Ferramentas populares

Tema

Testador de Força de Senha

Veja quanto tempo sua senha levaria para ser quebrada, ataque por ataque, quais padrões a denunciam e se ela já apareceu num vazamento de dados. Este testador de senhas é um verificador que nunca envia a sua senha: só 5 caracteres do hash dela saem do seu dispositivo.

Estimativa de padrões: zxcvbn-ts, corrigido · velocidade dos ataques: benchmarks do hashcat · dados de vazamentos: Have I Been Pwned · nada é salvo
Verificada neste navegador
Cada parte que um atacante tentaria adivinhar aparece aqui:
  • Senha comum
  • Palavra
  • Nome
  • Ano
  • Teclado
  • Repetição
  • Aleatório

Testada no seu navegador. Só os primeiros 5 dos 40 caracteres do hash SHA-1 dela saem daqui, para a verificação de vazamentos.

Teste

Em quanto tempo ela cairia?

Digite ou cole uma senha: o veredito se atualiza enquanto você digita.

Bits que o atacante precisa adivinhar
0128

O que ele verifica

  • Padrões que os atacantes testam primeiro: 49.233 senhas comuns, palavras e nomes, anos, sequências de teclado, repetições e trocas por caracteres parecidos.
  • Vazamentos de dados: cerca de 2,07 bilhões de senhas vazadas no Have I Been Pwned, por k-anonimato.
  • Oito ataques, de uma página de login que bloqueia após 100 tentativas a hashes NTLM em 100 placas de vídeo.

Quão segura é minha senha?

Tão segura quanto o número de tentativas de que um atacante precisa para chegar a ela, e os atacantes testam as senhas prováveis primeiro: senhas comuns, palavras e nomes, anos, sequências de teclado e letras trocadas, muito antes de sequências aleatórias. O testador conta essas tentativas.

Ele divide o que você digita nas peças que os atacantes testam, como Summer + 2026 + !, avalia cada peça pelo número de tentativas que ela exige e soma o caminho mais barato para montar a senha inteira. O motor é o zxcvbn-ts, o estimador de código aberto que a OWASP indica, com listas de palavras em inglês e do idioma da página, quando existe.

Corrigimos os dois pontos em que o estimador original erra na ponta forte: ele avalia uma senha realmente aleatória de 12 caracteres em cerca de 10¹² tentativas em vez de cerca de 10²⁴, e uma frase-senha de seis palavras em bilhões de vezes a mais do que vale. Trechos aleatórios agora são avaliados pelos caracteres que usam, e frases-senha pelo esquema que as criou.

Maiúsculas, dígitos e símbolos são mostrados, mas um tipo ausente nunca conta contra você: o NIST abandonou essas regras porque elas produzem senhas previsíveis como Password1! (NIST SP 800-63B-4). Os primeiros 64 caracteres são analisados; o que passar disso está além de qualquer adivinhação, a menos que seja uma frase conhecida, e a verificação de vazamentos ainda vê tudo.

Summer2026!

  1. SummerPalavra do dicionárioUma estação do ano, com a inicial maiúscula do jeito de sempre: 50 tentativas
  2. 2026!AleatórioCinco caracteres sem nenhum padrão encontrado: 100.000 tentativas
0128

FracaCerca de 10 milhões de tentativas: FracaVazadaEm dados de vazamentos 45 vezes: Vazada

Os padrões, não os tipos de caractere, decidem: 11 caracteres de quatro tipos, adivinhados em segundos quando uma lista de hashes vaza.
Testador de força de senha: os padrões que enfraquecem a senha, o tempo para quebrá-la em 8 ataques e vazamentosTestador de força de senha: os padrões que enfraquecem a senha, o tempo para quebrá-la em 8 ataques e vazamentosA classificaçãoDe Muito fraca a Muito forte, pelas tentativas de que um atacante precisa, ou Vazada quando a senha está em dados de vazamentos.Onde ela é fracaA senha dividida nos padrões que os atacantes testam, cada um com o motivo de ser barato de adivinhar.Tempo para quebrarQuanto tempo cada um dos oito ataques levaria, em uma placa de vídeo ou em cem.Verificação de vazamentosSe o Have I Been Pwned já a viu, e os 5 caracteres do hash dela que foram enviados.
Uma senha inventada testada: a classificação, os padrões que a denunciam, o tempo que cada ataque levaria e a verificação de vazamentos. Selecione um número para ver o que cada parte mostra.

