{"id":34,"date":"2026-06-10T12:35:53","date_gmt":"2026-06-10T12:35:53","guid":{"rendered":"https:\/\/shattered.io\/pt\/2026\/06\/10\/seguranca-de-passwords\/"},"modified":"2026-06-10T13:35:45","modified_gmt":"2026-06-10T13:35:45","slug":"seguranca-de-passwords","status":"publish","type":"post","link":"https:\/\/shattered.io\/pt\/security\/seguranca-de-passwords\/","title":{"rendered":"Seguran\u00e7a de Palavras-passe: Guia Pr\u00e1tico"},"content":{"rendered":"

A palavra-passe continua a ser a primeira linha de defesa da maior parte das nossas contas online, e tamb\u00e9m a mais maltratada. Escolhemo-las \u00e0 pressa, repetimo-las de site em site e esquecemo-las com frequ\u00eancia. O resultado \u00e9 que muitas das invas\u00f5es de contas n\u00e3o exigem qualquer t\u00e9cnica sofisticada: basta uma palavra-passe fraca, ou uma palavra-passe boa mas reutilizada num site que foi invadido. Este artigo explica o que torna uma palavra-passe realmente forte, por que motivo o comprimento conta mais do que os s\u00edmbolos complicados, como os sites bem feitos guardam as palavras-passe sem nunca as guardar em texto simples e por que raz\u00e3o um gestor de palavras-passe com dois fatores \u00e9, hoje, a base de qualquer defesa que se leve a s\u00e9rio.<\/p>\n

O comprimento vale mais do que a complexidade<\/h2>\n

Durante muitos anos repetiu-se a mesma receita: misturar mai\u00fasculas, min\u00fasculas, n\u00fameros e s\u00edmbolos. O problema \u00e9 que essa receita produz palavras-passe dif\u00edceis de memorizar para um humano e, ao mesmo tempo, f\u00e1ceis de partir para um computador. Algo como P@ss1!<\/code> cumpre todas as regras dos s\u00edmbolos e, ainda assim, \u00e9 curto e previs\u00edvel.<\/p>\n

A raz\u00e3o \u00e9 matem\u00e1tica. A resist\u00eancia de uma palavra-passe a uma tentativa de adivinha\u00e7\u00e3o por for\u00e7a bruta depende, acima de tudo, do n\u00famero de combina\u00e7\u00f5es poss\u00edveis, e esse n\u00famero cresce de forma muito mais acentuada com cada car\u00e1ter adicional do que com a variedade de s\u00edmbolos. Acrescentar uma letra a uma palavra-passe multiplica as hip\u00f3teses de forma muito mais eficaz do que trocar um a<\/code> por um @<\/code>. Por outras palavras, o comprimento \u00e9 o fator que mais conta.<\/p>\n

Da\u00ed a ideia da frase-passe. Em vez de uma sequ\u00eancia curta e ileg\u00edvel, escolhem-se quatro ou cinco palavras sem rela\u00e7\u00e3o entre si, formando algo como cavalo bateria grampo azul janela<\/code>. \u00c9 longa, por isso resistente, e \u00e9 f\u00e1cil de recordar precisamente porque conta uma pequena hist\u00f3ria absurda. Uma frase destas, com v\u00e1rias palavras escolhidas ao acaso, \u00e9 muito mais segura do que a maioria das palavras-passe curtas cheias de s\u00edmbolos, e infinitamente mais c\u00f3moda de usar.<\/p>\n

O reverso da moeda \u00e9 igualmente importante: o que tornar a palavra-passe previs\u00edvel anula todo o benef\u00edcio do comprimento. Nomes pr\u00f3prios, datas de nascimento, o nome do clube, sequ\u00eancias como 123456<\/code> ou a pr\u00f3pria palavra password<\/code> est\u00e3o nas primeiras posi\u00e7\u00f5es de qualquer lista de tentativas, e um atacante experimenta-as em segundos. Aleatoriedade verdadeira \u00e9 o que conta, n\u00e3o comprimento decorativo.<\/p>\n

Por que motivo os sites cifram, ou melhor, fazem hashing das palavras-passe<\/h2>\n

Aqui chegamos a uma distin\u00e7\u00e3o que confunde muita gente. Quando se diz que um site guarda a palavra-passe “de forma segura”, o que normalmente acontece n\u00e3o \u00e9 cifr\u00e1-la, \u00e9 aplicar-lhe uma fun\u00e7\u00e3o de hash. A diferen\u00e7a \u00e9 fundamental.<\/p>\n

