Cada palavra sorteada da lista de 7.776 palavras da EFF soma log2(7776) ≈ 12,9 bits, então a frase padrão de seis palavras é uma entre cerca de 2,2 × 10²³ possibilidades, ou 77,5 bits. É o tamanho que a própria EFF recomenda para a maioria dos usos. As palavras são em inglês, e uma frase secreta é mais fácil de decorar e de digitar do que uma sequência aleatória de força parecida.
Senha com palavras: para que serve
Algumas senhas precisam morar na sua cabeça. A que abre o gerenciador de senhas, a do notebook, a do disco criptografado, a do celular quando ele pede a senha completa depois de reiniciar: você digita de memória, às vezes várias vezes por dia, e nenhum programa preenche por você. Uma sequência como q7#Vd!2mZ é difícil de lembrar e fácil de errar. Seis palavras comuns, como pester-parameter-removed-popular-dollhouse-brick, são mais compridas, mas a maioria das pessoas decora em um ou dois dias.
O segredo é que as palavras precisam ser escolhidas por sorteio, não por você. Pessoas escolhem trechos de música, nomes de time, ditados e frases conhecidas, e os programas que tentam adivinhar senhas carregam listas enormes justamente disso. Uma palavra sorteada entre 7.776 opções vale 12,9 bits fixos, por mais comum que pareça.
A Cartilha de Segurança para Internet do CERT.br vai na mesma linha: no fascículo sobre autenticação, recomenda criar senhas longas e dá como exemplo escolher três palavras aleatórias. Três palavras já são um bom começo para serviços que bloqueiam tentativas repetidas; a tabela mais abaixo mostra por que seis é um padrão mais seguro quando um banco de dados vazado entra na história.
Por que as palavras saem em inglês
A ferramenta usa a EFF Large Wordlist, publicada pela Electronic Frontier Foundation em 2016 e pensada para isso: palavras escolhidas por serem fáceis de lembrar e de digitar, com os termos ofensivos retirados. A força da frase vem do tamanho da lista e do sorteio, não do idioma, então uma frase em inglês protege tanto quanto uma em português com uma lista do mesmo tamanho. Existem listas Diceware em português com 7.776 palavras, mas esta página trabalha só com a da EFF.
Se o inglês atrapalha a memorização, uma saída é imaginar uma cena com as palavras na ordem em que saíram. Outra é gerar uma frase inteira nova, o que é preferível a trocar palavras à mão, como explicamos nas perguntas frequentes. Porém, descartar resultados repetidamente até sobrarem palavras de que você gosta reduz as combinações possíveis, e a entropia indicada deixa de valer por inteiro.
Frase secreta não é a frase de recuperação da carteira
No Brasil, «frase secreta» também é o nome que muitas carteiras de criptomoeda dão à frase de recuperação de 12 ou 24 palavras. Não use esta página para isso. Essas frases seguem o padrão BIP39, com uma lista própria de 2.048 palavras e uma palavra final de verificação calculada a partir das outras, e devem ser geradas pela própria carteira. Uma frase tirada daqui não seria aceita como frase de recuperação.
Como gerar uma frase secreta
- Deixe a quantidade de palavras em 6 ou escolha qualquer número de 3 a 12.
- Mantenha o hífen como separador ou troque por espaço, ponto, sublinhado ou nada.
- Ligue a inicial maiúscula ou o algarismo extra se o site exigir.
- Toque em Gerar outra e repita até sair um conjunto que você consegue imaginar.
- Guarde a frase no gerenciador de senhas, ou anote num papel e deixe num lugar seguro até decorar.
O que cada opção muda
| Opção | Efeito na entropia | Quando usar |
|---|---|---|
| Quantidade de palavras (3 a 12) | +12,9 bits por palavra | É o controle principal da força |
| Separador (hífen por padrão) | Nenhum; quem escolhe é você | Espaço fica natural; hífen sobrevive a formulários que cortam espaços |
| Inicial maiúscula | Nenhum; toda palavra ganha uma | Atende à regra «precisa de letra maiúscula» |
| Acrescentar um algarismo | Soma log2(10 × palavras) bits, cerca de 5,9 com seis palavras | Atende à regra «precisa de número» |
Maiúsculas e separador são aplicados a todas as palavras do mesmo jeito, então não acrescentam imprevisibilidade: quem sabe que você usou esta ferramenta também sabe que essas opções existem. Só o que é sorteado entra na conta que a página mostra: as palavras e, quando você liga a opção, o algarismo e a palavra depois da qual ele entra. O algarismo é um entre dez valores colocado depois de uma palavra sorteada, por isso contribui com log2(10 × palavras) bits, por exemplo log2(60) ≈ 5,9 bits com seis palavras.
A opção sem separador é segura com esta lista, porque a EFF a montou de modo que nenhuma palavra é o começo de outra. Juntas, as palavras só podem ser separadas de um jeito, então tirar os separadores não custa nada. Quatro entradas já têm hífen próprio (drop-down, felt-tip, t-shirt, yo-yo), o que pode parecer estranho com o hífen como separador, mas não muda a força.
