Quanto tempo sua senha resistiria a um ataque e o que exatamente a deixa fraca
Runs in your browser. Only the lookup you start is sent to api.pwnedpasswords.com; nothing else leaves your device.Força não tem a ver com símbolos, e sim com quantas tentativas um atacante precisaria. Esta ferramenta estima quanto tempo a sua resistiria, aponta o padrão que a enfraquece e mostra o que 4 caracteres a mais realmente acrescentam. Sua senha é verificada dentro do navegador.
Esta página foi traduzida automaticamente do original em inglês. Nenhuma pessoa revisou ainda a tradução; a versão em inglês é a que deve ser considerada. Ler o original em inglês
Digite ou cole a senha em Senha para testar; clique em Mostrar se quiser ver os caracteres.
Leia o medidor de força e o cartão Tempo para quebrar, que estimam quanto tempo um atacante precisaria.
Adicione seu nome, seu e-mail ou o site em Palavras para penalizar, para que senhas feitas a partir deles tenham nota menor.
Clique em Verificar vazamentos para buscar na lista do Have I Been Pwned; só 5 dos 40 caracteres do hash são enviados.
Siga a lista O que corrigir e clique em Copiar relatório para guardar o resultado.
Este verificador dá à sua senha uma nota de 0 a 4 e diz quanto tempo ela resistiria a quatro ataques reais: tentativas contra um login com e sem limite, e a quebra de um hash roubado guardado com um algoritmo lento ou rápido. Ele aponta os padrões que deixam uma senha fraca, como palavras de dicionário, sequências de teclado, datas e repetições, e diz o que mudar.
As pessoas o usam antes de definir uma senha mestra ou uma chave de Wi-Fi, ou para mostrar a um colega por que Summer2024! é uma má ideia mesmo cumprindo todas as exigências de um formulário de cadastro. Ele também pega problemas que os formulários ignoram: espaços no início ou no fim que alguns sites removem, e senhas com mais de 72 bytes, que o bcrypt corta sem avisar.
A nota usa o zxcvbn-ts com dicionários em inglês e de senhas comuns, rodando no seu navegador. A senha nunca é guardada, registrada ou enviada. As palavras que você adiciona à lista de penalização, como seu nome, também ficam na página.
A verificação opcional de vazamentos é o único recurso deste site que faz uma chamada de rede com algo derivado do que você digita, por isso ela fica desligada até você clicar. Seu navegador calcula o hash SHA-1 da senha e envia só os cinco primeiros dos seus quarenta caracteres ao Have I Been Pwned. O serviço devolve todos os hashes vazados que começam com esses cinco caracteres, várias centenas, e a comparação é feita aqui. Nem o serviço nem quem observa a conexão fica sabendo a senha, nem mesmo o hash completo.
Um resultado forte não é permissão para reutilizar. Gere uma senha diferente para cada site com o Password Generator e guarde-as em um gerenciador de senhas.
Aqui, sim. A nota é calculada no seu navegador e a senha nunca é enviada, guardada ou registrada. Só a verificação opcional de vazamentos contata outro servidor, e ela envia apenas cinco caracteres de um hash de mão única, nunca a senha. Se ainda assim preferir não fazer isso, teste uma senha montada do mesmo jeito que a sua.
O zxcvbn estima quantas tentativas precisaria um atacante que conhece senhas comuns, palavras, nomes, datas e padrões de teclado. Esse número é dividido por quatro ritmos de tentativa: 100 por hora para um login com limite, 10 por segundo para um sem limite, 10.000 por segundo para um hash bcrypt roubado e 10 bilhões por segundo para um hash MD5 ou SHA-1 roubado.
A verificação usa k-anonimato. Seu navegador calcula o hash SHA-1 da senha e envia só os 5 primeiros dos 40 caracteres hexadecimais ao Have I Been Pwned. O serviço responde com todos os hashes vazados que começam com esses caracteres, normalmente de 800 a 1.000, e esta página procura o seu nessa lista. A verificação fica desligada até você clicar.
Porque os atacantes testam as trocas que as pessoas fazem. P@ssw0rd2024! é uma palavra de dicionário com trocas previsíveis, um ano e um símbolo no fim, algo que as ferramentas de quebra testam em segundos. Tamanho e imprevisibilidade importam muito mais que símbolos: quatro palavras aleatórias vencem uma senha curta cheia de caracteres especiais.
Um 4, muito forte, para seu e-mail, gerenciador de senhas e banco, já que eles dão acesso a todo o resto. Nota 3 é aceitável para contas que limitam as tentativas de login. Qualquer coisa com nota de 0 a 2 pode ser adivinhada ou quebrada rapidamente quando um site sofre vazamento, então troque e não reutilize.
O bcrypt, uma das formas mais comuns de os sites guardarem senhas, lê só os primeiros 72 bytes. O que vem depois é ignorado, então uma senha mais longa não ganha nada nesses sites. A maioria dos caracteres ocupa um byte, mas letras acentuadas ocupam dois e hindi ou emoji três ou quatro, então o limite chega antes do que a contagem de caracteres sugere.
Ainda com dúvidas? Pergunte sobre Verificador de força de senha e qualquer pessoa que saiba pode responder. Não é preciso ter conta.