Quanto tempo levaria para quebrar minha senha?

Depende do ataque: a mesma senha pode resistir por anos a uma página de login que limita tentativas e cair em menos de um segundo quando um site vaza hashes mal armazenados. O testador dá o tempo para quebrar em oito ataques nomeados, em uma placa de vídeo ou em cem.

O tempo para quebrar uma senha é o número de tentativas de que ela precisa dividido pela velocidade do atacante. Online, os atacantes tentam pela página de login: 100 tentativas por hora onde o site bloqueia falhas repetidas (o NIST permite no máximo 100 seguidas), 10 por segundo onde não bloqueia. Offline, após o vazamento de um banco de dados, eles tentam contra os hashes armazenados em placas de vídeo, e a velocidade depende de como o site os armazenou.

Uma RTX 5090 testa 340,1 bilhões de hashes NTLM por segundo (Windows), 220,6 bilhões de MD5 e 70,2 bilhões de SHA-1, mas só cerca de 9.500 de bcrypt com custo 10 e 1,48 milhão de sha512crypt do Linux (benchmarks do hashcat). O Argon2id com 64 MiB de memória roda a 1.699 por segundo numa RTX 4090 (hashcat). Essa diferença é o motivo de a OWASP pedir que os sites armazenem senhas com Argon2id ou bcrypt.

Cada tempo é uma média: para uma senha aleatória, metade de todas as possibilidades. Um teste de força de senha só é tão honesto quanto o ataque que presume, então cada linha nomeia um; atacantes reais também usam listas e regras antes da força bruta, que é o que a estimativa de padrões modela. Phishing e keyloggers dispensam qualquer adivinhação.

Online, tentativas limitadasOnline, sem limiteVazado, Argon2id*Vazado, bcryptVazado, sha512crypt do LinuxVazado, SHA-1Vazado, MD5Vazado, NTLM
PIN de 6 dígitos105,7208 dias14 horas5 minutos52 segundosmenos de um segundomenos de um segundomenos de um segundomenos de um segundo
Summer2026!, só pelos padrões107,011 anos12 dias2 horas17 minutos7 segundosmenos de um segundomenos de um segundomenos de um segundo
8 caracteres aleatórios1015,12 bi anos4 mi anos26 mil anos5 mil anos30 anos6 horas2 horas1 hora
4 palavras aleatórias1015,32 bi anos6 mi anos34 mil anos6 mil anos39 anos7 horas2 horas1 hora
12 caracteres aleatórios1023,210¹⁷ anos10¹⁴ anos10¹² anos554 bi anos4 bi anos75 mil anos24 mil anos16 mil anos
6 palavras aleatórias1023,010¹⁷ anos10¹⁴ anos10¹² anos368 bi anos2 bi anos50 mil anos16 mil anos10 mil anos
16 caracteres aleatórios1031,210²⁵ ano10²² ano10²⁰ ano10¹⁹ ano10¹⁷ anos10¹² anos10¹² anos10¹² anos
Qualquer senha em dados de vazamentos109,32 mil anos7 anos14 dias3 dias23 minutosmenos de um segundomenos de um segundomenos de um segundo
Online, tentativas limitadasOnline, sem limiteVazado, Argon2id*Vazado, bcryptVazado, sha512crypt do LinuxVazado, SHA-1Vazado, MD5Vazado, NTLM
PIN de 6 dígitos105,7208 dias14 horas3 segundosmenos de um segundomenos de um segundomenos de um segundomenos de um segundomenos de um segundo
Summer2026!, só pelos padrões107,011 anos12 dias59 segundos10 segundosmenos de um segundomenos de um segundomenos de um segundomenos de um segundo
8 caracteres aleatórios1015,12 bi anos4 mi anos262 anos47 anos110 dias3 minutos1 minuto41 segundos
4 palavras aleatórias1015,32 bi anos6 mi anos341 anos61 anos143 dias4 minutos1 minuto54 segundos
12 caracteres aleatórios1023,210¹⁷ anos10¹⁴ anos31 bi anos6 bi anos36 mi anos752 anos239 anos155 anos
6 palavras aleatórias1023,010¹⁷ anos10¹⁴ anos21 bi anos4 bi anos24 mi anos499 anos159 anos103 anos
16 caracteres aleatórios1031,210²⁵ ano10²² ano10¹⁸ ano10¹⁷ anos10¹⁵ anos69 bi anos22 bi anos14 bi anos
Qualquer senha em dados de vazamentos109,32 mil anos7 anos3 horas36 minutos14 segundosmenos de um segundomenos de um segundomenos de um segundo
Tempos médios. Velocidades: benchmarks do hashcat em uma RTX 5090; Argon2id em uma RTX 4090. Ataques reais testam listas e regras antes da força bruta. * Argon2id: medido em uma RTX 4090 (ainda não há benchmark publicado para a RTX 5090).

