Gerador de senha forte e aleatória, de 4 a 128 caracteres

Uma senha aleatória é tão forte quanto o tamanho dela multiplicado pelos bits que cada caractere acrescenta. Com maiúsculas, minúsculas, números e os 14 símbolos ligados, o conjunto tem 76 caracteres e cada um soma cerca de 6,25 bits, então 16 caracteres dão por volta de 100 bits. Este gerador vai de 4 a 128 caracteres e sorteia cada um com o gerador criptográfico do navegador.

Uma ferramenta, várias necessidades

Não existe uma senha certa para tudo. A senha do Wi-Fi que a visita digita no controle da TV, o PIN do celular, a senha do e-mail e a senha de banco de dados colada num arquivo de configuração pedem coisas diferentes. Esta página é a ferramenta geral: você mesmo escolhe o tamanho e os tipos de caractere.

Os controles são estes:

Tamanho de 4 a 128 caracteres, começando em 16, com um controle deslizante e uma caixa de número que andam juntos.
Caracteres permitidos: maiúsculas A–Z, minúsculas a–z, números 0–9 e símbolos. O conjunto de símbolos é exatamente ! # $ % & * + - = ? @ ^ _ ~ (14 caracteres). Aspas, barras, colchetes, vírgulas e espaços ficam de fora porque são os que mais dão problema em formulários, terminais e arquivos de configuração.
Excluir caracteres parecidos tira 0, O, o, 1, l, I e | para a senha poder ser lida num papel ou numa tela sem dúvida.
Pelo menos um de cada tipo escolhido vem ligado, para os muitos sites que ainda exigem «uma maiúscula, um número e um caractere especial».

Gere uma senha em cinco passos

Ajuste o tamanho no controle deslizante ou digite um número entre 4 e 128.
Ligue ou desligue os tipos de caractere de acordo com o que o site ou o aparelho aceita.
Ligue a exclusão de caracteres parecidos se for ditar a senha em voz alta ou copiá-la à mão.
Toque em Gerar outra e veja a entropia embaixo do resultado; com o padrão de 16 caracteres, ela mostra 99,7 bits.
Copie a senha direto para o gerenciador de senhas ou para o formulário de cadastro e, se o site recusar, gere outra.

Quando o site recusa a senha

É a dúvida mais comum, e quase sempre a culpa é de uma regra do site que o gerador não tinha como saber:

Símbolos fora da lista do site. A página de ajuda da conta gov.br, por exemplo, lista os símbolos aceitos e nela não aparecem _ nem ~, que estão no conjunto deste gerador. Se o cadastro reclamar, gere outra senha ou desligue os símbolos e aumente o tamanho para compensar.
Limite de tamanho. O gov.br aceita de 8 a 70 caracteres. Outros serviços param em 64, 32 ou até menos, às vezes sem avisar e cortando o que passou. Depois de trocar a senha, saia e entre de novo para conferir.
Regras de formato. «Precisa começar com letra», «não pode repetir três caracteres seguidos»: ajuste e gere de novo. Cada sorteio novo não custa nada.

Como a entropia é calculada

Entropia, aqui, é quantas senhas igualmente prováveis as configurações conseguem produzir, escrito como uma potência de dois. Se uma senha é uma entre 2⁸⁰ possibilidades, quem testa todas em ordem precisa, em média, de 2⁷⁹ tentativas. A fórmula é curta:

entropia em bits = tamanho × log2(quantidade de caracteres do conjunto)

O conjunto cresce com cada tipo que você permite:

Caracteres permitidos	Tamanho do conjunto	Bits por caractere
Só números	10	3,32
Só minúsculas	26	4,70
Minúsculas e números	36	5,17
Maiúsculas, minúsculas e números	62	5,95
Os quatro tipos, sem os parecidos	70	6,13
Os quatro tipos	76	6,25

Dois detalhes deixam o número honesto. Primeiro, cada caractere é sorteado de forma uniforme, então a fórmula é exata, e não uma estimativa de hábitos humanos. Segundo, com «pelo menos um de cada» ligado, algumas combinações nunca aparecem (uma senha só de minúsculas, por exemplo), por isso o medidor mostra um valor um pouco menor e conservador, que conta só as senhas com todos os tipos escolhidos. Com 8 caracteres e os quatro tipos ligados, só 47,5% das sequências aleatórias têm os quatro, o que custa cerca de 1,1 bit. Com 20 caracteres, o custo cai para uns 0,1 bit.

A entropia descreve só a adivinhação. Ela não protege uma senha reutilizada, digitada numa página falsa de banco ou guardada em texto puro por um site descuidado. Senhas únicas num gerenciador de senhas resolvem a maior parte disso.

Predefinições prontas (páginas em inglês)

Cada página abaixo fixa um tamanho ou uma regra, explica para que serve e traz a ferramenta já ajustada. O texto delas está em inglês; a ferramenta aparece em português.

