Qual deve ser o tamanho de uma senha em 2026?

Este artigo responde qual deve ser o tamanho de uma senha em 2026. Usa as regras atuais de verificadores da NIST SP 800-63-4 / SP 800-63B e o conselho público da CISA. Não é um guia completo de cibersegurança.

Então, qual deve ser o tamanho da minha senha?

Se um password manager puder guardá-la, gere uma senha aleatória e única de 16+ caracteres. Use uma string aleatória mais longa quando o serviço permitir. Se precisar memorizar, uma passphrase longa costuma ser mais prática do que uma string curta com substituições forçadas. 16 não é inquebrável, e 15 não é uma garantia.

O que a NIST exige em 2026?

A NIST SP 800-63-4 diz aos verificadores o que exigir — não um slogan pessoal. Uma senha de fator único deve ter pelo menos 15 caracteres. Se for usada só como parte de MFA, pode ser mais curta, mas o mínimo continua 8. Os verificadores SHOULD aceitar pelo menos 64 caracteres. SHALL NOT exigir uma mistura forçada de tipos de caracteres nem trocas periódicas sem evidência de comprometimento. Senhas comuns ou vazadas devem ser bloqueadas.

O que a CISA recomenda?

A orientação Secure Our World da CISA é mais simples para as pessoas: faça senhas longas (pelo menos 16 caracteres), aleatórias e únicas, e use um password manager. Isso não contradiz a NIST. O número 15 da NIST é um requisito de verificador para fator único. O 16+ da CISA é uma recomendação pública prática.

8 vs 12 vs 16 caracteres: o comprimento realmente importa?

O comprimento importa, mas os «tempos de quebra» publicados não. Esses tempos mudam com o hardware, o hash, a aleatoriedade, o modelo de ataque e como a senha é armazenada.

Comprimento	Visão prática
8	Curto demais como recomendação geral para uma nova senha de fator único. A NIST permite 8 só como mínimo quando a senha é usada apenas como parte de MFA.
12	Melhor do que senhas antigas curtas, mas abaixo do mínimo atual de fator único da NIST, que é 15.
15	Mínimo atual da NIST para verificadores em fator único.
16+	Combina com a recomendação pública simples da CISA e é um ponto de partida sensato para senhas geradas.

O comprimento é mais importante do que a complexidade?

A orientação atual prefere comprimento suficiente e boa escolha em vez de regras de composição previsíveis. Um padrão como uma palavra comum mais «1!» pode continuar adivinhável mesmo com tipos mistos. Caracteres especiais não são inúteis: numa senha gerada ao acaso, um conjunto maior pode somar combinações. O núcleo é aleatoriedade, comprimento e unicidade.

Uma senha longa ainda pode ser fraca

Um valor longo ainda pode ser fraco se for previsível, uma frase comum, reutilizado ou baseado em informação pessoal. Repetir o mesmo caractere muitas vezes é longo, não forte. Não reutilize uma frase que todo mundo já conhece.

Por que cada conta deve ter uma senha diferente

Se um serviço vazar uma senha e você a reutilizou, outras contas que a compartilham ficam em risco. Cada conta precisa da sua. Testar pares vazados em outros sites (credential stuffing) é comum. Senhas únicas limitam esse dano.

Você deve usar um password manager?

A NIST pede que os verificadores permitam password managers e o preenchimento automático. A CISA também recomenda um manager. Você não precisa memorizar uma senha aleatória única para cada site. Este artigo não recomenda um produto específico.

Password ou passphrase?

Se um manager guardar o valor, uma senha aleatória gerada é conveniente. Se você precisar lembrar, uma passphrase longa de várias palavras pode ser mais prática. Evite citações famosas, letras de músicas, frases comuns e dados pessoais. Isto é uma nota curta, não um guia completo de passphrase.

As senhas precisam de maiúsculas, números e símbolos?

A NIST diz que os verificadores SHALL NOT exigir uma mistura de tipos de caracteres. Um site que força uma maiúscula, um número e um símbolo está fora dessa direção. Um gerador aleatório ainda pode usar um conjunto amplo, e isso é aceitável. Símbolos não enfraquecem as senhas.

Você deve trocar as senhas a cada 90 dias?

