O que é uma passphrase?
Passphrase é o nome dado a uma senha formada por várias palavras. Ela pode conter espaços, hífens ou outro separador aceito pelo serviço. Em vez de depender de uma sequência curta como `P@ss2026`, a ideia é criar uma cadeia mais comprida, como quatro ou seis palavras sem relação entre si. O formato é mais fácil de digitar e de explicar, mas só é resistente quando as palavras não foram escolhidas por uma história óbvia.
O comprimento aumenta o conjunto de tentativas que um atacante precisa testar. A escolha aleatória impede que ele reduza esse conjunto usando nomes, datas, temas ou frases populares. Por isso, uma passphrase não deve conter o nome do animal, o time, a cidade, o aniversário ou uma citação conhecida. Se você consegue contar por que aquelas palavras combinam, provavelmente está adicionando previsibilidade.
O termo não descreve uma tecnologia única. Um gerador pode usar listas de palavras, rolagens de dados ou a fonte criptográfica do navegador. O importante é que cada palavra seja sorteada de uma lista conhecida, que a fonte de aleatoriedade seja adequada e que o site não envie o texto para um servidor. A passphrase continua sendo uma credencial: mantenha-a exclusiva e troque-a se houver suspeita de exposição. Ao comparar qualquer gerador de passphrase, confira a procedência das palavras, o número de opções e a forma como o resultado permanece no dispositivo.
Passphrase ou senha tradicional?
Os dois formatos podem ser seguros. A decisão depende das regras do serviço, do comprimento possível e de onde a credencial será guardada. Compare o papel de cada característica antes de escolher.
| Aspecto | Passphrase | Senha aleatória |
|---|---|---|
| Leitura | Várias palavras, normalmente com separadores. | Mistura de letras, números e símbolos. |
| Comprimento | Pode crescer adicionando palavras. | Depende do limite de caracteres do formulário. |
| Memorização | Mais confortável quando as palavras são independentes. | Normalmente deve ser copiada de um gerenciador. |
| Risco comum | Usar uma frase famosa ou palavras relacionadas. | Fazer uma troca previsível, como acrescentar 123. |
| Melhor uso | Senha mestra, Wi-Fi e serviços que aceitam espaços. | Contas com limite curto ou campos que rejeitam espaços. |
Como uma seleção Diceware funciona
Diceware é um método de seleção: uma sequência de resultados de dados aponta para uma palavra em uma lista. Um gerador digital deve reproduzir a mesma ideia com uma fonte criptograficamente segura, sem escolher palavras pelo significado. Um gerador de passphrase confiável também explica de onde vem a aleatoriedade e não exige que você envie uma credencial ativa para análise.
Defina o objetivo
Decida se a passphrase será usada em uma conta comum, no Wi-Fi, em uma senha mestra ou em criptografia. A finalidade define o comprimento mínimo e as regras que você precisa respeitar.
Sorteie cada palavra
Escolha uma palavra de cada rodada independente. Um gerador local pode usar `crypto.getRandomValues`; dados físicos também funcionam quando a tabela e o procedimento são confiáveis.
Monte sem interpretar
Una as palavras com espaços ou hífens aceitos pelo serviço. Não troque uma palavra por outra só porque a frase ficou engraçada, pois isso reduz a aleatoriedade.
Copie e armazene
Confira o resultado no campo oficial, copie uma única vez e grave-o em um cofre. Não deixe a passphrase em histórico, chat, planilha pública ou captura de tela.
Quantas palavras usar?
Não existe um número universal. Mais palavras normalmente aumentam a margem contra tentativas, mas alguns sites têm limites, recusam espaços ou aplicam regras próprias. Use esta tabela como ponto de partida e confirme a documentação do serviço.
| Palavras | Leitura de segurança | Exemplo de uso |
|---|---|---|
| 4 | Boa base para contas de menor impacto quando sorteadas de uma lista grande. | Conta secundária que aceita uma senha longa. |
| 5–6 | Margem prática para a maioria das contas e para uma senha mestra bem protegida. | E-mail, cofre e rede Wi-Fi pessoal. |
| 7–8 | Mais comprimento para proteger dados de alto valor ou uma chave de recuperação. | Criptografia de arquivos e acesso administrativo. |
| 9 ou mais | Pode ser desnecessário e difícil de digitar; avalie o limite e o gerenciador. | Casos específicos com orientação técnica. |
A tabela não promete um tempo exato para quebrar uma senha. Hardware, regras de limitação, vazamentos e o modo como o serviço armazena credenciais mudam o cenário. Comprimento e aleatoriedade são sinais fortes, não um certificado.