Um site bem desenhado nunca guarda a sua palavra-passe em texto simples. Se o fizesse, qualquer pessoa que acedesse \u00e0 base de dados, por invas\u00e3o ou por descuido, ficaria com todas as palavras-passe de todos os utilizadores de uma s\u00f3 vez. Para evitar isso, o site aplica \u00e0 palavra-passe uma fun\u00e7\u00e3o de hash, que \u00e9 um c\u00e1lculo de sentido \u00fanico: transforma a palavra-passe numa sequ\u00eancia de caracteres a partir da qual n\u00e3o h\u00e1 forma vi\u00e1vel de recuperar a original. O conceito est\u00e1 explicado em detalhe na nossa sec\u00e7\u00e3o de criptografia<\/a>.<\/p>\n

O que o site guarda \u00e9, ent\u00e3o, o resultado desse c\u00e1lculo, e n\u00e3o a palavra-passe. Quando voc\u00ea inicia sess\u00e3o, o site aplica o mesmo c\u00e1lculo \u00e0quilo que escreveu e compara os dois resultados. Se baterem certo, a palavra-passe estava correta, e tudo isto sem que o servidor alguma vez tenha precisado de conhecer a palavra-passe em si.<\/p>\n

H\u00e1, por\u00e9m, um cuidado adicional indispens\u00e1vel: o sal. Se dois utilizadores escolherem a mesma palavra-passe, o hash seria igual para ambos, e um atacante poderia usar tabelas pr\u00e9-calculadas para reverter as palavras-passe mais comuns de uma vez s\u00f3. Para o evitar, o site acrescenta a cada palavra-passe uma sequ\u00eancia aleat\u00f3ria e \u00fanica, o sal, antes de calcular o hash. Assim, a mesma palavra-passe gera resultados diferentes para utilizadores diferentes, e as tabelas pr\u00e9-calculadas deixam de servir. Um sistema bem feito usa ainda fun\u00e7\u00f5es desenhadas para serem lentas de prop\u00f3sito, como bcrypt, scrypt ou Argon2, de modo a que tentar adivinhar milh\u00f5es de palavras-passe se torne demasiado demorado para valer a pena.<\/p>\n

Tudo isto explica por que motivo nem todas as fugas de dados s\u00e3o iguais. Quando um site que guardava as palavras-passe com hash e sal \u00e9 invadido, o atacante leva resultados de c\u00e1lculos, n\u00e3o palavras-passe utiliz\u00e1veis. Quando um site que as guardava mal \u00e9 invadido, leva as chaves diretas. Mesmo assim, a sua melhor defesa n\u00e3o \u00e9 confiar que cada site fez o trabalho de casa: \u00e9 nunca reutilizar a mesma palavra-passe.<\/p>\n

Gestores de palavras-passe: a solu\u00e7\u00e3o pr\u00e1tica<\/h2>\n

Chegados aqui, surge o conflito \u00f3bvio. As boas pr\u00e1ticas exigem uma palavra-passe longa, aleat\u00f3ria e diferente para cada servi\u00e7o, e ningu\u00e9m consegue memorizar dezenas dessas. A solu\u00e7\u00e3o n\u00e3o \u00e9 facilitar nas regras, \u00e9 delegar a mem\u00f3ria numa ferramenta feita para isso: o gestor de palavras-passe.<\/p>\n

Um gestor de palavras-passe \u00e9 uma aplica\u00e7\u00e3o que gera, guarda e preenche as suas palavras-passe por si. Tudo o que est\u00e1 l\u00e1 dentro fica protegido por cifragem, e voc\u00ea s\u00f3 precisa de memorizar uma \u00fanica palavra-passe principal, a que abre o pr\u00f3prio gestor. Essa, sim, vale a pena ser uma frase-passe longa e bem escolhida, porque \u00e9 a que protege todas as outras.<\/p>\n

As vantagens s\u00e3o imediatas. Cada conta passa a ter uma palavra-passe longa e verdadeiramente aleat\u00f3ria, gerada pela aplica\u00e7\u00e3o, sem que voc\u00ea precise de a conhecer sequer. Como o gestor preenche os dados apenas no site correto, ganha-se ainda alguma prote\u00e7\u00e3o contra phishing, porque ele n\u00e3o vai oferecer as suas credenciais num endere\u00e7o falso que apenas se parece com o verdadeiro. E a comodidade, ao contr\u00e1rio do que se possa pensar, melhora: deixa de haver palavras-passe esquecidas e recupera\u00e7\u00f5es constantes.<\/p>\n

A obje\u00e7\u00e3o mais comum \u00e9 a de p\u00f4r todos os ovos no mesmo cesto. \u00c9 uma preocupa\u00e7\u00e3o leg\u00edtima, mas a alternativa real, que \u00e9 reutilizar palavras-passe fracas por toda a parte, \u00e9 muito pior. Um bom gestor protege o cofre com cifragem forte, e se lhe acrescentar autentica\u00e7\u00e3o de dois fatores, como veremos a seguir, o conjunto torna-se bastante dif\u00edcil de comprometer.<\/p>\n

