Senha forte em 2026: como criar (com crypto) e onde guardar com segurança

"Use senha forte" é o conselho mais repetido e menos seguido da internet. O problema: até 2024, a maioria dos sites exigia regras absurdas (8 chars, 1 maiúscula, 1 número, 1 símbolo, expirar a cada 90 dias) — e os usuários respondiam com "Senha123!" + variações incrementais. Em 2026, o NIST SP 800-63B reverteu muitas dessas regras: o que importa é comprimento e aleatoriedade, não símbolos ou expiração forçada. Neste guia do kitsapp. eu mostro como criar senhas realmente fortes usando crypto.getRandomValues (CSPRNG do navegador), as regras oficiais do NIST 2026, como sites devem armazenar com bcrypt ou Argon2, e onde guardar suas senhas (gerenciador como 1Password, Bitwarden ou KeePassXC) — além do Gerador de Senha 100% client-side do kitapp.

1. Por que "senha forte" mudou em 2026: novas regras do NIST

O NIST Special Publication 800-63B é o documento oficial dos EUA (e referência mundial) para autenticação digital. Em 2024 (versão 4) e revisões de 2025-2026, o NIST reverteu várias regras tradicionais:

Recomendação prática para o usuário em 2026:

• Comprimento: 12+ caracteres (mínimo), 16+ recomendado.
• Aleatoriedade: 4-5 palavras aleatórias ou 16+ caracteres randomicos.
• Unicidade: nunca reutilize a mesma senha em 2 sites.
• Armazenamento: gerenciador de senhas (1Password, Bitwarden, KeePassXC) — nunca em texto puro no navegador, post-it, ou planilha.
• 2FA: ative em todas as contas que oferecem (TOTP via app, melhor que SMS).

2. Como criar uma senha forte: comprimento, aleatoriedade e unicidade

3 propriedades definem uma senha forte:

1. Comprimento ≥ 12 caracteres. Cada caractere a mais dobra a dificuldade de quebra por força bruta. 12 chars randomicos = 95^12 = 5,4×10^23 combinações. Para quebrar a 1 trilhão de tentativas/s (velocidade de GPU), leva 17.000 anos.
2. Aleatoriedade real. A senha deve ser gerada por CSPRNG (crypto.getRandomValues), não por padrões previsíveis (data nascimento, nome do gato, sequência de teclado). Mesmo que pareça aleatória, "qwerty123" é uma das 100 senhas mais usadas do mundo.
3. Unicidade por site. Cada site tem sua própria senha. Se um site vazar, os outros ficam seguros. Use gerenciador para guardar e gerar automaticamente.

Método 1 — pass phrase (4-5 palavras aleatórias):

Método 2 — senha randomica (CSPRNG):

Ambos são fortes, mas o pass phrase é mais fácil de lembrar e digitar. Para contas que você acessa manualmente (e-mail, banco), use pass phrase. Para contas automatizadas (API, deploy), use randomicos.

3. Por que usar crypto.getRandomValues (e nunca Math.random)

Para gerar senhas, CSPRNG é obrigatório. Em JavaScript moderno:

A diferença é cripto-segurança: Math.random() usa xorshift128+ (PRNG fraco), enquanto crypto.getRandomValues() usa ChaCha20 ou RDRAND do hardware (CSPRNG). Para senha, use sempre CSPRNG.

O Gerador de Senha do kitsapp. usa crypto.getRandomValues() — você pode verificar abrindo o DevTools (F12 → Network) e gerando uma senha: zero requisições. É 100% client-side.

4. Como sites devem armazenar senhas: bcrypt, Argon2, SHA-256

Quando você cria uma senha, o site nunca deve guardar a senha em texto puro. Deve guardar o hash — uma representação irreversível.

Quando um site vaza banco (LinkedIn 2012, Adobe 2013, Facebook 2019, etc.), o que vaza é o hash, não a senha. Se o site usou SHA-256 puro, ataque de rainbow table quebra em horas. Se usou bcrypt/Argon2, leva décadas mesmo em GPU.

5. Onde guardar suas senhas: 1Password, Bitwarden, KeePassXC

Para a maioria das pessoas, o melhor é não memorizar senhas — usar um gerenciador que gera, guarda e preenche automaticamente. As 3 opções mais populares:

Como usar um gerenciador:

1. Instale o app (desktop, mobile, extensão de navegador).
2. Crie uma senha mestra forte (16+ chars, única, decorável — pode ser pass phrase).
3. Ative 2FA no gerenciador (TOTP via app).
4. Importe senhas existentes (CSV exportado do Chrome, ou via login).
5. Para cada site novo, use o gerador interno (16+ chars, randomicos).
6. Salve no gerenciador; o app preenche automaticamente.

Para o kitsapp., o Gerador de Senha gera senhas que podem ser usadas em qualquer gerenciador. Copie e cole no 1Password/Bitwarden.

