Gerenciador de senhas e chaves de acesso (passkeys): guia

Um gerenciador de senhas é um app que cria, guarda e preenche uma senha forte e diferente para cada conta, para que você só precise lembrar de uma. Junto com as chaves de acesso (passkeys), que permitem entrar com o rosto, a digital ou o bloqueio de tela em vez de uma senha, ele elimina o maior risco do dia a dia: usar a mesma senha em vários lugares.

Seu e-mail, seu banco e suas redes sociais são protegidos principalmente por senhas. Se uma delas for roubada, um criminoso pode ler suas mensagens, redefinir outras contas ou gastar o seu dinheiro. Resolver isso leva menos tempo do que você imagina e não exige conhecimento técnico.

Por que reutilizar senhas é o verdadeiro perigo

A maioria das pessoas se preocupa com alguém adivinhar sua senha. O problema maior é a reutilização de senhas.

Quando um site sofre um vazamento, listas de e-mails e senhas costumam acabar circulando na internet. Os criminosos usam ferramentas automáticas para testar esses mesmos pares em muitos outros sites, como e-mail, banco e lojas on-line. Isso se chama credential stuffing (ataque de preenchimento de credenciais).

Se a sua senha vazou de uma lojinha on-line e você usava a mesma no e-mail, o criminoso agora entra no seu e-mail e, a partir dele, redefine quase todo o resto.

Por isso cada conta precisa da sua própria senha, e como ninguém consegue lembrar de dezenas delas, é para isso que existem os gerenciadores de senhas.

O que é uma senha forte hoje

O tamanho importa mais que a complexidade. Uma senha longa é muito mais difícil de adivinhar do que uma curta cheia de símbolos.

• Use pelo menos 12 a 16 caracteres, e mais para as contas importantes.
• Experimente uma frase-senha: quatro ou mais palavras aleatórias e sem relação entre si, como rio-vela-órbita-pimenta. Ela é longa, fácil de digitar e fácil de lembrar.
• Evite dados pessoais, como nomes, datas de aniversário ou números de telefone.
• Evite padrões comuns, como "Senha123!" ou acrescentar o ano a uma senha antiga.
• Nunca reutilize. Uma senha forte usada em dez sites só é tão segura quanto o mais fraco deles.

Você só precisa decorar algumas: o código de desbloqueio do celular, a senha do e-mail principal e a senha mestra do gerenciador de senhas.

Como funciona um gerenciador de senhas e como começar

Um gerenciador de senhas guarda suas senhas em um cofre criptografado. O cofre é trancado com uma senha mestra e, muitas vezes, também com a sua digital ou o seu rosto. Ele sugere novas senhas aleatórias e preenche as que estão salvas, mas só no site verdadeiro para o qual foram salvas, o que ajuda a proteger você de páginas de login falsas.

Escolha um gerenciador de senhas

• O gerenciador integrado do celular ou do navegador. iPhone, Android, Windows, macOS e os principais navegadores já trazem um que gera, salva e sincroniza senhas. É o jeito mais fácil de começar.
• Um gerenciador de senhas independente e confiável. Eles funcionam em plataformas e navegadores diferentes, o que ajuda se você mistura aparelhos. Instale só pela App Store, pelo Google Play ou pelo site oficial do desenvolvedor.

Configure passo a passo

1. Crie uma senha mestra forte: uma frase-senha longa que você nunca usou em nenhum outro lugar.
2. Ative a verificação em duas etapas na conta que guarda suas senhas. Nosso guia de verificação em duas etapas explica como.
3. Configure as opções de recuperação, como uma chave de recuperação ou um contato de recuperação, e guarde-as em um lugar seguro.
4. Deixe o gerenciador salvar as senhas conforme você entra nas contas nos próximos dias.
5. Troque primeiro as senhas das contas mais importantes (e-mail, banco, operadora de celular, redes sociais) usando a opção "gerar senha" do gerenciador. Algumas contas por semana já está ótimo.

Chaves de acesso (passkeys) explicadas de forma simples

Afinal, o que é uma passkey? A chave de acesso é uma forma mais nova de entrar nas contas que substitui a senha por completo. Você confirma que é você do mesmo jeito que desbloqueia o celular ou o computador: com o rosto, a digital ou o PIN.

