Política de senhas que funciona: o que mudou (e por que trocar senha todo mês é ruim)
Forçar troca de senha todo mês e exigir símbolos malucos piora a segurança. Veja o que as novas recomendações dizem e como montar uma política de senhas que protege de verdade.
Por anos, a “boa prática” de senhas foi: exija maiúscula, minúscula, número, símbolo e force a troca todo mês. Hoje sabemos que boa parte dessas regras piora a segurança em vez de melhorar. Veja o que mudou e como montar uma política que realmente protege.
Por que as regras antigas falham
Trocar senha todo mês é contraproducente
Quando você obriga o usuário a trocar de senha com frequência, ele não cria senhas mais fortes — ele cria senhas previsíveis: Empresa@2026, depois Empresa@2027, ou Senha1, Senha2, Senha3. O atacante conhece esse padrão melhor que você.
Tanto o NIST (instituto de referência dos EUA) quanto outras autoridades hoje recomendam: não force trocas periódicas sem motivo. Só troque a senha quando houver indício de comprometimento.
Exigir símbolos malucos não ajuda tanto
P@ss1! atende a todas as regras de complexidade e é péssima — curta e previsível. Já cavalo bateria grampo correto é longa, fácil de lembrar e muito mais difícil de quebrar. Tamanho vence complexidade.
O que funciona de verdade
1. Priorize o comprimento
Incentive frases-senha (passphrases) de 4+ palavras ou senhas longas. Defina um mínimo de 12 caracteres (idealmente 14+) e deixe o usuário usar espaços e frases.
2. Bloqueie senhas vazadas e óbvias
Em vez de regras de complexidade arbitrárias, compare as senhas novas contra listas de senhas já vazadas e contra termos óbvios (nome da empresa, “123456”, “senha”). Isso elimina o que realmente é arriscado.
3. MFA é inegociável
A medida que mais reduz risco não é a senha — é a autenticação em dois fatores (MFA). Mesmo que a senha vaze, o atacante para no segundo fator. Ative MFA em tudo que for crítico: e-mail, VPN, painéis administrativos, sistemas financeiros.
4. Use um gerenciador de senhas
A única forma realista de ter uma senha única, longa e aleatória para cada serviço é um gerenciador (Bitwarden, 1Password e afins). Forneça um para a equipe. Reutilizar senha é o que transforma um vazamento em vários incidentes.
5. Troque só quando necessário
Reserve a troca obrigatória para eventos reais: suspeita de vazamento, saída de um funcionário com acesso compartilhado, incidente de segurança.
Modelo de política enxuta para empresas
- Mínimo de 12 caracteres, frases-senha incentivadas.
- Sem troca periódica obrigatória (só por evento de risco).
- Sem reutilização de senhas entre sistemas.
- Bloqueio de senhas vazadas e óbvias.
- MFA obrigatório em todos os acessos sensíveis.
- Gerenciador de senhas fornecido e incentivado.
- Bloqueio de conta após X tentativas erradas (contra força bruta).
A senha perfeita que ninguém consegue lembrar acaba num post-it no monitor. Uma política de senhas boa é a que as pessoas conseguem seguir — e que se apoia em MFA para o que a senha sozinha não dá conta.
O resumo
Pare de torturar seus usuários com trocas mensais e símbolos malucos. Foque no que move o ponteiro: senhas longas, únicas, não vazadas, protegidas por MFA e guardadas num gerenciador. É menos burocracia e muito mais segurança.