Como criar uma palavra-passe forte (e não a esquecer)

Mais letras, mais símbolos ou mais palavras? Faço as contas para perceberes o que realmente protege uma conta e o que é só ruído.

Atualizado em outubro de 2026 · Por Equipa SolveSmart · Informação geral, sem valor de aconselhamento profissional.

O que é que atacam, afinal

Quando se fala em "descobrir uma palavra-passe", imagina-se alguém a tentar adivinhar à mão. Na realidade, o que acontece é muito mais industrial. Quando uma empresa sofre uma fuga de dados, os atacantes ficam com versões cifradas das palavras-passe e tentam milhares de milhões de combinações por segundo até uma bater certo. Quanto mais longa e imprevisível for a tua palavra-passe, mais tempo isso demora, e a partir de certa altura deixa de compensar.

Entropia: a medida do "difícil de adivinhar"

Os especialistas medem a força de uma palavra-passe em bits de entropia. Cada bit duplica o número de tentativas necessárias. Uma palavra-passe de 8 letras minúsculas escolhidas ao acaso tem cerca de 38 bits. Com 8 caracteres de um conjunto de 70 símbolos (letras maiúsculas e minúsculas, números e alguns símbolos), sobe para 49 bits. E com 16 caracteres do mesmo conjunto, passa para 98 bits.

Quanto tempo representa isto? Num cenário pessimista, em que um atacante testa 10 mil milhões de combinações por segundo, os tempos para esgotar todas as possibilidades seriam aproximadamente estes:

Os valores servem para dar a ordem de grandeza, não são previsões exatas. Mas mostram uma lição importante: o comprimento conta mais do que a complexidade. Passar de 8 para 16 caracteres faz o tempo saltar de horas para uma coisa absurdamente maior.

Frases-passe: palavras aleatórias que dá para lembrar

Quem não quer decorar 16 símbolos estranhos pode usar uma frase-passe, que é uma sequência de várias palavras escolhidas ao acaso, como "cadeira-nuvem-tijolo-sorriso-pedra-leme". O truque está na palavra "aleatórias": se escolheres a tua frase preferida de um livro, ou uma citação famosa, perde-se a vantagem, porque os atacantes experimentam frases conhecidas. Seis palavras sorteadas de uma lista grande são fortes e muito mais fáceis de lembrar do que uma salada de símbolos.

O que não funciona

Substituir letras por símbolos, como trocar o "a" por "@" ou o "o" por "0", engana poucos programas, porque estes truques já estão nas listas de tentativas. Usar datas de nascimento, nomes de filhos, animais de estimação ou equipas de futebol também é arriscado, porque é informação que se descobre com facilidade. Acrescentar um número no fim ("Benfica2026!") dá uma sensação de segurança que não corresponde à realidade. E mudar a palavra-passe de três em três meses, só porque sim, leva as pessoas a escolher variações previsíveis, por isso as recomendações modernas aconselham a mudar quando há suspeita de fuga, e não por calendário.

O erro que mais custa: reutilizar

De todas as más práticas, repetir a mesma palavra-passe em vários sítios é a pior. Basta que um site pequeno seja comprometido para que o atacante teste o mesmo email e palavra-passe no teu banco, no email e nas redes sociais. É por isso que cada serviço deve ter a sua. Se uma conta for comprometida, as outras ficam seguras.

Gestor de palavras-passe: a solução prática

Ter dezenas de palavras-passe longas e diferentes só é possível com ajuda. Um gestor de palavras-passe guarda tudo cifrado e só te obriga a lembrar uma palavra-passe principal, que deve ser uma frase-passe forte. Vários navegadores e telemóveis têm gestores integrados, e há opções independentes, algumas gratuitas. Preenchem os campos por ti e ainda avisam quando uma palavra-passe está repetida ou apareceu numa fuga de dados.

Verificação em dois passos

Mesmo a melhor palavra-passe pode ser roubada por phishing, isto é, por um site falso que se parece com o verdadeiro. A verificação em dois passos acrescenta uma camada: além da palavra-passe, o serviço pede um código gerado numa aplicação, uma chave de segurança física ou uma confirmação no telemóvel. Os códigos por SMS são melhores do que nada, mas as aplicações e as chaves de segurança são mais fortes. Ativa pelo menos nas contas de email, banco e redes sociais, porque quem controla o teu email consegue repor as outras palavras-passe.

Como saber se já foste afetado

Existem serviços que permitem verificar se o teu email apareceu em fugas de dados conhecidas, como o Have I Been Pwned. Se aparecer, muda a palavra-passe desse serviço, e de qualquer outro onde a tenhas usado, e ativa a verificação em dois passos. Não é motivo de pânico, porque as fugas são muito frequentes, mas é um bom sinal para reforçar a segurança.

Como usar o gerador

As perguntas de segurança

Algumas contas pedem respostas a perguntas como "qual era o nome do teu primeiro animal?". O problema é que essas respostas se descobrem com facilidade nas redes sociais ou numa pesquisa rápida. Uma boa prática é tratá-las como uma segunda palavra-passe: inventa uma resposta aleatória, que não tenha relação com a pergunta, e guarda-a no teu gestor. Assim, mesmo que alguém saiba o nome do teu primeiro animal, não consegue entrar na conta.

O router de casa e os dispositivos novos

É frequente esquecermo-nos dos dispositivos que vêm com palavra-passe de fábrica, como o router do Wi-Fi, as câmaras de vigilância ou a televisão. As palavras-passe de fábrica são conhecidas e muitas vezes iguais em milhares de aparelhos, por isso devem ser mudadas logo na instalação. No router, convém escolher também um tipo de segurança moderno e uma palavra-passe longa para o Wi-Fi, que podes partilhar com visitantes usando um QR Code.

Chaves de acesso: o futuro sem palavras-passe

As chaves de acesso, conhecidas em inglês como passkeys, são uma alternativa em crescimento. Em vez de escreveres uma palavra-passe, confirmas a tua identidade com a impressão digital, o rosto ou o código do telemóvel, e o serviço reconhece o dispositivo. Como não há nada para roubar nem para adivinhar, resistem ao phishing. Cada vez mais serviços as suportam, e quando tiveres essa opção, vale a pena experimentar, mantendo uma alternativa de recuperação.

O nosso gerador de palavras-passe cria combinações aleatórias no teu navegador, com o gerador criptográfico do sistema, e nada é enviado para servidores. Escolhe um tamanho de pelo menos 14 caracteres, copia a palavra-passe para o teu gestor e não a guardes em papéis soltos nem em notas sem proteção. Para outros códigos úteis no dia a dia, vê o guia sobre como criar um QR Code que funciona.

Perguntas frequentes

Quantos caracteres deve ter uma palavra-passe?

Pelo menos 14 para contas importantes. O comprimento conta mais do que a complexidade.

O que é uma frase-passe?

Uma sequência de várias palavras escolhidas ao acaso, mais fácil de lembrar do que símbolos aleatórios e igualmente forte se for longa.

Devo mudar as palavras-passe todos os meses?

Não é necessário. Muda quando houver suspeita de fuga ou de acesso indevido, e usa uma palavra-passe diferente em cada serviço.

É seguro guardar palavras-passe num gestor?

Sim, se escolheres um gestor fiável e uma palavra-passe principal forte, com verificação em dois passos ativada.

O que é a verificação em dois passos?

Uma camada extra de segurança: além da palavra-passe, o serviço pede um código de uma aplicação, uma chave física ou uma confirmação no telemóvel.