Nos bastidores, o seu aparelho cria um par de chaves digitais. O site guarda só a parte pública. A parte privada fica protegida no seu aparelho ou no seu gerenciador de senhas e nunca é enviada ao site. Isso significa:

• Nada para roubar do site. Um vazamento não expõe nenhuma senha que possa ser reutilizada.
• Resistente a phishing. A chave de acesso só funciona no site verdadeiro para o qual foi criada, então uma página de login falsa não consegue enganar você para entregá-la.
• Sincronizada entre seus aparelhos. As chaves de acesso salvas em um gerenciador integrado ou independente são sincronizadas com os outros aparelhos conectados a ele.

Para entrar em um computador que não tem a sua chave de acesso, o site pode mostrar um QR Code. Você escaneia com o celular e confirma; o celular precisa estar fisicamente por perto.

Como trocar a senha de uma conta por uma chave de acesso

1. Entre na conta normalmente e abra as configurações de segurança ou de login.
2. Procure uma opção como "Chaves de acesso", "Passkeys" ou "Criar uma chave de acesso".
3. Confirme com o rosto, a digital ou o bloqueio de tela e escolha onde salvar.
4. Teste: saia da conta e entre de novo usando a chave de acesso.
5. Alguns serviços mantêm a senha como alternativa, então garanta que ela continue forte e única.

Nem todos os sites aceitam chaves de acesso ainda, por isso use-as onde estiverem disponíveis e o gerenciador de senhas para o resto.

Verifique se suas senhas vazaram

Os gerenciadores integrados do iPhone, do Android e dos principais navegadores, e a maioria dos independentes, têm uma verificação de senhas ou recomendações de segurança. Eles avisam quando uma senha salva:

• apareceu em um vazamento de dados conhecido,
• é reutilizada em várias contas, ou
• é fraca ou fácil de adivinhar.

Abra essa seção a cada poucos meses e resolva os alertas, começando pelas contas mais importantes.

O que fazer depois de um vazamento de dados

Se um serviço informar um vazamento ou a verificação de senhas alertar você, siga esta ordem:

1. Troque a senha dessa conta, usando uma nova gerada pelo gerenciador de senhas.
2. Troque também em todos os lugares onde você a reutilizou. É aí que a reutilização causa o estrago de verdade.
3. Ative a verificação em duas etapas ou uma chave de acesso nessa conta, se ainda não tiver.
4. Confira a conta em busca de aparelhos desconhecidos, regras de encaminhamento ou dados de recuperação alterados.
5. Acompanhe o extrato do banco se dados de pagamento podem ter sido expostos, e fale com o banco se algo parecer errado.
6. Redobre o cuidado com mensagens. Depois de um vazamento, criminosos costumam mandar e-mails, SMS ou QR Codes falsos de "alerta de segurança". Abra o app oficial ou digite o endereço você mesmo em vez de usar links, e veja nosso guia sobre phishing com QR Code no e-mail.

Checklist rápido

1. Cada conta importante tem sua própria senha única.
2. Suas senhas principais são frases-senha longas, não palavras curtas e complicadas.
3. Você usa um gerenciador de senhas integrado ou um independente confiável.
4. A senha mestra é forte e não é usada em nenhum outro lugar.
5. As opções de recuperação do gerenciador estão guardadas em um lugar seguro.
6. A verificação em duas etapas protege seu e-mail e seu gerenciador de senhas.
7. As chaves de acesso estão ativadas nas contas que aceitam.
8. Você faz uma verificação de senhas a cada poucos meses.

FAQ

É seguro guardar todas as minhas senhas em um só gerenciador?

Sim. Para a maioria das pessoas, é muito mais seguro do que reutilizar senhas. O cofre é criptografado e trancado com a sua senha mestra, então proteja bem essa senha e ative a verificação em duas etapas.

O que acontece se eu esquecer a senha mestra?

Depende do gerenciador. Muitos oferecem uma chave ou um contato de recuperação, e é por isso que você deve configurar essas opções logo no primeiro dia.

As chaves de acesso substituem a verificação em duas etapas?

Uma chave de acesso já combina dois fatores: algo que você tem (o seu aparelho) e algo que você é ou sabe (a digital, o rosto ou o PIN). Por isso, muitos serviços consideram o login com chave de acesso forte o suficiente sozinho.

E se eu perder o celular onde estão minhas chaves de acesso?

Se as suas chaves de acesso estão sincronizadas pelo gerenciador de senhas, elas voltam quando você entra em um aparelho novo. Nossas dicas de segurança no celular explicam o que mais fazer se o celular for perdido.

Senhas únicas e chaves de acesso impedem a maioria das invasões de contas, então configure seu gerenciador de senhas ainda esta semana, começando pelo e-mail. E quando chegar um "alerta de segurança" com QR Code, confira para onde ele realmente leva com o leitor de QR Code online grátis do QR-TH antes de abrir.