# Gerador de senha

> Uma senha aleatória é tão forte quanto o tamanho dela multiplicado pelos bits que cada caractere acrescenta. Com maiúsculas, minúsculas, números e os 14 símbolos ligados, o conjunto tem 76 caracteres e cada um soma cerca de 6,25 bits, então 16 caracteres dão por volta de 100 bits. Este gerador vai de 4 a 128 caracteres e sorteia cada um com o gerador criptográfico do navegador.

## Uma ferramenta, várias necessidades

Não existe uma senha certa para tudo. A senha do Wi-Fi que a visita digita no controle da TV, o PIN do celular, a senha do e-mail e a senha de banco de dados colada num arquivo de configuração pedem coisas diferentes. Esta página é a ferramenta geral: você mesmo escolhe o tamanho e os tipos de caractere.

Os controles são estes:

- **Tamanho** de 4 a 128 caracteres, começando em 16, com um controle deslizante e uma caixa de número que andam juntos.
- **Caracteres permitidos**: maiúsculas A–Z, minúsculas a–z, números 0–9 e símbolos. O conjunto de símbolos é exatamente `! # $ % & * + - = ? @ ^ _ ~` (14 caracteres). Aspas, barras, colchetes, vírgulas e espaços ficam de fora porque são os que mais dão problema em formulários, terminais e arquivos de configuração.
- **Excluir caracteres parecidos** tira 0, O, o, 1, l, I e | para a senha poder ser lida num papel ou numa tela sem dúvida.
- **Pelo menos um de cada tipo escolhido** vem ligado, para os muitos sites que ainda exigem «uma maiúscula, um número e um caractere especial».

## Gere uma senha em cinco passos

1. Ajuste o tamanho no controle deslizante ou digite um número entre 4 e 128.
2. Ligue ou desligue os tipos de caractere de acordo com o que o site ou o aparelho aceita.
3. Ligue a exclusão de caracteres parecidos se for ditar a senha em voz alta ou copiá-la à mão.
4. Toque em **Gerar outra** e veja a entropia embaixo do resultado; com o padrão de 16 caracteres, ela mostra 99,7 bits.
5. Copie a senha direto para o gerenciador de senhas ou para o formulário de cadastro e, se o site recusar, gere outra.

## Quando o site recusa a senha

É a dúvida mais comum, e quase sempre a culpa é de uma regra do site que o gerador não tinha como saber:

- **Símbolos fora da lista do site.** A página de ajuda da conta gov.br, por exemplo, lista os símbolos aceitos e nela não aparecem `_` nem `~`, que estão no conjunto deste gerador. Se o cadastro reclamar, gere outra senha ou desligue os símbolos e aumente o tamanho para compensar.
- **Limite de tamanho.** O gov.br aceita de 8 a 70 caracteres. Outros serviços param em 64, 32 ou até menos, às vezes sem avisar e cortando o que passou. Depois de trocar a senha, saia e entre de novo para conferir.
- **Regras de formato.** «Precisa começar com letra», «não pode repetir três caracteres seguidos»: ajuste e gere de novo. Cada sorteio novo não custa nada.

## Como a entropia é calculada

Entropia, aqui, é quantas senhas igualmente prováveis as configurações conseguem produzir, escrito como uma potência de dois. Se uma senha é uma entre 2⁸⁰ possibilidades, quem testa todas em ordem precisa, em média, de 2⁷⁹ tentativas. A fórmula é curta:

**entropia em bits = tamanho × log2(quantidade de caracteres do conjunto)**

O conjunto cresce com cada tipo que você permite:

| Caracteres permitidos | Tamanho do conjunto | Bits por caractere |
|---|---|---|
| Só números | 10 | 3,32 |
| Só minúsculas | 26 | 4,70 |
| Minúsculas e números | 36 | 5,17 |
| Maiúsculas, minúsculas e números | 62 | 5,95 |
| Os quatro tipos, sem os parecidos | 70 | 6,13 |
| Os quatro tipos | 76 | 6,25 |

Dois detalhes deixam o número honesto. Primeiro, cada caractere é sorteado de forma uniforme, então a fórmula é exata, e não uma estimativa de hábitos humanos. Segundo, com «pelo menos um de cada» ligado, algumas combinações nunca aparecem (uma senha só de minúsculas, por exemplo), por isso o medidor mostra um valor um pouco menor e conservador, que conta só as senhas com todos os tipos escolhidos. Com 8 caracteres e os quatro tipos ligados, só 47,5% das sequências aleatórias têm os quatro, o que custa cerca de 1,1 bit. Com 20 caracteres, o custo cai para uns 0,1 bit.

A entropia descreve só a adivinhação. Ela não protege uma senha reutilizada, digitada numa página falsa de banco ou guardada em texto puro por um site descuidado. Senhas únicas num gerenciador de senhas resolvem a maior parte disso.

