Como as senhas são geradas
Cada caractere é escolhido de forma independente e uniforme dentro do conjunto de caracteres que você permitir. A aleatoriedade vem do gerador criptográfico do navegador, crypto.getRandomValues, que se alimenta da fonte de entropia do sistema operacional.
Um detalhe importa mais do que parece. Um número aleatório de 32 bits reduzido com uma operação de resto fica levemente enviesado para os primeiros caracteres do conjunto, porque 2³² não é múltiplo exato do tamanho do conjunto. O gerador descarta os poucos valores que causariam esse viés e sorteia de novo, então cada caractere tem de fato a mesma chance.
Os conjuntos são:
- Minúsculas
a-z: 26 caracteres. - Maiúsculas
A-Z: 26 caracteres. - Dígitos
0-9: 10 caracteres. - Símbolos: 27 caracteres,
!@#$%^&*()-_=+[]{};:,.<>?/~.
Com tudo ativado, o conjunto tem 89 caracteres. A opção "Sem caracteres ambíguos" remove I, l, 1, O e 0, deixando 84.
As senhas existem só na página. Qualquer mudança de opção gera na hora um novo conjunto, e nada é salvo nem enviado.
Como ler o valor de entropia
Entropia é o número de bits que um atacante precisa adivinhar. Para uma senha aleatória, ela é o comprimento multiplicado pelo log₂ do tamanho do conjunto. Cada bit a mais dobra o trabalho.
Alguns valores concretos do medidor:
- 4 dígitos, um PIN: 13 bits.
- 8 letras minúsculas: 38 bits, classificada como Fraca.
- 12 caracteres de todos os conjuntos: 78 bits, Forte.
- 16 caracteres de todos os conjuntos: 104 bits, Excelente.
- 20 caracteres de todos os conjuntos: 130 bits.
Os rótulos mudam em 40, 64 e 100 bits. Para ter uma noção, imagine um atacante que roubou um banco de dados de senhas e consegue testar 10 bilhões de tentativas por segundo contra um hash rápido. Uma senha de 40 bits cai, em média, em menos de dois minutos. Uma de 64 bits leva décadas. Uma de 80 bits leva mais de um milhão de anos.
Comprimento vale mais do que variedade. Acrescentar símbolos a uma senha de 16 caracteres aumenta o conjunto de 62 para 89 caracteres e ganha cerca de 8 bits; acrescentar mais quatro caracteres à mesma senha ganha cerca de 26 bits.
O valor pressupõe que a senha foi gerada aleatoriamente, o que é verdade aqui. Ele não diz nada sobre senhas que você mesmo inventa, em que padrões, nomes e datas deixam a entropia real muito menor.
Quando um site recusa a senha
Os caracteres são escolhidos de forma independente, então não há garantia de que a senha tenha pelo menos um de cada tipo ativado. Com os quatro conjuntos ligados, uma senha de 16 caracteres fica sem nenhum dígito em cerca de 15% dos casos; ficar sem maiúscula ou sem símbolo acontece em bem menos de 1% dos casos. Se um site exige um dígito, basta escolher outra senha de um lote: coloque "Quantas" em 5 ou 10 e pegue uma que cumpra as regras.
Outras recusas comuns:
- Longa demais. Alguns bancos e sistemas antigos limitam o comprimento a 12, 16 ou 20 caracteres. Diminua o controle deslizante até caber.
- Símbolos proibidos. Caracteres como
<,>,;ou/às vezes são bloqueados. Gere algumas e escolha uma sem eles, ou desligue os símbolos e acrescente de 3 a 4 caracteres de comprimento para compensar a entropia perdida. - Digitada à mão. Para senhas de Wi-Fi ou códigos que você lê em voz alta ou digita no controle remoto da TV, ative "Sem caracteres ambíguos" e considere deixar os símbolos de fora.
Como usar bem as senhas geradas
Uma senha forte só ajuda se cada uma for única. É a reutilização que transforma o vazamento de um único site em acesso ao seu e-mail e ao seu banco.
- Guarde as senhas geradas em um gerenciador de senhas, e não em um arquivo de texto ou num app de notas.
- Use 20 caracteres ou mais para a senha mestra e para a conta de e-mail, já que elas destravam todo o resto.
- O texto copiado pode ficar no histórico da área de transferência do dispositivo; limpe-o se outras pessoas usam o mesmo computador.
- Para uma senha que você precisa compartilhar, como a que protege um arquivo feito com criar ZIP, envie-a por um canal diferente do arquivo em si.
Se você precisa passar a senha do Wi-Fi para visitas, um código impresso com o gerador de QR code poupa todo mundo de digitá-la.