Gerador de senha de 15 caracteres

Porque é o mínimo que o NIST SP 800-63B fixou na revisão 4, de agosto de 2025: quando a senha é o único fator de autenticação, os serviços devem exigir pelo menos 15 caracteres; com verificação em duas etapas, bastam 8. Quinze caracteres aleatórios com os quatro tipos chegam a cerca de 97 bits de entropia, fora do alcance da força bruta, e ainda cabem nos limites de praticamente todos os serviços.

A diferença é pequena: as duas estão muito além do alcance da força bruta (cerca de 97 e 103 bits). Escolha 15 quando um site ou uma norma pedir esse tamanho, e 16 ou mais quando quiser a maior margem possível. O que importa muito mais que um caractere é que a senha seja realmente aleatória e usada em uma única conta.

Com cerca de 97 bits de entropia, um atacante offline que testa 10 bilhões de combinações por segundo levaria em média cerca de 251 bilhões de anos, e um equipamento com várias GPUs a 1 trilhão por segundo, uns 2,5 bilhões de anos. Se o serviço guardar as senhas com um hash lento, como bcrypt, scrypt ou Argon2, o número sobe para cerca de 2,5 × 10¹⁷ anos. Se a conta for invadida, será por phishing, malware ou reutilização da senha, nunca por adivinhação.

Não é indispensável. Só com letras e números, 15 caracteres aleatórios ainda chegam a cerca de 89 bits de entropia: a 10 bilhões de tentativas por segundo, uns 981 milhões de anos em média. Com os caracteres especiais, o conjunto passa de 62 para 88 símbolos e a senha sobe para cerca de 97 bits. Ative-os quando o serviço aceitar; se ele recusar, desative-os sem receio e, se quiser, acrescente um ou dois caracteres.

Não. O mínimo de 15 caracteres vale quando a senha é o único fator de autenticação. Quando a conta também pede um segundo fator, como um código no celular ou uma chave de segurança, o NIST SP 800-63B aceita um mínimo de 8. Mesmo assim, como a senha gerada aqui fica guardada no gerenciador, usar 15 caracteres ou mais em todo lugar não custa nada. Quanto ao máximo, o NIST recomenda que os serviços aceitem pelo menos 64 caracteres.

É um excelente padrão. Use 15 caracteres ou mais em toda conta que importa e só fique abaixo disso quando um site impuser um limite menor. Guarde cada senha em um gerenciador de senhas, uma das formas seguras de guardar senhas citadas pelo CERT.br, e o tamanho nunca vira incômodo. Para o e-mail principal, o banco e o próprio gerenciador, ative também a verificação em duas etapas.