A NIST diz que os verificadores SHALL NOT exigir trocas periódicas arbitrárias salvo evidência de comprometimento. Troque a senha se ela vazou, se a conta foi comprometida ou se o serviço pedir. Isso não é «nunca troque senhas».

MFA torna o comprimento da senha irrelevante?

Não. MFA acrescenta proteção. Não torna a higiene de senhas opcional. A NIST pode permitir um mínimo de 8 caracteres quando a senha é usada só como parte de MFA. Isso não é uma recomendação geral de usar senhas de 8 caracteres.

O que o comprimento não impede

Uma senha muito longa não impede todo ataque. O comprimento sozinho não impede phishing, malware ou keylogging, engenharia social nem um dispositivo comprometido. MFA, atualizações de software e atenção a phishing ainda importam. Este artigo fica no comprimento da senha.

Um guia simples para decidir o comprimento da senha

Precisa de uma senha de conta nova? Se um password manager puder guardá-la, gere uma senha aleatória única — 16+ caracteres é um começo prático, mais longa se for suportado. Se precisar memorizar, use uma passphrase longa e única e evite frases comuns. Depois ative MFA quando disponível.

• Precisa de uma senha de conta nova?
• ↓
• Um password manager pode guardá-la?
• Sim → senha aleatória única, 16+ (mais longa se permitido)
• Não → passphrase longa e única; evite frases comuns
• ↓
• Ative MFA quando disponível

Gere uma senha longa e aleatória no seu navegador

NEXNARA Gerador de senha pode criar uma senha, uma passphrase ou um PIN. Este artigo é sobre senhas de conta, não PINs de dispositivo. Um PIN é um segredo diferente e mais curto, e não é a mesma recomendação.

Modo senha: comprimento 4–128, padrão 16. Escolha classes de caracteres, exclua caracteres ambíguos ou exclua caracteres personalizados. Gere 1, 5, 10 ou 20 valores e depois copie ou baixe um arquivo TXT.

O modo passphrase usa a lista grande de palavras em inglês da EFF (7776 palavras): 3–8 palavras, padrão 5, com separador, maiúsculas e um número opcional.

A geração usa o gerador de números aleatórios criptograficamente seguro do navegador (crypto.getRandomValues), com amostragem por rejeição de 32 bits e um embaralhamento seguro. Math.random não é usado. A entropia exibida é uma estimativa a partir do conjunto de caracteres e do comprimento (ou do tamanho da lista e da quantidade de palavras), não uma medição de senha humana nem uma promessa de que não dá para adivinhar.

A geração em si acontece no seu navegador. Os valores não são enviados a um servidor da NEXNARA para esta ferramenta. Anúncios e outros recursos do site ainda usam a rede.

Precisa de uma senha aleatória de 16 caracteres para começar? Abra Gerador de senha e gere uma que você vai guardar, não reutilizar.

FAQ

Qual deve ser o tamanho de uma senha em 2026?

A NIST exige pelo menos 15 caracteres para uma senha de fator único. A CISA recomenda pelo menos 16 que sejam aleatórias e únicas. 16+ caracteres gerados são um começo prático sólido quando o serviço permite. Isso não é uma garantia.

Uma senha de 12 caracteres é longa o bastante?

É melhor do que uma senha antiga curta, mas está abaixo do mínimo atual de 15 caracteres de fator único da NIST. Prefira 16+ quando puder.

Uma senha de 16 caracteres é segura?

16 caracteres aleatórios e únicos são um começo sensato. Não é automaticamente segura. Valores de 16 caracteres previsíveis ou reutilizados continuam fracos.

Senhas mais longas são sempre melhores?

Senhas mais longas, aleatórias e únicas costumam somar combinações. Um valor mais longo mas previsível ou reutilizado não é automaticamente melhor.

Preciso de números e caracteres especiais na minha senha?

A NIST diz aos serviços para não exigirem uma mistura forçada. Um gerador aleatório ainda pode incluí-los. Símbolos não são obrigatórios para ser «forte» e não são inúteis.

Devo trocar minha senha a cada 90 dias?

A NIST diz para não exigir trocas periódicas arbitrárias sem evidência de comprometimento. Troque após um vazamento, um comprometimento ou um alerta do serviço — não por um calendário vazio de 90 dias.