Gerenciador de senhas e passkeys: como criar e guardar credenciais com segurança

Ninguém consegue memorizar dezenas de senhas longas, aleatórias e diferentes entre si. O resultado é conhecido: senhas curtas, repetidas ou guardadas em lugares inseguros. Dois recursos resolvem esse problema de maneiras diferentes: os gerenciadores de senhas e as passkeys.

Este guia explica como cada um funciona, como criar credenciais fortes e o que avaliar ao escolher um gerenciador. É um complemento do guia de segurança digital e trabalha junto com a autenticação em dois fatores.

Por que senhas únicas importam

Quando uma senha é reutilizada, o vazamento em um serviço abre as portas dos outros. Criminosos usam listas de senhas vazadas para testar combinações em vários sites, uma técnica chamada de credential stuffing.

Ter uma senha diferente para cada conta limita o estrago: o vazamento de um site não compromete os demais. O problema é a memória, e é aí que entra o gerenciador.

O que é um gerenciador de senhas

Gerenciador de senhas é um programa ou serviço que guarda suas credenciais em um cofre criptografado, protegido por uma senha mestra, e as preenche quando necessário. A maioria também gera senhas aleatórias e alerta sobre senhas fracas ou repetidas.

Como funciona

1. Você cria uma senha mestra, a única que precisa memorizar.
2. O gerenciador usa essa senha para criptografar o cofre no seu dispositivo.
3. Ao entrar em um site, ele preenche o login e a senha.
4. Se o serviço sincroniza entre dispositivos, o cofre viaja criptografado.

Em vários serviços, o modelo é o de "conhecimento zero": o fornecedor guarda o cofre criptografado, mas não tem a chave para lê-lo. Os detalhes dependem de cada produto, e por isso vale ler a documentação de segurança.

Tipos de gerenciador

Qualquer um deles é melhor do que reutilizar senhas. A escolha depende do seu perfil e do nível de controle que você quer.

Como criar senhas fortes

O que importa é o comprimento

A orientação atual do NIST, órgão de padrões dos Estados Unidos, prioriza o tamanho da senha em vez de regras de composição. Segundo o documento SP 800-63B-4:

• senhas usadas como único fator devem ter no mínimo 15 caracteres;
• senhas usadas como parte de autenticação multifator devem ter no mínimo 8;
• os serviços devem aceitar senhas de pelo menos 64 caracteres;
• os serviços não devem impor regras como "misture maiúsculas, números e símbolos";
• não deve haver troca periódica obrigatória, a menos que haja indício de comprometimento;
• os serviços devem permitir gerenciadores de senhas e a função de colar.

Note que isso descreve o que os serviços devem exigir. Como usuário, quanto mais longa e aleatória, melhor.

Senhas geradas pelo gerenciador

Para a maioria das contas, deixe o gerenciador gerar uma senha aleatória longa. Você nunca precisará digitá-la ou lembrá-la.

Frases-senha para o que você precisa memorizar

Para a senha mestra e para poucas senhas que você digita à mão, use uma frase-senha: várias palavras escolhidas ao acaso. O método dos dados (diceware), descrito pela EFF, sorteia palavras de uma lista com dados.

Um formato ilustrativo, que não deve ser usado como senha real:

palavra1-palavra2-palavra3-palavra4-palavra5

Cinco ou mais palavras realmente aleatórias formam uma frase longa e mais fácil de lembrar do que uma sequência curta de símbolos. Evite citações famosas, letras de música e informações pessoais, porque são fáceis de adivinhar.

O que evitar

• datas de nascimento, nomes de familiares e do time;
• sequências como 123456 e qwerty;
• a mesma senha com um número no final que muda;
• guardar senhas em arquivos de texto ou em mensagens.

Como escolher um gerenciador

Sem eleger um vencedor, estes são os critérios que costumam pesar. Confira cada um na documentação oficial do produto.

1. Modelo de segurança: criptografia do cofre, onde a chave fica, e se o fornecedor documenta como funciona.
2. Transparência: auditorias independentes e histórico de como o fornecedor tratou incidentes.
3. Autenticação da própria conta: suporte a autenticação em dois fatores, de preferência com chave de segurança.
4. Recuperação: o que acontece se você esquecer a senha mestra. Muitos serviços não conseguem recuperar, por desenho.
5. Compatibilidade: aplicativos para os seus sistemas e extensões para o seu navegador.
6. Sincronização e backup: entre dispositivos e exportação dos dados em formato aberto.
7. Recursos úteis: gerador, alertas de vazamento, compartilhamento seguro, acesso de emergência, suporte a passkeys.
8. Custo e plano: planos gratuitos e pagos mudam com frequência. Compare as condições atuais.

Sobre alertas de vazamento, serviços como o Have I Been Pwned permitem consultar se um e-mail aparece em bases conhecidas.

