Regras de senha que deixam sistemas menos seguros

Regras rígidas de senha podem parecer seguras enquanto fazem as pessoas escolherem senhas mais fracas. O problema não é ter política. O problema é otimizar regras que humanos contornam de forma previsível.

Uma boa política deve incentivar segredos longos, únicos e difíceis de adivinhar — sem forçar padrões que atacantes já esperam.

Regras de composição criam padrões

Exigências como “uma maiúscula, um número, um símbolo” costumam produzir senhas previsíveis:

• Summer2026!
• CompanyName1!
• Password123!

Atacantes conhecem esses padrões. Uma passphrase longa ou senha gerada costuma ser melhor que uma senha curta que satisfaz um checklist de composição.

Rotação forçada frequente sai pela culatra

Obrigar troca de senha a cada poucas semanas leva a edições pequenas:

• ProjectMay!1
• ProjectJun!1
• ProjectJul!1

Rotação faz sentido após comprometimento ou mudança de papel. Rotação rotineira sem evidência incentiva reutilização e sequências previsíveis.

Tamanho máximo pode ser perigoso

Tamanho mínimo importa. O máximo deve ser generoso. Um teto baixo bloqueia saída de gerenciador de senhas e passphrases.

Se o sistema trunca senhas em silêncio, pior ainda. O usuário pode achar que definiu um segredo enquanto o sistema armazena outro.

Bloquear colar prejudica gerenciadores de senha

Desabilitar colar em campos de senha dificulta usar senhas fortes geradas. Empurra as pessoas para senhas curtas e memoráveis.

Gerenciadores de senha fazem parte do modelo de segurança hoje. A política deve apoiá-los, não combatê-los.

Padrões melhores

Prefira regras que ajudem a escolher segredos únicos:

• Exija tamanho mínimo razoável.
• Permita senhas e passphrases longas.
• Permita colar.
• Verifique contra senhas vazadas conhecidas.
• Ofereça autenticação multifator.
• Incentive gerenciadores de senha.

Use o Gerador de senhas para segredos de teste e exemplos de passphrase — e lembre que o armazenamento ainda precisa de esquema adequado de hash de senha.

O objetivo da política

O objetivo não é fazer a senha parecer complexa. É torná-la difícil de adivinhar, difícil de reutilizar por acidente e simples o bastante para o usuário lidar com segurança.