## Predefinições prontas (páginas em inglês)

Cada página abaixo fixa um tamanho ou uma regra, explica para que serve e traz a ferramenta já ajustada. O texto delas está em inglês; a ferramenta aparece em português.

| Predefinição | O que a página cobre |
|---|---|
| [8 caracteres](/password-generator/8-character/) | O mínimo antigo, e por que 50 bits caem em minutos diante de um hash rápido |
| [12 caracteres](/password-generator/12-character/) | O mínimo do PCI DSS 4.0 para sistemas de pagamento |
| [15 caracteres](/password-generator/15-character/) | O mínimo do NIST quando a senha é o único fator |
| [16 caracteres](/password-generator/16-character/) | O tamanho que a orientação oficial de cibersegurança dos EUA indica ao público |
| [20 caracteres](/password-generator/20-character/) | O ponto em que a força bruta deixa de ser a questão |
| [32 caracteres](/password-generator/32-character/) | Segredos para arquivos de configuração e sistemas que cortam em 30 ou 32 |
| [Wi-Fi](/password-generator/wifi/) | 20 letras e números fáceis de digitar no controle remoto |
| [PIN](/password-generator/pin/) | 6 dígitos sorteados, ajustáveis de 4 a 12 |
| [Sem símbolos](/password-generator/no-symbols/) | 16 letras e números para sites que recusam pontuação |
| [Fácil de lembrar](/password-generator/memorable/) | Três palavras com inicial maiúscula, hífens e dois algarismos |

Há ainda páginas para [10](/password-generator/10-character/), [14](/password-generator/14-character/), [24](/password-generator/24-character/) e [64](/password-generator/64-character/) caracteres, para senhas [pronunciáveis](/password-generator/pronounceable/) e [fáceis de digitar](/password-generator/easy-to-type/).

Se precisa de algo para decorar, e não para guardar no gerenciador, use o [gerador de frase secreta](/pt/gerador-de-frase-secreta/). Para avaliar uma senha que você já tem, há o [verificador de força de senha](/password-strength-checker/) (texto em inglês).

## Quanto tamanho é suficiente

Depende de como a senha pode ser atacada. Um site que bloqueia a conta depois de algumas tentativas erradas é atacado on-line, poucas tentativas por vez. Um banco de dados vazado, o handshake do Wi-Fi capturado ou um arquivo criptografado podem ser atacados fora do ar, a bilhões de tentativas por segundo quando o hash é rápido. As recomendações acompanham isso: a revisão de 2025 do NIST, dos Estados Unidos, pede 15 caracteres ou mais para uma senha usada sozinha e aceita 8 quando há um segundo fator. A Cartilha do CERT.br resume do jeito dela: senhas longas, com números aleatórios e tipos diferentes de caractere. Para o que pode ser atacado fora do ar, 16 caracteres aleatórios ou mais é um piso confortável.

## A senha não sai desta aba

A senha é criada por JavaScript rodando nesta aba. Ela não é enviada a nenhum servidor, não é salva no navegador e não entra no histórico. Copiar põe a senha na área de transferência como qualquer outro texto; alguns sistemas guardam um histórico da área de transferência, então limpe-o se estiver num computador compartilhado. Recarregar ou fechar a página descarta tudo.

## Por baixo do capô

Os valores aleatórios vêm de `crypto.getRandomValues`, o gerador criptograficamente seguro do navegador. Transformar um byte aleatório em um entre 76 caracteres pede cuidado: 256 não é múltiplo de 76, então um simples resto de divisão deixaria os 28 primeiros caracteres um pouco mais frequentes. O gerador usa amostragem por rejeição: descarta os valores que caem na sobra irregular e sorteia de novo, para cada caractere ter exatamente a mesma chance. Para confirmar que gerar não envia nada, abra as ferramentas de desenvolvedor nesta página e siga o roteiro da [metodologia](/pt/metodologia/).

## Perguntas frequentes

### Uma senha gerada é melhor do que uma inventada por mim?

Para ataques de adivinhação, sim. As pessoas repetem padrões como inicial maiúscula, uma palavra, um ano e um ponto de exclamação, e os programas de ataque testam esses padrões primeiro. Uma senha gerada não tem padrão para explorar, e é por isso que a entropia dela pode ser calculada com exatidão.

### Por que a entropia cai quando ligo «pelo menos um de cada»?

Porque a regra elimina todas as combinações que ficam sem algum tipo. Menos senhas possíveis significa menos bits. A perda é de cerca de um bit com 8 caracteres e quase nada a partir de 16, então deixe ligado quando o site exige tipos misturados.

### Excluir os caracteres parecidos enfraquece a senha?

Reduz o conjunto de 76 para 70 caracteres, cerca de 0,12 bit a menos por caractere. Uma senha de 16 caracteres cai de uns 100 para uns 98 bits. Acrescente um caractere se quiser compensar.

### Qual é a senha mais longa que um site aceita?

Não há um máximo universal. O NIST diz que os serviços deveriam aceitar pelo menos 64 caracteres, e o gov.br aceita até 70. Muitos sistemas cortam bem antes, então teste a senha nova saindo e entrando de novo.

### Posso gerar uma senha sem internet?

Pode. Depois que a página carregou, gerar não precisa de conexão, porque tudo roda no seu aparelho.

### Devo trocar todas as minhas senhas de tempos em tempos?

As recomendações atuais, como as do NIST, pedem troca quando há sinal de que a senha vazou, e não em prazos fixos. O que mais protege é ter uma senha diferente em cada serviço, guardada num gerenciador.

## Fontes

Consultadas em 11/10/2026.

- [NIST SP 800-63B-4](https://pages.nist.gov/800-63-4/sp800-63b.html)
- [CERT.br, Cartilha de Segurança para Internet: dicas rápidas sobre contas e senhas](https://cartilha.cert.br/dicas-rapidas/)
- [Acesso gov.br: requisitos de senha e símbolos aceitos](https://acesso.gov.br/faq/_perguntasdafaq/naoconsigocadastrarsenha.html)
- [OWASP ASVS 4.0.3, V2.1](https://github.com/OWASP/ASVS/blob/v4.0.3/4.0/en/0x11-V2-Authentication.md)

Last updated: 2026-10-17