Verificador de Força de Senha
Um verificador de força de senha alimentado pelo motor zxcvbn do Dropbox — o mesmo algoritmo usado por grandes sites como Stripe, GitLab e 1Password. Ele estima quantas tentativas um atacante precisaria reconhecendo dicionários comuns, listas de senhas vazadas, sequências de teclado, datas e repetições — não apenas contando classes de caracteres.
Como usar
A pontuação atualiza a cada tecla. Clique no ícone de olho para alternar a visibilidade.
Mire em pontuação 3 ou 4. Se vir avisos, lide com eles — adicionar um "1!" raramente ajuda.
Login em serviço web? Online limitado. Vazamento de banco de dados? Offline hash rápido — essa é a linha que mais importa.
Adicione comprimento e imprevisibilidade até a pontuação ser 4 em todas as linhas.
Teste o quão adivinhável sua senha realmente é — baseado em dicionários, padrões e dados de vazamento reais
Tempo para quebrar
Recursos
Perguntas frequentes
Onde acontece a pontuação da senha?
O estimador zxcvbn roda no seu navegador via JavaScript a cada tecla — a mesma biblioteca client-side que o cadastro do Stripe, criação de conta no GitLab, 1Password e Dropbox usam. Não existe endpoint /run para esta ferramenta; a lógica de pontuação é entregue nos assets da página e computada localmente na sua aba.
O que é zxcvbn?
Um estimador de força de senha criado pelo engenheiro do Dropbox Daniel Lowe Wheeler. Em vez de contar classes de caracteres, ele estima o número de tentativas necessárias usando dicionários, padrões comuns e reconhecimento de substituição l33t. Usado em produção por Stripe, GitLab, 1Password e muitos outros.
Por que "Password123!" recebe pontuação baixa?
Porque aparece no top 1000 de toda lista de senhas vazadas, e o sufixo "123!" é a modificação mais comum. Um atacante tenta essas primeiro.
Qual pontuação é "segura"?
Pontuação 4 (10⁹+ tentativas) é segura contra ataques offline. Pontuação 3 é segura contra ataques online. Pontuação 2 ou abaixo é insegura em qualquer cenário.
Devo confiar nas estimativas de tempo?
São estimativas conservadoras contra atacantes bem equipados. Adversários reais variam, mas se uma senha cai em "offline hash rápido, < 1 hora", é insegura para qualquer banco de dados que possa vazar.
Por que o comprimento é mais importante que símbolos?
Porque adicionar um caractere de comprimento multiplica o espaço de busca pelo tamanho do alfabeto; adicionar um símbolo só troca um caractere. Uma senha de 16 caracteres só com minúsculas resiste a mais tentativas que uma "complexa" de 10 caracteres.