Autentica\u00e7\u00e3o de dois fatores: a segunda chave<\/h2>\n

Mesmo a melhor palavra-passe pode acabar exposta, seja por uma fuga, seja por um momento de descuido. \u00c9 para esse cen\u00e1rio que existe a autentica\u00e7\u00e3o de dois fatores, ou 2FA. A ideia \u00e9 exigir, al\u00e9m de algo que voc\u00ea sabe (a palavra-passe), algo que voc\u00ea tem (normalmente o telem\u00f3vel), de modo que conhecer a palavra-passe deixe de ser suficiente para entrar.<\/p>\n

Na pr\u00e1tica, depois de introduzir a palavra-passe, o servi\u00e7o pede um segundo c\u00f3digo. Esse c\u00f3digo pode chegar por mensagem, mas a forma mais segura \u00e9 ger\u00e1-lo numa aplica\u00e7\u00e3o de autentica\u00e7\u00e3o instalada no seu telem\u00f3vel, que produz um n\u00famero novo a cada poucos segundos. Mais seguras ainda s\u00e3o as chaves f\u00edsicas de seguran\u00e7a, pequenos dispositivos que se ligam ao computador ou ao telem\u00f3vel e que tornam o phishing praticamente imposs\u00edvel, porque a chave verifica que est\u00e1 mesmo no site verdadeiro antes de responder.<\/p>\n

O efeito \u00e9 simples e poderoso. Se a sua palavra-passe aparecer numa fuga, o atacante tem metade do que precisa e fica \u00e0 porta, sem o segundo fator que s\u00f3 est\u00e1 consigo. N\u00e3o \u00e9 preciso ativar 2FA em tudo, mas h\u00e1 contas onde \u00e9 praticamente obrigat\u00f3rio: o email, porque \u00e9 por a\u00ed que se recuperam todas as outras palavras-passe, a conta banc\u00e1ria e qualquer servi\u00e7o onde guarde informa\u00e7\u00e3o importante. Comece por essas.<\/p>\n

Juntar tudo<\/h2>\n

A receita de uma boa seguran\u00e7a de palavras-passe cabe em poucas linhas, e nenhuma delas \u00e9 complicada. Use um gestor de palavras-passe e deixe-o gerar uma palavra-passe longa e aleat\u00f3ria para cada servi\u00e7o. Proteja o pr\u00f3prio gestor com uma frase-passe longa, feita de v\u00e1rias palavras sem rela\u00e7\u00e3o entre si, e que s\u00f3 voc\u00ea conhece. Ative a autentica\u00e7\u00e3o de dois fatores nas contas que mais importam, a come\u00e7ar pelo email. E parta do princ\u00edpio de que, mais tarde ou mais cedo, algum site onde se registou vai sofrer uma fuga, de modo que a \u00fanica coisa que isso possa custar-lhe seja a troca de uma palavra-passe nesse \u00fanico s\u00edtio. Quem segue estes passos torna a esmagadora maioria dos ataques comuns in\u00fateis, sem precisar de ser especialista em nada.<\/p>\n

Perguntas frequentes<\/h2>\n

Uma frase de v\u00e1rias palavras \u00e9 mesmo mais segura do que uma palavra-passe curta cheia de s\u00edmbolos?<\/h3>\n

Em geral, sim, desde que as palavras sejam escolhidas ao acaso e a frase seja longa. A seguran\u00e7a vem sobretudo do comprimento e da imprevisibilidade, e uma frase de quatro ou cinco palavras aleat\u00f3rias tem ambos, al\u00e9m de ser muito mais f\u00e1cil de memorizar do que uma sequ\u00eancia curta e ileg\u00edvel.<\/p>\n

Se um site faz hashing da minha palavra-passe, ainda preciso de me preocupar com fugas?<\/h3>\n

Sim. O hashing com sal limita os danos de uma fuga, mas n\u00e3o os elimina, e voc\u00ea n\u00e3o tem forma de saber se cada site o faz corretamente. A defesa que est\u00e1 ao seu alcance, independentemente do que o site fa\u00e7a, \u00e9 usar uma palavra-passe diferente em cada servi\u00e7o, para que uma fuga nunca contamine as restantes.<\/p>\n

Os gestores de palavras-passe s\u00e3o mesmo seguros? N\u00e3o \u00e9 arriscado concentrar tudo num s\u00f3 s\u00edtio?<\/h3>\n

Um bom gestor protege o cofre com cifragem forte e, com autentica\u00e7\u00e3o de dois fatores ativada, torna-se muito dif\u00edcil de comprometer. O risco de o usar \u00e9 bastante menor do que o risco real da alternativa, que \u00e9 reutilizar palavras-passe fracas por toda a parte, deixando dezenas de contas dependentes da seguran\u00e7a do site mais fr\u00e1gil onde se registou.<\/p>\n

\n

Fontes<\/h2>\n