Verificador de Força de Senha

A maioria dos medidores de força de senha está errada. Eles recompensam o teatro de complexidade — letras maiúsculas, símbolos, números — enquanto ignoram a métrica real: entropia, ou quantas tentativas um invasor precisa. Um estimador local baseado em algoritmo como o zxcvbn te dá uma resposta honesta sem nunca enviar sua senha para um servidor.

Todo mundo já passou por isso. Você está se cadastrando em um novo serviço e encontra um checklist: Deve conter 8 caracteres, uma letra maiúscula, um número e um caractere especial. Você diligentemente transforma "senha" em "S3nh@1!" e os X vermelhos viram marcas verdes.

O sistema fica feliz. Você está "seguro."

Só que não está. Essa senha é uma das strings mais violadas da história. Uma plataforma de quebra de senha baseada em GPU moderna leva menos de um segundo para adivinhá-la.

O problema é que a maioria dos sites usa Expressões Regulares (Regex) para validar senhas. Regex é ótimo para verificar se uma string parece uma senha, mas é historicamente terrível para medir o quão forte essa senha realmente é.

No LokalTools, adotamos uma abordagem diferente. Ao construir nosso Medidor de Força de Senha, abandonamos completamente o modelo de "checklist de caracteres". Em vez disso, implementamos o zxcvbn — um estimador de entropia algorítmico robusto — e fizemos isso inteiramente dentro do seu navegador para garantir que suas senhas em potencial nunca toquem um servidor.

Por Que os Requisitos de Senha Padrão São Tão Ineficazes?

A maioria dos desenvolvedores usa correspondência de padrões simples (Regex) porque é fácil de codificar. Verifica a presença de tipos de caracteres. Mas hackers não adivinham senhas caractere por caractere; eles usam dicionários, padrões comuns de substituição (leetspeak) e violações de dados conhecidas.

Considere essas duas senhas:

1. Tr0ub4dor&3 (11 caracteres, atende todos os requisitos padrão)
2. correcthorsebatterystaple (25 caracteres, tudo minúsculo, sem números)

Um validador Regex padrão vai marcar a primeira como "Forte" e a segunda como "Fraca" (faltam símbolos e números). Na realidade, a primeira é um exemplo clássico de "complexidade adivinhável", enquanto a segunda — famosa pelo quadrinho XKCD — levaria séculos para ser quebrada por causa de sua alta entropia.

Entropia de senha é uma medida de imprevisibilidade: quanto maior a entropia, mais tentativas um invasor precisa para quebrar a senha por força bruta ou ataque de dicionário.

O Que É o zxcvbn e Como Ele Mede a Força de uma Senha?

zxcvbn é um estimador de força de senha desenvolvido por pesquisadores de segurança do Dropbox, nomeado a partir da fileira inferior de um teclado QWERTY padrão. Ele é projetado para imitar como invasores reais atacam senhas — não como criadores de regras pensam sobre elas.

Em vez de procurar "uma letra maiúscula", o zxcvbn usa:

• Correspondência de Dicionário: Verifica contra 30.000 palavras comuns em inglês, sobrenomes e nomes de cidades populares dos EUA.
• Reconhecimento de Padrões: Identifica sequências (abcde, 12345), repetições (aaa) e padrões de teclado (qwerty, asdfgh).
• Detecção de L33tspeak: Reconhece que "P4ssw0rd" é apenas "Password" com substituições comuns.
• Cálculo de Entropia: Calcula os "bits de entropia" com base em quantas tentativas um ataque de força bruta precisaria para encontrar a correspondência.

Usando essa biblioteca, podemos te dar uma estimativa de "Tempo para Quebrar" baseada na realidade, não apenas em uma lista de regras arbitrárias.

Como Resolvemos o Problema de Performance?

Ao integrar o zxcvbn ao conjunto do LokalTools, encontramos um obstáculo imediato: O Peso do Dicionário.

Para ser eficaz, o zxcvbn precisa desses dicionários massivos de palavras e nomes comuns. Em sua forma padrão, a biblioteca tem vários megabytes. Embora isso não pareça muito na era do vídeo 4K, no mundo de performance web, um payload JavaScript de 2MB é um pecado capital. Isso desacelera o carregamento da página e consome dados móveis.

O "Problema": Se usássemos uma versão "lite" da biblioteca para economizar no tamanho do arquivo, a precisão do medidor de força despencava. Ela pararia de reconhecer sobrenomes comuns ou referências da cultura pop, tornando a ferramenta menos confiável.

A Solução: Implementamos uma estratégia de carregamento em dois estágios.

1. Servimos uma versão altamente comprimida com codificação Brotli da biblioteca zxcvbn-ts.
2. Transferimos o "raciocínio" real para um Web Worker.

Assim como nossas ferramentas de conversão de vídeo, a estimativa de senha pode consumir muito CPU se você estiver digitando rapidamente. Ao colocar a lógica em um Web Worker, a thread principal do navegador fica livre para lidar com a interface. Enquanto você digita, o worker envia de volta a pontuação e sugestões de "tempo de quebra" sem que o campo de entrada trave.

Em nossos testes, essa abordagem reduziu a latência percebida para menos de 50ms mesmo em hardware móvel de médio porte.

Por Que Você Nunca Deve Enviar uma Senha a um Servidor para Verificação de Força?

Você pode perguntar: "Por que não enviar a senha para um servidor poderoso verificá-la?"

Do ponto de vista de segurança, isso é um desastre.

