Senhas fortes hoje: de frases longas até as passkeys

Senhas não são quebradas como nos filmes. Ninguém fica adivinhando o nome do seu cachorro: senhas vazam de serviços invadidos aos milhões e depois são testadas automaticamente em todos os outros sites. Essa mecânica de máquinas dita as regras reais de proteção, bem diferentes dos habituais "oito caracteres com asterisco" dos guias antigos. Vamos organizá-las, das propriedades da senha até a vida sem ela.

O que importa de verdade

Duas propriedades decidem tudo. Ser única: uma senha por serviço, porque senão o vazamento de qualquer site abre sua vida inteira; testar pares vazados de login e senha em outros serviços é o principal método de invasão em massa. Tamanho: a resistência à quebra por máquina cresce a cada caractere mais rápido que com qualquer truque, e uma frase de quatro palavras aleatórias supera um rabisco curto com símbolos. Todo o resto, da troca periódica sem motivo à substituição de letras por números, é de outra era: troque depois de um vazamento, não pelo calendário.

Gerenciador de senhas: as regras mudam

A exigência de "cem senhas longas e únicas" é impossível para a cabeça e trivial para um gerenciador: ele gera, guarda e preenche as senhas sozinho, e sobra para você uma frase-mestra. Use qualquer ferramenta madura: a embutida no sistema e no navegador já é boa e grátis, e apps separados acrescentam conveniência se você vive em várias plataformas. Duas regras de uso: a frase-mestra é longa e não é usada em mais nada, e um segundo fator protege a entrada do próprio gerenciador. Um bônus subestimado: o gerenciador preenche a senha só no domínio real e fica calado no falso, o que o torna um detector de phishing, como escrevemos no artigo sobre phishing.

O segundo fator é obrigatório

Seja qual for sua senha, um dia ela pode vazar do próprio serviço. O segundo fator a torna inútil: para entrar é preciso ainda uma confirmação do seu aparelho. A hierarquia de força é simples: códigos por SMS são melhores que nada, um app gerador é bem melhor que SMS, e uma chave física ou a biometria do aparelho são o mais forte. Ative no mínimo em e-mail, bancos e redes sociais principais: o e-mail é o mais importante da lista, porque por ele se recuperam todas as outras senhas. Vemos as opções em detalhes no artigo sobre autenticação de dois fatores.

Para a maioria, a escolha fica assim: um app gerador no celular para tudo o que é importante, uma chave física para e-mail e finanças para quem aceita carregá-la, SMS onde não há outra opção. E guarde sem falta os códigos de backup ao ativar: o celular se perde e o gerador junto, e recuperar sem códigos vira uma saga com passaporte e suporte.

Passkeys: a vida depois das senhas

Grandes plataformas já oferecem login sem senha: a passkey é uma chave criptográfica que vive no seu aparelho e funciona com biometria ou PIN. Não há o que adivinhar nem o que vazar do servidor, e em um site falso a chave simplesmente não funciona, porque está ligada ao domínio real. Os mesmos ecossistemas e gerenciadores resolvem a sincronização entre aparelhos. A estratégia de hoje: ative a passkey onde houver, enquanto a senha fica como entrada de reserva, e a higiene dela continua importando.

Onde anotar e o que não anotar

Três coisas nunca ficam às claras: a frase-mestra do gerenciador, os PINs de cartões e os códigos de backup em notas do celular sem criptografia. O papel em casa, por mais paradoxal que pareça, é um lugar digno para a frase-mestra e os códigos: ameaças da internet não alcançam uma gaveta. Já um arquivo "senhas.txt" na área de trabalho e uma planilha na nuvem sem criptografia são presentes para o futuro ladrão: o malware os procura primeiro em uma máquina infectada.

Um plano para a noite

1. Instale um gerenciador e crie uma frase-mestra longa.
2. Troque as senhas do e-mail e do banco por geradas, ative lá o segundo fator e passkeys onde houver.
3. Depois troque as senhas conforme entra nos serviços: em um mês, a maioria será única.
4. Guarde os códigos de recuperação no mesmo lugar, no gerenciador ou em papel em casa.
5. Verifique seu e-mail em bases de vazamentos, recurso embutido em gerenciadores e navegadores modernos: senhas encontradas são trocadas primeiro.

Com isso o tema fica resolvido por anos: o gerenciador cuida de ser única, o tamanho cuida da resistência, o segundo fator desvaloriza o roubo da senha e as passkeys vão eliminando o próprio objeto do roubo. E se uma conta já se comporta de forma estranha, deixe as senhas para depois e comece pelos passos após uma invasão.