Predefinição	O que a página cobre
8 caracteres	O mínimo antigo, e por que 50 bits caem em minutos diante de um hash rápido
12 caracteres	O mínimo do PCI DSS 4.0 para sistemas de pagamento
15 caracteres	O mínimo do NIST quando a senha é o único fator
16 caracteres	O tamanho que a orientação oficial de cibersegurança dos EUA indica ao público
20 caracteres	O ponto em que a força bruta deixa de ser a questão
32 caracteres	Segredos para arquivos de configuração e sistemas que cortam em 30 ou 32
Wi-Fi	20 letras e números fáceis de digitar no controle remoto
PIN	6 dígitos sorteados, ajustáveis de 4 a 12
Sem símbolos	16 letras e números para sites que recusam pontuação
Fácil de lembrar	Três palavras com inicial maiúscula, hífens e dois algarismos

Há ainda páginas para 10, 14, 24 e 64 caracteres, para senhas pronunciáveis e fáceis de digitar.

Se precisa de algo para decorar, e não para guardar no gerenciador, use o gerador de frase secreta. Para avaliar uma senha que você já tem, há o verificador de força de senha (texto em inglês).

Quanto tamanho é suficiente

Depende de como a senha pode ser atacada. Um site que bloqueia a conta depois de algumas tentativas erradas é atacado on-line, poucas tentativas por vez. Um banco de dados vazado, o handshake do Wi-Fi capturado ou um arquivo criptografado podem ser atacados fora do ar, a bilhões de tentativas por segundo quando o hash é rápido. As recomendações acompanham isso: a revisão de 2025 do NIST, dos Estados Unidos, pede 15 caracteres ou mais para uma senha usada sozinha e aceita 8 quando há um segundo fator. A Cartilha do CERT.br resume do jeito dela: senhas longas, com números aleatórios e tipos diferentes de caractere. Para o que pode ser atacado fora do ar, 16 caracteres aleatórios ou mais é um piso confortável.

A senha não sai desta aba

A senha é criada por JavaScript rodando nesta aba. Ela não é enviada a nenhum servidor, não é salva no navegador e não entra no histórico. Copiar põe a senha na área de transferência como qualquer outro texto; alguns sistemas guardam um histórico da área de transferência, então limpe-o se estiver num computador compartilhado. Recarregar ou fechar a página descarta tudo.

Por baixo do capô

Os valores aleatórios vêm de crypto.getRandomValues, o gerador criptograficamente seguro do navegador. Transformar um byte aleatório em um entre 76 caracteres pede cuidado: 256 não é múltiplo de 76, então um simples resto de divisão deixaria os 28 primeiros caracteres um pouco mais frequentes. O gerador usa amostragem por rejeição: descarta os valores que caem na sobra irregular e sorteia de novo, para cada caractere ter exatamente a mesma chance. Para confirmar que gerar não envia nada, abra as ferramentas de desenvolvedor nesta página e siga o roteiro da metodologia.

Perguntas frequentes

Uma senha gerada é melhor do que uma inventada por mim?

Para ataques de adivinhação, sim. As pessoas repetem padrões como inicial maiúscula, uma palavra, um ano e um ponto de exclamação, e os programas de ataque testam esses padrões primeiro. Uma senha gerada não tem padrão para explorar, e é por isso que a entropia dela pode ser calculada com exatidão.

Por que a entropia cai quando ligo «pelo menos um de cada»?

Porque a regra elimina todas as combinações que ficam sem algum tipo. Menos senhas possíveis significa menos bits. A perda é de cerca de um bit com 8 caracteres e quase nada a partir de 16, então deixe ligado quando o site exige tipos misturados.

Excluir os caracteres parecidos enfraquece a senha?

Reduz o conjunto de 76 para 70 caracteres, cerca de 0,12 bit a menos por caractere. Uma senha de 16 caracteres cai de uns 100 para uns 98 bits. Acrescente um caractere se quiser compensar.

Qual é a senha mais longa que um site aceita?

Não há um máximo universal. O NIST diz que os serviços deveriam aceitar pelo menos 64 caracteres, e o gov.br aceita até 70. Muitos sistemas cortam bem antes, então teste a senha nova saindo e entrando de novo.

Posso gerar uma senha sem internet?

Pode. Depois que a página carregou, gerar não precisa de conexão, porque tudo roda no seu aparelho.

Devo trocar todas as minhas senhas de tempos em tempos?

As recomendações atuais, como as do NIST, pedem troca quando há sinal de que a senha vazou, e não em prazos fixos. O que mais protege é ter uma senha diferente em cada serviço, guardada num gerenciador.

Fontes

Consultadas em 11/10/2026.

Última atualização: 17/10/2026