6. 2FA: a camada extra de segurança (TOTP, chave física, SMS)

O 2FA (autenticação em dois fatores) adiciona uma segunda camada além da senha: mesmo que alguém descubra sua senha, não consegue entrar sem o 2º fator. Tipos, do mais seguro ao menos:

1. Chave de segurança física (FIDO2/WebAuthn): YubiKey, Titan Key. Imune a phishing, ataque mais seguro de 2026. Recomendado para admin/contas críticas.
2. TOTP via app autenticador: Google Authenticator, Microsoft Authenticator, Authy. Código de 6 dígitos que muda a cada 30s. Bom custo-benefício.
3. Push notification (TOTP via app): "Você está tentando entrar? Sim/Não" no celular. Mais fácil, seguro.
4. SMS: código por SMS. NÃO é seguro (SIM swap, interceptação). Use só como último recurso.
5. E-mail: código por e-mail. NÃO é seguro se o e-mail for hackeado.

Para ativar 2FA:

1. Instale um app autenticador (Google Authenticator, Microsoft Authenticator, Authy).
2. Nas configurações de segurança do site, ative 2FA.
3. Escaneie o QR Code com o app (TOTP).
4. Salve os códigos de backup (em local seguro, idealmente gerenciador de senhas).
5. Confirme com um código gerado pelo app.

7. Como saber se sua senha vazou (Have I Been Pwned)

O site Have I Been Pwned (HIBP) mantém um banco de bilhões de credenciais vazadas. Para verificar se sua senha ou e-mail foi exposto:

1. Use o Gerador de Senha para criar nova senha (se suspeitar de vazamento).
2. Verifique o e-mail em haveibeenpwned.com (digite o e-mail, veja se está em algum vazamento público).
3. Para verificar a senha sem enviar ao HIBP, use o serviço Pwned Passwords com k-anonymity (envia só os primeiros 5 chars do hash SHA-1).
4. Se vazou: mude a senha imediatamente em todos os sites onde a usou.

Para monitorar continuamente: o Bitwarden e 1Password têm integração com HIBP — alertam se uma senha que você guardou aparecer em vazamento. Ative nas configurações do gerenciador.

8. Use o Gerador de Senha do kitsapp. (CSPRNG, 100% no navegador)

O Gerador de Senha do kitsapp. foi projetado seguindo as melhores práticas de 2026:

• CSPRNG: usa crypto.getRandomValues() (32 bits de entropia por caractere).
• 100% client-side: nenhuma requisição ao servidor. Pode verificar com F12 → Network: zero.
• Configurável: tamanho (8-128), incluir/excluir maiúsculas, minúsculas, números, símbolos, evitar ambíguos (0/O, 1/l/I).
• Modo pass phrase: 4-6 palavras aleatórias (estilo diceware, com dicionário de 7.776 palavras).
• Indicador de força: mostra entropia em bits, tempo estimado para quebrar, e classifica (fraco/médio/forte/excelente).
• Privacidade: a senha gerada fica apenas no seu navegador. Copie para o gerenciador e feche a aba — não fica no histórico.

Como usar:

1. Abra o Gerador de Senha.
2. Escolha o tamanho (16 recomendado para uso geral, 24+ para admin).
3. Selecione o modo: randomicos (mais seguro) ou pass phrase (mais memorável).
4. Para randomicos: marque todos os tipos (maiúscula, minúscula, número, símbolo).
5. Para pass phrase: escolha 4-5 palavras (dicionário de 7.776 = 12,9 bits/palavra).
6. Clique "Gerar".
7. Copie a senha e cole no gerenciador (1Password, Bitwarden, KeePassXC).

Em resumo, criar e guardar senhas em 2026 segue 3 regras: comprimento ≥ 12 chars (NIST), aleatoriedade CSPRNG (crypto.getRandomValues), unicidade por site (1 senha por conta). Para guardar, use um gerenciador (Bitwarden grátis, 1Password US$ 3/mês, KeePassXC local). Ative 2FA em todas as contas (TOTP via app, melhor que SMS). Verifique vazamentos no Have I Been Pwned. Use o Gerador de Senha do kitsapp. — 100% client-side, com privacidade LGPD, para criar senhas que atendem o NIST 2026.

Conclusão: senha forte em 2026 não é mais sobre símbolos e expiração forçada — é sobre comprimento (12+ chars) e aleatoriedade real (CSPRNG). O NIST 2026 reverteu várias regras tradicionais: sem exigência de composição, sem expiração forçada, sem perguntas de segurança. Para o usuário, o melhor é: gerar com CSPRNG (use o Gerador de Senha do kitsapp.), guardar em gerenciador (Bitwarden, 1Password, KeePassXC), ativar 2FA, e verificar vazamentos no HIBP. Para os sites: nunca guardar em texto puro, sempre bcrypt ou Argon2. É a melhor prática de 2026 — e é a única que funciona.