Riscos de depender de um gerenciador e como reduzi-los

• Perda da senha mestra: sem ela, o cofre pode ser irrecuperável. Anote uma cópia de recuperação em um local físico seguro.
• Ponto único de falha: se alguém acessar o cofre, acessa tudo. Proteja a conta com uma senha mestra forte e autenticação em dois fatores.
• Invasão do fornecedor: incidentes já aconteceram no setor. Por isso, o cofre criptografado e a senha mestra forte importam.
• Phishing: páginas falsas tentam capturar a senha mestra. Digite o endereço do serviço ou use o aplicativo oficial, e desconfie de pedidos inesperados. Veja como identificar phishing.
• Dispositivo infectado: malware pode registrar o que você digita. Mantenha o sistema atualizado.

Uma vantagem adicional: como o gerenciador só preenche a senha no endereço cadastrado, ele ajuda a perceber sites falsos, já que não oferece o preenchimento neles.

Como começar em quatro passos

1. Escolha o gerenciador e crie uma senha mestra longa, na forma de frase-senha.
2. Ative a autenticação em dois fatores na conta do gerenciador e guarde os códigos de recuperação.
3. Importe as senhas existentes do navegador ou de outro serviço e apague-as do local antigo.
4. Troque as senhas mais críticas: e-mail, banco, nuvem, redes sociais, gerando senhas novas e únicas.

Não é preciso fazer tudo em um dia. Comece pelo e-mail e pelo banco, e avance por prioridade.

O que são passkeys

Passkeys são credenciais de login que substituem a senha. Elas seguem os padrões FIDO2 e WebAuthn, desenvolvidos pela FIDO Alliance e pelo W3C.

Como funcionam

1. Ao criar uma passkey, o seu dispositivo gera um par de chaves: uma pública, enviada ao serviço, e uma privada, que fica com você.
2. Para entrar, o serviço envia um desafio, e o seu dispositivo o assina com a chave privada, liberada por biometria ou PIN.
3. O serviço confere a assinatura com a chave pública.

A chave privada nunca sai do dispositivo no login, e não há senha para vazar ou digitar em uma página falsa.

Vantagens

• Resistência a phishing: a passkey só funciona no site verdadeiro.
• Sem senha para reutilizar ou para ser roubada em vazamentos do serviço.
• Login rápido, com biometria ou PIN.

Limitações

• Adoção parcial: nem todos os serviços oferecem passkeys.
• Recuperação: é preciso planejar o que fazer se você perder o dispositivo.
• Ecossistemas: passkeys sincronizadas dependem do fornecedor (sistema, navegador ou gerenciador), e a portabilidade entre eles ainda está evoluindo.
• Regras de alto nível de segurança: o próprio NIST determina que autenticadores sincronizáveis não devem ser usados em seu nível mais alto de garantia, que exige chaves não exportáveis. Para a maioria das pessoas, isso não é um problema, mas mostra que há diferença entre passkeys sincronizadas e chaves de segurança físicas.

Passkey ou senha com 2FA?

Onde houver passkeys, elas são uma ótima escolha. Onde não houver, use senha forte e única, guardada em um gerenciador, com autenticação em dois fatores. As duas abordagens convivem por bastante tempo.

Perguntas frequentes

É seguro guardar senhas no navegador?

É melhor do que reutilizar senhas. A segurança depende de proteger a conta do navegador e o bloqueio do dispositivo. Gerenciadores dedicados oferecem, em geral, mais recursos.

E se o gerenciador for invadido?

Os cofres são criptografados, e sem a senha mestra o conteúdo não deveria ser legível. Por isso a senha mestra precisa ser forte e a conta, protegida por autenticação em dois fatores. Acompanhe os comunicados do fornecedor.

Posso anotar senhas em papel?

Para a senha mestra e os códigos de recuperação, um papel guardado em local seguro é uma prática razoável. Para as demais senhas, o gerenciador é mais prático e seguro.

Preciso trocar minhas senhas todo mês?

Não. A recomendação atual do NIST é trocar apenas quando houver indício de comprometimento, e não em intervalos fixos.

Passkey substitui a autenticação em dois fatores?

Uma passkey já combina algo que você tem (o dispositivo) com algo que você sabe ou é (PIN ou biometria), então em muitos serviços ela dispensa o segundo fator. Siga as instruções de cada serviço.

Conclusão

Gerenciadores de senhas resolvem o problema da memória: guardam credenciais únicas e longas em um cofre criptografado. Passkeys vão além e eliminam a senha, com proteção maior contra phishing. As duas tecnologias convivem, e o passo mais importante é sair da reutilização de senhas.

Escolha um gerenciador, crie uma senha mestra longa, ative o segundo fator e troque primeiro as contas mais importantes. Este guia foi revisado em setembro de 2026, e as recomendações mudam, por isso confira as fontes atualizadas.

Fontes

• NIST. Digital Identity Guidelines: Authentication and Authenticator Management (SP 800-63B-4).
• FIDO Alliance. Passkeys.
• Google. Passkeys: documentação para desenvolvedores.
• EFF. Dados para frases-senha (dice).
• Have I Been Pwned. Verificação de vazamentos.
• CERT.br / NIC.br. Cartilha de Segurança para Internet.