Como as senhas são geradas?
O gerador usa crypto.getRandomValues(), a API criptográfica do navegador. Cada posição é sorteada no conjunto de caracteres escolhido. A amostragem por rejeição evita favorecer alguns caracteres ao transformar números aleatórios em posições desse conjunto. Referência: documentação da API Web Crypto.
Selecionar letras, números ou símbolos permite que eles participem do sorteio; não obriga que cada tipo apareça em todas as combinações. Se um serviço exigir um símbolo específico, confira a senha gerada e gere outra quando necessário.
O que mudam os atalhos?
- Uso geral: 16 caracteres, letras maiúsculas e minúsculas, números e símbolos.
- Sem símbolos: 20 caracteres, letras e números.
- Mais fácil de digitar: 20 caracteres, letras e números, excluindo I, l, 1, O, o e 0.
Todos os controles continuam editáveis. Ao ajustar uma opção, a configuração passa a ser personalizada. Para palavras separadas por hífen, use o gerador de frases-senha: ele sorteia palavras independentemente em uma lista local de 341 entradas, com 10, 12 ou 14 palavras.
Como estimamos o tempo para adivinhar uma senha?
O analisador usa uma cópia local do zxcvbn 4.4.2. A biblioteca estima tentativas considerando padrões como palavras frequentes, repetições e sequências. Acrescentamos termos comuns em português, mas isso não torna a cobertura de nomes e expressões completa. Referência: metodologia do zxcvbn.
O tempo combina essa estimativa de tentativas com um cenário escolhido: 10 bilhões de tentativas por segundo em um ataque offline com hashes rápidos; 10 mil por segundo com hashes mais lentos; ou 100 por hora em um serviço online que limite tentativas. São hipóteses ilustrativas, não medições do serviço onde você usa a senha.
A análise aceita até 128 caracteres e identifica o cenário ao lado do resultado. Se a consulta de vazamentos encontrar a combinação, “Já exposta” substitui o tempo: uma senha conhecida pode ser testada diretamente.
Como verificamos senhas vazadas sem enviar a senha completa?
Ao clicar em “Verificar vazamentos”, calculamos um hash SHA-1 da senha no navegador. Somente seus primeiros cinco caracteres são enviados à API Pwned Passwords. Ela retorna sufixos de hashes com o mesmo prefixo; a comparação com o restante do hash acontece localmente. SHA-1 serve aqui para a consulta, não para guardar senhas. Referência: API do Have I Been Pwned.
A requisição pede uma resposta com preenchimento, não inclui cookies nem o endereço de origem e não ocorre a cada tecla digitada. Editar ou limpar o campo invalida o resultado anterior e cancela a consulta em andamento.
“Não encontrada” significa apenas que a combinação não apareceu nessa base. O serviço não varre toda a internet nem identifica uma conta ou incidente específico. Falhas de rede são exibidas como consulta indisponível.
O que fica local e quais são os limites?
O CHAVE não grava senhas, resultados ou progresso do checklist em cookies ou no armazenamento do navegador. A consulta externa recebe o prefixo do hash, seu IP e dados técnicos da conexão. Ao copiar uma senha, ela vai para a área de transferência, cujas regras de histórico e sincronização dependem do dispositivo.
O analisador não verifica phishing, malware, sessões roubadas ou a segurança de uma plataforma. Uma estimativa longa não equivale a uma garantia. Para suspeitas de exposição, siga o guia de recuperação e proteção das contas. Leia também a política de privacidade.
Como produzimos os conteúdos e casos reais?
Os casos usam relatos técnicos oficiais e investigações públicas, com links e datas para conferência. Indicamos quando uma informação vem da empresa envolvida e distinguimos o relato de nossas lições práticas. Não inventamos personagens, falas ou detalhes para preencher lacunas.
Os guias explicam ações gerais; cada serviço pode ter procedimentos próprios. Esta versão não carrega anúncios ou analytics de terceiros. A metodologia e a política precisam acompanhar qualquer mudança nas ferramentas.
Equipe CHAVE · Revisado em .