Minha senha é segura? O que significa cada classificação

Sua senha é segura contra adivinhação se for classificada como Muito forte, ou Forte num site que armazena senhas com um hash lento, e nunca tiver aparecido num vazamento. Vazada se sobrepõe a todo o resto.

Cada classificação é uma faixa de tentativas, definida pelo tempo que ataques reais levam para cobri-la. Muito forte exige 10²¹ tentativas ou mais: nenhuma placa de vídeo sozinha a encontra em um século, nem contra NTLM.

Tentativas de que o atacante precisa
Vazada
  1. PIN de 6 dígitos
  2. Summer2026!
  3. 8 caracteres aleatórios
  4. 4 palavras aleatórias
  5. 6 palavras aleatórias
  6. 12 caracteres aleatórios
  7. 16 caracteres aleatórios
Muito fracaFracaRazoávelForteMuito forte
  1. Login com bloqueio
  2. Login aberto
  3. Argon2id
  4. bcrypt
  5. sha512crypt
  6. SHA-1
  7. MD5
  8. NTLM

▲: um ano em uma placa de vídeo

Vazada fica fora da escala: uma senha vazada está nas listas dos atacantes, qualquer que seja o tamanho.
ClassificaçãoTentativas necessáriasO que resiste
VazadaEm dados de vazamentosNada: os atacantes testam senhas vazadas primeiro. Troque-a em todo lugar em que a usa.
Muito fracaMenos de 10⁴A adivinhação online a encontra em até 17 minutos, mesmo a 10 tentativas por segundo.
Fraca10⁴ a 10⁸Um site que bloqueia após 100 falhas, mas não um sem limite; após um vazamento, no máximo 16 horas.
Razoável10⁸ a 10¹⁴Adivinhação online por meses a milênios; após um vazamento, de horas a 333 anos contra bcrypt, mas menos de 10 minutos contra MD5 ou NTLM.
Forte10¹⁴ a 10²¹Após um vazamento: de 333 a 3 bilhões de anos contra bcrypt, mas de 5 minutos a 93 anos contra NTLM, em uma placa de vídeo.
Muito forte10²¹ ou maisNenhuma placa de vídeo sozinha a encontra em um século, nem contra NTLM, o hash mais rápido de quebrar.

O que faz uma senha ser forte?

Tamanho e aleatoriedade: pelo menos 15 caracteres se só a senha protege a conta, criada por um gerador ou a partir de palavras aleatórias, usada em uma única conta e nunca encontrada num vazamento. Símbolos, maiúsculas e trocas regulares não são mais exigidos.

Esse é o conjunto de regras do NIST SP 800-63B-4, o padrão dos EUA revisado em julho de 2025: 15 caracteres com fator único e 8 com um segundo fator, ao menos 64 aceitos, quaisquer caracteres, inclusive espaços e emojis, sem regras de composição, sem trocas forçadas, e toda senha nova conferida contra as vazadas e as comuns.

A CISA, agência de cibersegurança dos EUA, pede ao menos 16 caracteres ou uma frase-senha de quatro a sete palavras sem relação entre si, e o NCSC do Reino Unido sugere três palavras aleatórias. Os três colocam o tamanho em primeiro lugar.