Se você está testando uma senha nova e de alta segurança para seu banco ou e-mail principal, você nunca deve digitá-la em um site que envia esses dados para um servidor. Mesmo que o site afirme que "não a salva", você ainda está transmitindo essa string sensível pela rede. Você está confiando na configuração SSL deles, na configuração de logging e nos funcionários internos.

Ao executar o zxcvbn localmente via WebAssembly e JavaScript, o LokalTools garante que sua senha nunca saia da sua RAM.

• sem envio de arquivos: Depois que a ferramenta é carregada, você pode desligar o Wi-Fi e ela ainda funcionaria perfeitamente.
• Privacidade por Design: Não há banco de dados do nosso lado. Não queremos suas senhas. Não podemos vazar o que nunca tivemos.

A Verificação Local de Senha é Sempre Melhor do Que a Baseada na Nuvem?

Acreditamos em transparência. A verificação algorítmica local é o padrão ouro para estimar força, mas tem um ponto cego: Verificações de Violação em Tempo Real.

Existem serviços como o "Have I Been Pwned" que verificam se sua senha aparece em um banco de dados real de bilhões de credenciais vazadas. Para fazer isso perfeitamente, você precisaria de um banco de dados de vários terabytes — algo que não dá para executar em um navegador.

Quando a Nuvem Ganha: Se você quer saber se sua senha específica foi vazada na violação do LinkedIn de 2021, uma consulta baseada na nuvem (usando k-Anonymidade para privacidade) é a única forma.

Quando o LokalTools Ganha: Se você está criando uma nova senha e quer garantir que ela seja matematicamente robusta e resistente a ataques de força bruta, nossa implementação local do zxcvbn é mais rápida, mais privada e significativamente mais útil do que um checklist de "Precisa de 1 Número".

Dicas para Criar uma Senha Verdadeiramente Forte

Com base no feedback que recebemos do motor zxcvbn, veja como você deve realmente construir suas credenciais:

• Comprimento Acima da Complexidade: Uma frase de 20 caracteres é quase sempre mais forte do que uma string embaralhada de 8 caracteres.
• Evite "Os Quatro Grandes": Não use seu nome, sua data de nascimento, o nome do seu pet ou sua cidade. Os dicionários do zxcvbn vão pegar esses instantaneamente.
• Use uma Passphrase: Escolha quatro palavras aleatórias e não relacionadas. "grampeador-ponte-poça-galáxia" é fácil de lembrar e impossível para um computador adivinhar.

Experimente Você Mesmo

Pare de adivinhar se sua senha é segura. Não confie em uma barra simples de "Baixo/Médio/Alto" que só conta quantas vezes você pressionou Shift.

Acesse o Verificador de Força de Senha do LokalTools. Digite algumas variações das suas passphrases favoritas e veja o "Tempo para Quebrar" ao vivo. É 100% privado, roda inteiramente na sua máquina e fornece o tipo de feedback que realmente te mantém seguro.

---

Perguntas Frequentes

O que é entropia de senha? Entropia de senha é uma medida matemática de quão imprevisível uma senha é, expressa em bits. Quanto maior a entropia, mais tentativas um invasor precisa para quebrá-la por força bruta. Uma senha com 40 bits de entropia requer cerca de 1 trilhão de tentativas; 60 bits requer mais de 1 quintilhão.

O que é o zxcvbn? zxcvbn é um estimador de força de senha open-source desenvolvido pelo Dropbox. Ele avalia senhas simulando técnicas reais de quebra: ataques de dicionário, correspondência de padrões de teclado, detecção de substituição l33tspeak e reconhecimento de sequências. Retorna uma pontuação de 0 a 4 e uma estimativa realista de tempo para quebrar.

Por que "P@ssword1!" é considerada uma senha fraca? "P@ssword1!" satisfaz a maioria dos requisitos de senha baseados em Regex, mas o zxcvbn a reconhece como uma variação trivial da palavra "password" usando substituições comuns. Ela aparece na maioria dos dicionários de quebra e pode ser adivinhada em menos de um segundo por uma plataforma de quebra baseada em GPU.

É seguro digitar minha senha real em um verificador de força? Apenas se o verificador rodar inteiramente localmente no seu navegador sem requisições de rede. O verificador de senha do LokalTools processa tudo no seu dispositivo usando JavaScript e WebAssembly. Uma vez carregado, funciona offline e nada é transmitido. Como regra geral, nunca digite uma senha de produção real em qualquer ferramenta que faça requisições a servidores.

Como o zxcvbn é diferente de um medidor de força de senha padrão? Um medidor padrão verifica a presença de tipos de caracteres (maiúscula, número, símbolo). O zxcvbn simula um invasor: verifica se sua senha corresponde a palavras comuns, nomes, datas, padrões e substituições conhecidas. Mede quantas tentativas um ataque levaria, não quantas regras de tipo de caractere você satisfez.

O que torna uma passphrase mais forte do que uma senha complexa? O comprimento é o fator dominante na força da senha. Uma passphrase de quatro palavras como "grampeador-ponte-poça-galáxia" tem 25 caracteres com alta imprevisibilidade. Uma senha "complexa" de 8 caracteres como "Tr0ub4d0r!" tem muito menos combinações possíveis e frequentemente segue padrões de substituição previsíveis que crackers sabem tentar primeiro.

O zxcvbn consegue detectar se minha senha estava em uma violação de dados? Não. O zxcvbn estima força matemática — ele não verifica contra bancos de dados de violações. Para verificação de violações, serviços como Have I Been Pwned usam k-Anonymidade para permitir que você verifique sem expor sua senha completa. Use os dois: zxcvbn para medir força e uma verificação de violação para confirmar que sua senha ainda não foi exposta.