Política de senhas que funciona: o que mudou (e por que trocar senha todo mês é ruim)

Por anos, a “boa prática” de senhas foi: exija maiúscula, minúscula, número, símbolo e force a troca todo mês. Hoje sabemos que boa parte dessas regras piora a segurança em vez de melhorar. Veja o que mudou e como montar uma política que realmente protege.

Por que as regras antigas falham

Trocar senha todo mês é contraproducente

Quando você obriga o usuário a trocar de senha com frequência, ele não cria senhas mais fortes — ele cria senhas previsíveis: Empresa@2026, depois Empresa@2027, ou Senha1, Senha2, Senha3. O atacante conhece esse padrão melhor que você.

Tanto o NIST (instituto de referência dos EUA) quanto outras autoridades hoje recomendam: não force trocas periódicas sem motivo. Só troque a senha quando houver indício de comprometimento.

Exigir símbolos malucos não ajuda tanto

P@ss1! atende a todas as regras de complexidade e é péssima — curta e previsível. Já cavalo bateria grampo correto é longa, fácil de lembrar e muito mais difícil de quebrar. Tamanho vence complexidade.

O que funciona de verdade

1. Priorize o comprimento

Incentive frases-senha (passphrases) de 4+ palavras ou senhas longas. Defina um mínimo de 12 caracteres (idealmente 14+) e deixe o usuário usar espaços e frases.

2. Bloqueie senhas vazadas e óbvias

Em vez de regras de complexidade arbitrárias, compare as senhas novas contra listas de senhas já vazadas e contra termos óbvios (nome da empresa, “123456”, “senha”). Isso elimina o que realmente é arriscado.

3. MFA é inegociável

A medida que mais reduz risco não é a senha — é a autenticação em dois fatores (MFA). Mesmo que a senha vaze, o atacante para no segundo fator. Ative MFA em tudo que for crítico: e-mail, VPN, painéis administrativos, sistemas financeiros.

4. Use um gerenciador de senhas

A única forma realista de ter uma senha única, longa e aleatória para cada serviço é um gerenciador (Bitwarden, 1Password e afins). Forneça um para a equipe. Reutilizar senha é o que transforma um vazamento em vários incidentes.

5. Troque só quando necessário

Reserve a troca obrigatória para eventos reais: suspeita de vazamento, saída de um funcionário com acesso compartilhado, incidente de segurança.

Modelo de política enxuta para empresas

Mínimo de 12 caracteres, frases-senha incentivadas.
Sem troca periódica obrigatória (só por evento de risco).
Sem reutilização de senhas entre sistemas.
Bloqueio de senhas vazadas e óbvias.
MFA obrigatório em todos os acessos sensíveis.
Gerenciador de senhas fornecido e incentivado.
Bloqueio de conta após X tentativas erradas (contra força bruta).

A senha perfeita que ninguém consegue lembrar acaba num post-it no monitor. Uma política de senhas boa é a que as pessoas conseguem seguir — e que se apoia em MFA para o que a senha sozinha não dá conta.

Como criar uma senha forte que você consegue lembrar

A técnica da frase-senha é a mais prática. Em vez de uma palavra com símbolos, use quatro palavras aleatórias que formem uma imagem mental:

cavalo bateria grampo correto — fácil de lembrar, difícil de quebrar.
pizza azul voa segunda — sem sentido lógico, mas memorável.

Quanto mais longa e menos previsível, melhor. Evite:

Dados pessoais (nome, data de nascimento, nome do pet, time).
Sequências (123456, qwerty, abcdef).
A mesma senha em mais de um serviço.
Trocar só um número no fim (Senha1 → Senha2).

E o ideal nem é decorar: deixe o gerenciador de senhas criar e guardar uma senha longa e aleatória para cada site. Você só memoriza a senha-mestra do gerenciador.

O passo a passo para implantar na empresa

Escolha e contrate um gerenciador de senhas para a equipe (Bitwarden, 1Password e similares).
Ative o MFA em todos os sistemas críticos — e-mail, VPN, financeiro, painéis administrativos.
Comunique a nova política de forma simples: por que mudou e o que cada um precisa fazer.
Importe as senhas existentes para o gerenciador e troque as fracas/repetidas.
Configure o bloqueio de conta após tentativas erradas e o bloqueio de senhas vazadas, se a ferramenta permitir.
Revise periodicamente — saída de funcionário, suspeita de vazamento, auditoria.

Perguntas frequentes

Trocar a senha de tempos em tempos não é mais seguro? Não, quando é forçado sem motivo. Isso leva as pessoas a criar senhas previsíveis (Empresa@2026, Empresa@2027). O recomendado hoje é trocar só quando há suspeita de comprometimento.

Qual o tamanho ideal de uma senha? Pelo menos 12 caracteres; 14 ou mais é melhor. Tamanho protege mais do que símbolos. Uma frase-senha longa vence uma senha curta cheia de caracteres especiais.

Gerenciador de senhas é seguro? E se invadirem ele? Os bons gerenciadores guardam tudo criptografado, sem acesso nem da própria empresa que os fornece. O risco de usar um é muito menor do que o de reutilizar senhas — que é o que a maioria faz sem ele.

O MFA substitui a senha? Não, complementa. A senha é o primeiro fator; o MFA é o segundo. Juntos, mesmo que a senha vaze, o invasor ainda esbarra no segundo fator.

E se o funcionário esquecer a senha-mestra do gerenciador? Cada ferramenta tem um processo de recuperação (chave de emergência, contato de confiança). Por isso é importante configurar a recuperação no momento da adoção, não depois.

O resumo

Pare de torturar seus usuários com trocas mensais e símbolos malucos. Foque no que move o ponteiro: senhas longas, únicas, não vazadas, protegidas por MFA e guardadas num gerenciador. É menos burocracia e muito mais segurança.