Trocar letras por dígitos parecidos não ajuda: os atacantes conhecem o → 0 e a → @, e as testam cedo (NCSC). O gerador de senhas cria senhas que cumprem todas as regras.

NIST SP 800-63B-4o que o padrão diz · o que o testador faz
  • Pelo menos 15 caracteres, ou 8 com um segundo fatorTamanho conferido com 15
  • Aceitar pelo menos 64 caracteresAté 256 aceitos, os primeiros 64 analisados
  • Quaisquer caracteres, inclusive espaços e emojisContados em caracteres: um emoji conta como um
  • Sem regras como "deve conter um símbolo"Um tipo ausente nunca é marcado como problema
  • Sem trocas forçadas; trocar após um comprometimentoVazada avisa quando é hora
  • Bloquear senhas comuns e vazadasConferida no Have I Been Pwned
  • Permitir colar e gerenciadores de senhasColar funciona e dispara a verificação de vazamentos
NIST SP 800-63B-4, seção 3.1.1.2, o padrão dos EUA para senhas desde julho de 2025.

Entropia de senha: por que P@ssw0rd e Tr0ub4dor&3 falham

A entropia conta as senhas possíveis que um atacante teria de testar, o que só faz sentido para uma senha sorteada ao acaso. Contada por tipos de caractere, P@ssw0rd marca cerca de 52 bits e Tr0ub4dor&3 cerca de 72; as duas estão em dados de vazamentos, milhares a milhões de vezes.

Uma calculadora de entropia de senha multiplica o tamanho pelos bits de cada tipo de caractere presente, como se cada caractere tivesse sido escolhido ao acaso. Uma pessoa nunca faz isso: P@ssw0rd é a palavra "password" com duas trocas conhecidas, e o Have I Been Pwned já a viu 6.421.042 vezes. Por isso o NIST baseia suas regras no tamanho: a entropia não pode ser calculada para senhas que as pessoas escolhem (NIST SP 800-63B-4, Apêndice A).

Tr0ub4dor&3, exemplo do xkcd de senha difícil de memorizar, é uma palavra do dicionário com letras trocadas, um símbolo e um dígito: cerca de um milhão de tentativas depois de desfeitas as trocas, Fraca por si só e Vazada, de fato, com 3.196 aparições.

Para uma senha aleatória as duas contagens coincidem, e o gerador de senhas mostra os bits exatos dela. O testador informa tentativas: 10ˣ tentativas equivalem a 3,32 × x bits.

  • Por tipos de caractere
  • Por padrões
  • Em dados de vazamentos
  1. P@ssw0rd52,6 bits5,0 bits6.421.042 vezes
  2. Tr0ub4dor&372,3 bits62,2 bits3.196 vezes
  3. 12 caracteres aleatórios78,8 bits78,8 bitsNão encontrada
Tipos de caractere presumem que todo caractere foi aleatório. Só na senha aleatória as duas contagens coincidem.

Minha senha vazou? Uma verificação privada no Have I Been Pwned

O testador confere a senha exata no Pwned Passwords do Have I Been Pwned, cerca de 2,07 bilhões de senhas de vazamentos de dados, sem enviá-la: só os primeiros 5 dos 40 caracteres do hash SHA-1 dela saem do seu navegador, e vão para o nosso servidor, não para o Have I Been Pwned.

Seu navegador calcula o hash SHA-1 da senha e envia os primeiros 5 caracteres, como 21BD1. Cerca de 2.000 hashes do banco de dados começam com esses 5; a resposta lista todos com suas contagens, e seu navegador procura os outros 35 caracteres nessa lista. Isso é k-anonimato, projeto do próprio Have I Been Pwned (HIBP): quem vê os 5 caracteres não sabe qual dos 2.000 você tem.

Nosso servidor consulta o Have I Been Pwned em seu nome, então ele nunca vê o seu endereço IP, completa cada resposta com 100 a 300 linhas falsas para que o tamanho não revele nada e não registra o prefixo. A verificação roda quando você sai do campo, aperta Enter ou cola, nunca a cada tecla: um prefixo por letra digitada poderia revelar a senha, e por isso o Have I Been Pwned desaconselha isso (HIBP).