Quantas palavras usar
A tabela supõe um atacante que conhece a lista e as suas configurações e que tenta adivinhar fora do ar, a partir de um banco de dados vazado. Os tempos são para percorrer metade das frases possíveis, que é a média. Há duas velocidades: 10¹⁰ tentativas por segundo, perto do que uma placa RTX 4090 faz contra SHA-256 sem sal, e 10¹² por segundo, o que quatro dessas placas alcançam contra NTLM. Um serviço que guarda senhas com um hash lento, como bcrypt ou Argon2, ou que bloqueia a conta depois de várias tentativas, multiplica esses tempos por muitas ordens de grandeza.
| Palavras | Bits | Uma placa (10¹⁰ por segundo) | Quatro placas (10¹² por segundo) |
|---|---|---|---|
| 3 | 38,8 | 24 segundos | menos de um segundo |
| 4 | 51,7 | 2 dias | 30 minutos |
| 5 | 64,6 | 45 anos | 165 dias |
| 6 | 77,5 | 350 mil anos | 3.503 anos |
| 7 | 90,5 | 3 bilhões de anos | 27 milhões de anos |
| 8 | 103,4 | 2,1 × 10¹³ anos | 212 bilhões de anos |
Seis palavras é o padrão sensato para algo que você vai decorar. Use sete ou oito palavras para a senha mestra do gerenciador de senhas ou para um disco criptografado, pois nesses casos o invasor pode testar combinações localmente, sem consultar um serviço de login. Três ou quatro palavras só fazem sentido onde o sistema limita as tentativas.
Tamanho em caracteres e limites dos sites
As palavras da lista da EFF têm de 3 a 9 letras, com média de 7. Uma frase de seis palavras com hífens fica entre 23 e 59 caracteres, perto de 47 no meio da faixa. Isso passa por qualquer exigência de tamanho mínimo, inclusive a regra de 15 caracteres que o NIST, dos Estados Unidos, propõe para senhas usadas sozinhas.
O cuidado é com o máximo. A conta gov.br, por exemplo, aceita senhas de 8 a 70 caracteres, segundo a ajuda do próprio portal: seis palavras com hífens sempre cabem, mas oito palavras com separadores podem passar de 70. Outros sites cortam em 64 ou menos. Depois de trocar uma senha longa, saia e entre de novo para conferir que ela foi aceita inteira.
Prefere uma senha aleatória?
A segunda aba desta página gera uma senha clássica com letras, números e símbolos, com os mesmos controles do gerador de senha. Use para contas que o gerenciador de senhas preenche sozinho. Se quiser escolher as palavras com dados de verdade, a página de Diceware (texto em inglês, ferramenta em português) mostra o número dos dados de cada palavra.
A frase fica na sua tela
As palavras são sorteadas dentro do navegador, a partir de uma cópia da lista que vem com a página. O que você gera não é enviado, registrado nem salvo, e a página não lembra resultados anteriores. Se fechar a aba antes de guardar a frase, ela se perde de vez, então guarde primeiro.
Notas técnicas
A ferramenta sorteia uma posição da lista por palavra com crypto.getRandomValues. Os números aleatórios brutos cobrem uma faixa que não é múltipla de 7.776, então os valores que caem na fatia irregular do topo são descartados e sorteados de novo; cada palavra mantém exatamente a mesma chance de 1 em 7.776. A lista é a EFF Large Wordlist sem modificações, publicada pela Electronic Frontier Foundation sob uma licença Creative Commons Attribution; veja o anúncio das listas da EFF e a nossa página de licenças (em inglês). Quer ver que gerar uma frase não faz nenhum pedido pela rede? O passo a passo com as ferramentas de desenvolvedor está na metodologia.
Perguntas frequentes
Uma frase secreta é tão forte quanto uma senha aleatória?
A força depende da quantidade de resultados igualmente prováveis, não da aparência. Seis palavras da EFF dão 77,5 bits, mais ou menos o mesmo que uma senha aleatória de 12 ou 13 caracteres com letras, números e símbolos. Acrescente palavras para ir além.
Faz diferença a lista de palavras ser pública?
Não. A conta já supõe que o atacante tem a lista. A proteção vem das cerca de 2,2 × 10²³ combinações possíveis de seis palavras, não de segredo sobre a origem delas.
Posso trocar uma palavra de que não gostei?
É melhor tocar em Gerar outra do que editar. Escolher palavras à mão, mesmo uma só, puxa o resultado para palavras de que as pessoas gostam, o que um atacante pode modelar. Gere a frase inteira de novo até uma colar.
Devo misturar símbolos ou números nas palavras?
Só se o site exigir. Trocar letras por algarismos parecidos acrescenta muito pouco, porque os programas de ataque testam essas trocas automaticamente. Uma palavra a mais soma 12,9 bits e é mais fácil de lembrar.
Dá para usar palavras em português?
Não nesta ferramenta, que trabalha só com a lista da EFF, em inglês. Para a força, o idioma não importa: o que conta é o tamanho da lista e o sorteio justo de cada palavra.
Por que um site diz que a minha frase é longa demais?
Alguns serviços limitam o tamanho da senha, às vezes em 64 caracteres ou menos. Use menos palavras, tire os separadores ou veja se o site oferece outra forma de entrar.
Fontes
Consultadas em 11/10/2026.
- EFF: novas listas de palavras para frases secretas aleatórias
- CERT.br, Cartilha de Segurança para Internet: fascículo Autenticação
- Acesso gov.br: requisitos de senha (8 a 70 caracteres)
- NIST SP 800-63B-4
- BIP-0039: frases mnemônicas para carteiras
- Benchmark do hashcat 6.2.6 numa RTX 4090
Última atualização: