Sua senha nova já está pronta abaixo. Mude o comprimento ou os tipos de caractere e ela se atualiza na hora; copie, ou escolha uma das alternativas logo embaixo.
Sua senha
Tempo médio para quebrar por força bruta
A 10 bilhões de tentativas por segundo, num ataque offline contra um hash rápido.
Mais senhas
Gerada no seu navegador. Nada é enviado nem guardado.
Cada caractere a mais multiplica o número de senhas possíveis pelo tamanho do alfabeto. Com os quatro tipos marcados, o alfabeto tem 85 caracteres, então cada caractere extra multiplica por 85 o trabalho de quem ataca. Marcar símbolos só leva o alfabeto de 62 para 85, o que vale cerca de meio bit por caractere. Por isso 16 letras minúsculas (75 bits) ganham de 10 caracteres de todos os tipos (63 bits): na velocidade considerada abaixo, a longa e simples resiste dezenas de milhares de anos, e a curta e complicada, uns vinte.
O tempo mostrado considera dez bilhões de tentativas por segundo, mais ou menos o que algumas placas de vídeo fazem contra uma senha guardada com um hash rápido, como MD5, depois que o banco de dados de um site vaza. É o cenário pessimista de propósito. Contra uma senha bem guardada (bcrypt, Argon2) o mesmo ataque é milhões de vezes mais lento, e contra uma tela de login que bloqueia após algumas tentativas ele não chega a lugar nenhum. O número é uma média: em média, o palpite certo aparece na metade das possibilidades.
Quando você marca um tipo de caractere, toda senha daqui tem pelo menos um dele. O jeito comum de garantir isso é reservar uma posição para cada tipo, o que muda as chances sem avisar e torna algumas combinações mais prováveis que outras. Este gerador sorteia a senha inteira do alfabeto completo e, se faltar um tipo marcado, descarta e sorteia de novo. Assim toda senha aceitável tem exatamente a mesma chance de sair, e é isso que faz o número de entropia ser uma contagem exata, e não uma estimativa. Os caracteres vêm do crypto.getRandomValues, a fonte criptográfica do navegador, com a mesma rejeição que o gerador de número aleatório usa contra o viés modular.
Os símbolos deixam de fora ^, ~, ` e ´ porque no teclado ABNT2, e nos teclados alemão, francês e espanhol, são teclas de acento: digitar um deles pede dois toques, e a senha copiada no notebook vira outra coisa quando redigitada no celular ou na TV. Aspas, barra invertida e espaço ficam de fora porque quebram formulários e planilhas. E há um limite que nenhum gerador resolve: senha forte barra força bruta, não reutilização. Se a mesma senha está em dois sites e um deles a vaza em texto puro, o comprimento deixa de importar. Uma senha por site, guardada num gerenciador de senhas, é a parte que protege de verdade.
Esta é criada inteiramente no seu navegador, por código rodando no seu aparelho. Ela não é enviada a servidor, registrada nem guardada: dá para abrir a página, desligar a internet e continuar gerando. O site é estático, então não existe código de servidor que pudesse recebê-la nem por engano.
Para conta que importa, 16 caracteres de todos os tipos: cerca de 102 bits, além de qualquer ataque de força bruta. Doze é um mínimo razoável. Oito, que ainda é o mínimo de muito formulário de cadastro, cai em horas na premissa usada nesta página.
É o número de senhas que o gerador poderia ter produzido, escrito como potência de dois. 60 bits são 2^60 possibilidades, cerca de um quintilhão, e cada bit a mais dobra o trabalho de quem ataca. O número descreve como a senha foi feita, não a sequência em si: os mesmos caracteres escolhidos por uma pessoa valem muito menos, porque pessoas não escolhem ao acaso.
Zero e O maiúsculo, um, L minúsculo e I maiúsculo são difíceis de distinguir em muitas fontes. Tirá-los custa um pouco de entropia, cerca de 0,1 bit por caractere, e compensa quando a senha vai ser lida e digitada à mão, como a do Wi-Fi impressa para visitas.
Para a maioria das contas, não. Uma senha aleatória de 16 caracteres foi feita para ficar num gerenciador de senhas, que também a preenche por você. As poucas que precisam ser digitadas de memória, como a senha mestra do próprio gerenciador, funcionam melhor como uma frase longa de palavras aleatórias.