A contagem é de aparições, não de vazamentos: Tr0ub4dor&3 foi vista 3.196 vezes. Os 2,07 bilhões são uma medição nossa, já que o Have I Been Pwned não publica um total atual: 256 prefixos aleatórios continham 1.971 hashes cada, em média (23 de outubro de 2026).

Seu navegador

••••••••

SHA-1 da senha

21BD12DC183F740EE76F27B78EB39C8AD972A757

Enviado: os primeiros 5 caracteres · Guardado: os outros 35

Comparado no seu navegador

…2DC183F74…:6.421.042

Vista 6.421.042 vezes

dnsrobot.net

21BD1

+ 100 a 300 linhas falsas

Não registrado

Cerca de 2.000 hashes que começam com 21BD1

Have I Been Pwned

/range/21BD1

Vê o nosso servidor, nunca você

k-anonimato: quem vê os 5 caracteres não sabe qual das cerca de 2.000 senhas você tem.

O que fazer se sua senha estava num vazamento

Pare de usá-la: troque primeiro a da sua conta de e-mail, depois a de todo site em que usou a mesma senha ou uma parecida, sempre por uma nova e aleatória, e ative o login em duas etapas onde for oferecido.

Uma senha vazada está nas listas que os atacantes testam primeiro, então a força dela deixa de contar: percorrer a lista inteira de 2,07 bilhões leva menos de um segundo numa placa de vídeo contra hashes NTLM ou MD5 e cerca de 2,5 dias contra bcrypt. Por isso o NIST exige que os sites rejeitem senhas vazadas e façam você trocar uma que foi comprometida (NIST SP 800-63B-4).

O e-mail vem primeiro porque pode redefinir todas as outras contas. O gerador de senhas dá a cada conta a sua própria senha, e um gerenciador de senhas lembra todas. Um resultado positivo não significa que sua conta foi invadida: a lista guarda a própria senha, de quem a usou.

Nem uma senha forte e única impede phishing ou um keylogger, que a capturam enquanto você digita (NIST SP 800-63B-4). Confira para onde um link realmente leva antes de entrar, e confira o remetente real de um e-mail suspeito com o analisador de cabeçalho de e-mail.

  1. 1Troque primeiro a do seu e-mailO e-mail pode redefinir todas as outras contas.
  2. 2Depois em todo lugar em que a repetiuCada conta recebe a sua própria senha gerada.
  3. 3Ative o login em duas etapasUma senha roubada, sozinha, não entra mais.
  4. 4Guarde-as num gerenciador de senhasEle lembra cada uma e a preenche.

Força de senha: perguntas e respostas

É seguro digitar minha senha de verdade aqui?

A senha fica no seu navegador. A estimativa roda no seu dispositivo, e a verificação de vazamentos envia só os primeiros 5 dos 40 caracteres do hash SHA-1, quando você sai do campo, aperta Enter ou cola. Nada é salvo nem registrado, e o corretor ortográfico fica desligado no campo. Se ainda assim preferir não digitar, teste uma senha criada do mesmo jeito.

Isto é o mesmo que a verificação de senhas do Have I Been Pwned?

Usa os mesmos dados, o Pwned Passwords do Have I Been Pwned, e a mesma busca por faixa com k-anonimato. Três coisas mudam: a requisição passa pelo nosso servidor, então o Have I Been Pwned nunca vê o seu endereço IP; ela roda quando você termina de digitar, nunca a cada tecla; e um resultado positivo muda a classificação para Vazada, em vez de ficar ao lado de uma nota de força.

O que significa "vista 3.196 vezes"?

É a frequência com que aquela senha exata aparece nos dados de vazamentos do Have I Been Pwned: 3.196 aparições para Tr0ub4dor&3. Não é o número de vazamentos nem de contas, e não significa que sua conta foi invadida: a lista guarda a senha, não quem a usou. Qualquer contagem acima de zero coloca uma senha nas listas que os atacantes testam primeiro.

Como o verificador de senhas calcula o tempo para quebrar?

