecemos truques comuns como escrever ao contrário ou trocar a por @. Usamos zxcvbn-ts, de código aberto, a correr inteiramente no teu navegador.

O que não podemos saber: se encontramos um padrão, o número é fiável — esse padrão é o atalho que um atacante usaria. Se não encontramos nenhum, o número é apenas um tecto: significa que não conhecemos o teu padrão, não que ele não exista.

Por isso o único número exacto deste site está n o gerador: aí é a máquina que cria a palavra-passe ao acaso, e então sabemos exactamente quantas combinações existem. Aqui só podemos estimar.

Não enviamos a tua palavra-passe para lado nenhum nem a guardamos. A única coisa que viaja pela rede é o analisador, descarregado quando começas a escrever.

Como ler a classificação

O veredicto sai do tempo que custaria parti-la, não de uma soma de pontos pela variedade de caracteres. «Muito fraca» significa menos de um segundo perante um ataque offline; «Muito forte», mais de cem mil anos. Ainda assim, nunca reutilizes uma palavra-passe e apoia-te num gestor a sério.

Mistura os caracteres e evita padrões previsíveis (1234, qwerty, datas pessoais). Se aparecerem avisos a laranja, lê-os: apontam o que enfraquece mesmo a tua chave.

Gerar uma palavra-passe segura Ver se os teus dados foram expostos Ativar o duplo fator Guardar as chaves num gestor

Perguntas frequentes

Que algoritmo é usado?

zxcvbn, a biblioteca de código aberto que procura a tua palavra-passe em dicionários de palavras, nomes, cidades, datas e padrões de teclado e estima quantas tentativas custaria. Antes usávamos o PasswordMeter (2006), que contava variedade de caracteres: dava «muito forte» a Palavra1! e «muito fraca» a uma frase de cinco palavras ao acaso. Exatamente ao contrário.

As minhas palavras-passe ficam guardadas?

Nunca. O cálculo acontece no teu navegador e não enviamos nada para o servidor. Podes desligar-te da Internet e continua a funcionar.

O que é uma palavra-passe «suficiente»?

A que aguenta tempo suficiente e não aparece em nenhum dicionário. Aponta a «Forte» ou «Muito forte» e a que a lista de achados venha vazia: um padrão que encontramos é um atalho que o atacante também tem. Mesmo assim, junta-lhe um gestor e o duplo fator.

Que outros recursos recomendam?

Além do gerador, vê os nossos guias em password.es para aprender a criar palavras-passe memoráveis e a ligar medidas adicionais como gestores ou chaves físicas.

Porque é que o gerador usa 27 símbolos e aqui se contam 33?

Porque medem coisas diferentes. Aqui, se escreveres um símbolo, assumimos que podias ter escrito qualquer um dos 33 de um teclado ASCII: é o alfabeto que um atacante teria de percorrer. O gerador usa 27 de propósito, deixando de fora as aspas e as barras, que partem palavras-passe quando as colas em terminais, folhas de cálculo e ficheiros de configuração. Os seis que faltam custam menos de um terço de bit por caractere; uma palavra-passe que se parte ao copiar custa bastante mais.