Checklist para criar uma passphrase
Use estas verificações antes de aceitar o resultado. Elas transformam uma sequência de palavras em uma decisão de segurança que você consegue revisar.
Sorteio real
As palavras vieram de um sorteio independente, e não de uma frase que você escolheu mentalmente?
Tamanho compatível
O serviço aceita o comprimento, os espaços e os sinais usados na passphrase?
Sem contexto pessoal
Não há nomes, locais, datas, hobbies, letras ou referências que alguém possa pesquisar?
Sem reutilização
A combinação é nova para este serviço e não foi adaptada de outra senha?
Camada extra
A conta oferece 2FA, passkey ou alertas de login para reduzir o impacto de uma senha exposta?
Como guardar e usar com segurança
Uma passphrase forte perde valor quando fica visível ou é repetida. O gerenciador de senhas resolve a memória diária, mas exige uma senha mestra exclusiva e um dispositivo confiável.
- Guarde em um cofre: Use um gerenciador com bloqueio e sincronização protegida. Evite notas sem criptografia, fotos e arquivos compartilhados.
- Cole no site correto: Abra o domínio digitado por você ou um favorito confiável. Phishing pode capturar uma passphrase perfeita.
- Ative uma segunda etapa: Aplicativo autenticador, chave física ou passkey cobre o caso em que a senha é descoberta.
- Revise quando houver alerta: Se o serviço indicar vazamento ou login estranho, encerre sessões, troque a credencial e procure reutilizações.
O que um gerador de passphrase não garante
Gerar palavras no navegador reduz a exposição durante a criação, mas não resolve todos os riscos de uma conta. Saiba o que fica fora do escopo.
A ferramenta não consegue provar como um serviço remoto armazena a senha, limita tentativas ou protege a recuperação da conta.
Se uma pessoa viu a tela, o histórico ou o clipboard, a passphrase deixou de ser secreta. Limpe o campo e o clipboard depois de usar.
Uma lista de palavras não substitui atualização, proteção contra phishing, malware, roubo de sessão ou revisão de dispositivos conectados.
Fontes para entender o método
Estas referências ajudam a conferir o conceito de Diceware e a implementação de aleatoriedade no navegador. Elas não são instruções para copiar uma senha publicada.
- Diceware.comExplica listas de palavras, quantidade de palavras e o uso de dados para selecionar cada item.
- Projeto diceware no GitHubMostra um exemplo de gerador local que usa crypto.getRandomValues e não envia a passphrase ao servidor.
- Web Crypto API no MDNDocumentação da fonte criptográfica usada por aplicações JavaScript no navegador.
Perguntas sobre passphrases
Uma passphrase é mais segura que uma senha com símbolos?
Não por definição. A vantagem vem do comprimento e da seleção imprevisível. Uma senha aleatória longa também pode ser excelente; uma frase comum com símbolos previsíveis continua fraca.
Quantas palavras devo colocar em uma passphrase?
Comece com cinco ou seis palavras sorteadas e ajuste ao limite do serviço. Para uma senha mestra ou criptografia, use mais palavras e deixe o gerenciador cuidar da digitação.
Posso inventar uma frase que seja fácil para mim?
Evite. Histórias pessoais, citações, títulos e frases engraçadas aparecem em dicionários e ataques de contexto. Prefira palavras independentes escolhidas por sorteio.
Espaços são permitidos em todas as contas?
Não. Alguns formulários removem espaços ou impõem um limite curto. Confira as regras do serviço; se espaços forem recusados, use um separador aceito ou uma senha aleatória do gerador principal.
O site salva a passphrase que eu criei?
Esta orientação recomenda geração local, mas você deve conferir a política do serviço que usar. Não trate nenhum site como cofre e nunca informe uma credencial ativa apenas para testá-la.
Uma passphrase elimina a necessidade de 2FA?
Não. 2FA, passkeys e alertas de login protegem contra phishing, reutilização e sessões roubadas. Use essas camadas quando o serviço oferecer suporte.
Posso usar o exemplo deste artigo?
Não. Tudo que é publicado é público. Gere uma combinação nova, guarde-a no seu cofre e use uma passphrase diferente para cada conta importante.