Ele divide as tentativas de que um atacante precisaria em média pela velocidade de cada ataque. As tentativas vêm da estimativa de padrões; as velocidades são benchmarks publicados do hashcat para uma RTX 5090 (uma RTX 4090 para Argon2id), e 100 placas de vídeo dividem o tempo por 100. Atacantes reais testam listas e regras antes da força bruta, o que a estimativa de padrões modela.

Por que outro verificador de força de senha dá uma resposta diferente?

A maioria conta tipos de caractere e não diz que ataque presume. Quando testamos nove verificadores populares em 23 de outubro de 2026, seis apresentaram Tr0ub4dor&3 como segura, com tempos para quebrar de 4 meses a 2.000 anos, embora ela esteja em dados de vazamentos 3.196 vezes. Este nomeia cada ataque, avalia os padrões que os atacantes testam primeiro e deixa um vazamento se sobrepor à classificação.

Isto é uma calculadora de entropia de senha?

Na prática, sim: estima quantas tentativas uma senha exige, e 10ˣ tentativas valem cerca de 3,32 × x bits. Ao contrário de uma calculadora de entropia de senha que conta tipos de caractere, ele procura padrões primeiro: por tipos, P@ssw0rd marca cerca de 52 bits, mas está em dados de vazamentos 6,4 milhões de vezes. Para uma senha aleatória os dois coincidem, e o gerador mostra os bits exatos.

Por que minha senha longa é classificada como fraca?

O tamanho só ajuda quando os caracteres são imprevisíveis. Letras repetidas, sequências de teclado como qwertyuiop, uma frase famosa ou um verso de música estão entre as primeiras coisas que os atacantes testam: aaaaaaaaaaaaaaaa tem 16 caracteres e é classificada como Muito fraca. Uma senha longa também pode estar em dados de vazamentos, o que a classifica como Vazada: correcthorsebatterystaple aparece 4.173 vezes.

Preciso de símbolos, números e letras maiúsculas?

Não para a força. As regras atuais do NIST dizem aos sites para pararem de exigi-los, porque levam a escolhas previsíveis como Password1!, e o testador nunca marca um tipo ausente como problema. Tamanho e aleatoriedade importam muito mais: 20 letras minúsculas aleatórias (94 bits) superam 12 caracteres aleatórios de todos os tipos (78 bits). Alguns sites ainda insistem, então o gerador pode incluí-los.

Quanto tempo leva para quebrar uma senha de 8 caracteres?

Uma aleatória, entre os 94 caracteres do teclado: cerca de 2 horas em uma RTX 5090 se o site a armazenou como hash NTLM, 4 horas como MD5 e uns 10.000 anos com bcrypt de custo 10. Uma senha de 8 caracteres escolhida por uma pessoa, como uma palavra e um ano, cai em menos de um segundo contra esses hashes rápidos e em algumas horas contra bcrypt.

Uma senha forte ainda pode ser hackeada?

Pode, porque a força mede só a adivinhação. Páginas de phishing, keyloggers e malware capturam a senha enquanto você a digita, por mais longa que seja, e uma senha repetida num site que vazou é testada nas suas outras contas. Use uma senha diferente em cada site, ative o login em duas etapas e confira para onde um link realmente leva antes de entrar.

Por que uma senha que parece forte aparece como Vazada?

Porque ela está em dados de vazamentos, e os atacantes testam essas senhas antes de qualquer outra. Percorrer a lista inteira de cerca de 2,07 bilhões leva menos de um segundo numa placa de vídeo contra hashes MD5 ou NTLM e alguns dias contra bcrypt, então a complexidade deixa de protegê-la. O NIST exige que os sites rejeitem senhas vazadas pelo mesmo motivo. Vazada se sobrepõe a qualquer outra classificação.

Por que a verificação de vazamentos não roda enquanto eu digito?

Porque uma verificação a cada tecla enviaria um prefixo novo para cada letra, e essa série de prefixos poderia revelar a senha a quem observasse o tráfego. O Have I Been Pwned aconselha esperar até a senha inteira ser digitada, então o testador verifica quando você sai do campo, aperta Enter ou cola. A classificação de força continua se atualizando enquanto você digita.

Ferramentas relacionadas