Senha boa não é senha complicada

Todo mundo aprendeu a regra: maiúscula, número e símbolo. Ela protege contra alguém tentando adivinhar a sua senha na tela de login. Só que a maioria das contas invadidas cai por outros caminhos.

Como as contas são invadidas

O mais comum é o vazamento em outro site. Uma loja virtual é atacada e a lista de e-mails e senhas dela vai parar na internet. Se você usa a mesma senha no seu e-mail, quem tem a lista entra sem precisar adivinhar nada.

Depois vem o phishing: você mesmo digita a senha, inteira e certa, numa página que imita a verdadeira. Aí não importa quão complicada ela era.

E há a quebra de listas vazadas. Quando as senhas vazam embaralhadas, o atacante usa um programa que testa bilhões de combinações por segundo. Contra isso, o que conta é o tamanho da senha, e não a quantidade de símbolos.

O problema do P@ssw0rd!

As trocas são previsíveis. Os programas de quebra testam a→@, o→0, i→1 e s→$ desde sempre, então P@ssw0rd! cai quase tão rápido quanto password.

O que segura é comprimento. Quatro palavras comuns que não têm nada a ver uma com a outra, como girafa-lampada-quinta-vermelho, são fáceis de lembrar e de digitar e levam muito mais tempo para quebrar que oito caracteres cheios de símbolos.

O que de fato protege

Se for fazer uma coisa só, use uma senha diferente em cada site. É isso que impede o vazamento de uma loja qualquer de virar invasão do seu e-mail.

Depois, tamanho: doze caracteres é o mínimo razoável hoje, e dezesseis já é confortável. Uma frase é mais fácil de guardar que uma sequência aleatória.

Por fim, ligue a verificação em duas etapas no e-mail, no banco e na conta que recupera as outras. Mesmo que a senha vaze, falta o segundo passo. Prefira um app autenticador ao SMS: o seu número pode ser transferido para o chip de um golpista numa loja de operadora, e aí o código chega para ele.

Comece pelo e-mail

Quase todo site recupera a senha pelo e-mail. Ou seja, quem entra no seu e-mail consegue entrar em quase tudo.

Se você só vai caprichar numa senha, que seja essa. E ative a verificação em duas etapas nele antes de qualquer outra conta.

Onde guardar tantas senhas

Senha diferente para cada site não cabe na memória. Duas saídas funcionam bem.

A primeira é um gerenciador de senhas. O navegador e o celular já trazem um (o Gerenciador de Senhas do Google e o app Senhas do iPhone), e qualquer um deles é muito melhor que repetir senha. Também existem programas próprios para isso, grátis e pagos.

A segunda é papel, guardado num lugar seguro de casa. Parece coisa antiga, mas é razoável: quem tenta invadir sua conta costuma estar longe, e não mexendo na sua gaveta.

Ruim mesmo é a planilha chamada "senhas" no computador ou o bloco de notas do celular sem bloqueio.

Hábitos que não ajudam

Trocar a senha todo mês, por exemplo. Até as diretrizes do NIST, o instituto americano de padrões, deixaram de recomendar isso, porque as pessoas acabam usando Senha01, Senha02, Senha03. Troque quando houver motivo: vazamento, suspeita de invasão ou senha que você passou para alguém.

Outro é responder a pergunta de segurança com a verdade. O nome do seu primeiro cachorro pode estar no seu perfil público. Se o site obriga a ter pergunta, invente a resposta e guarde junto com a senha.

E as chaves de acesso (passkeys)?

Google, Apple, WhatsApp e alguns bancos já deixam entrar com chave de acesso (passkey). Em vez de digitar a senha, você confirma com a digital, o rosto ou o PIN do celular. Como não há nada para digitar, ela não funciona numa página falsa e não vaza de outro site. Quando o serviço oferecer, ative.

Fontes

• Fascículo Autenticação, Cartilha de Segurança para Internet (CERT.br)

• NIST SP 800-63B, diretrizes de autenticação (em inglês)