Guardar palavras-passe fortes com um gestor é o caminho mais curto para ter credenciais únicas e imprevisíveis em cada site sem ter de as memorizar: o próprio gestor gera uma sequência longa e aleatória, preenche o início de sessão por si e avisa quando uma credencial aparece comprometida numa fuga de dados. Este guia mostra como fazer isso no Chrome e no Edge, sem pagar nada, e como garantir que continua a ter acesso se perder o acesso ao cofre.
O princípio técnico é simples: quanto mais longa e imprevisível for a palavra-passe, mais difícil é adivinhá-la. A norma de referência do governo dos EUA para autenticação digital, o NIST SP 800-63B, aceita segredos memorizados até 64 caracteres e exige que os servidores aceitem espaços nos campos de palavra-passe — um sinal claro de que uma frase longa com espaços é uma credencial válida, não um erro. O mesmo documento desaconselha a troca obrigatória de palavra-passe a intervalos fixos, porque induz os utilizadores a escolher padrões previsíveis. A consequência prática é esta: uma credencial forte que só existe num cofre pode ter 20 ou 30 caracteres, e é exatamente por isso que um gestor compensa.
O que torna uma palavra-passe forte
Uma palavra-passe forte tem três propriedades: comprimento, imprevisibilidade e unicidade. Comprimento, porque cada caractere adicional multiplica o espaço de combinações a testar. Imprevisibilidade, porque dicionários e padrões conhecidos (nomes, datas, substituições como 1 por i) são a primeira linha de ataque. Unicidade, porque reutilizar a mesma credencial em vários sites significa que uma única fuga compromete todas as contas onde ela foi usada — o alerta típico que recebe depois de uma violação de dados existe precisamente para este cenário.
| Requisito | Mínimo aceitável | Prática recomendada com gestor |
|---|---|---|
| Comprimento | 8 a 12 caracteres | 20 ou mais, gerados pelo gestor |
| Composição | Mistura de letras, números e símbolos | Aleatória, sem regras de composição memorizáveis |
| Reutilização | Nunca a mesma em dois sites críticos | Credencial única em cada site, sempre |
| Verificação | Conferir manualmente após fugas noticiadas | Verificador do gestor contra bases de fugas |
Para medir o efeito, fiz um exemplo meu, não um estudo medido: uma credencial de 12 caracteres gerada ao acaso pode ser reescrita com 20 caracteres em segundos, e essa simples alteração eleva a resistência a tentativa e erro de forma exponencial. A regra do NIST de aceitar segredos até 64 caracteres existe para permitir exatamente este tipo de salto sem obrigar a truques de memorização.
Guardar no gestor do Chrome
No Chrome, o Gestor de Palavras-passe da Google está incorporado no navegador e não exige instalação. Para guardar a primeira credencial: abra o Chrome, aceda a um site e introduza o utilizador e a palavra-passe; surge a pergunta para guardar, e basta aceitar. Para criar uma credencial forte de raiz: no formulário de registo de um site, abra o menu de três pontos, entre em Palavras-passe e preenchimento automático e depois em Gestor de Palavras-passe da Google, escolha Adicionar, preencha site, utilizador e palavra-passe e confirme com Guardar. Num formulário de criação de conta, pode usar a sugestão de palavra-passe forte, que é guardada automaticamente na Conta Google e fica disponível em qualquer dispositivo com sessão iniciada.
Para ver e rever o cofre, aceda a passwords.google.com ou abra o mesmo menu no Chrome. Para ver as credenciais é preciso iniciar sessão novamente. O painel Verificação de Palavra-passe compara as credenciais guardadas com fugas conhecidas e avisa quando encontra palavras-passe comprometidas ou fracas, ajudando a corrigi-las em poucos passos. Para uma camada extra, ative a autenticação biométrica para revelar ou preencher credenciais no PC (opção para usar o Windows Hello); por predefinição está desativada.
Guardar no gestor do Edge
No Edge, o caminho é equivalente. Selecione os três pontos no canto superior direito junto à imagem de perfil e escolha Definições; depois, Palavras-passe e preenchimento automático e Gestor de Palavras-passe da Microsoft. Junto à credencial que quer rever, selecione a seta para a direita; pode ser pedido o PIN ou a palavra-passe do dispositivo. Aí, o ícone de olho revela a palavra-passe existente e o botão Editar permite substituí-la, confirmando depois com Guardar.
Um detalhe que a documentação oficial da Microsoft destaca: alterar a palavra-passe no Edge não altera a palavra-passe do site — a edição no gestor serve apenas para que a cópia guardada corresponda à palavra-passe que mudou no próprio serviço. A ordem correta é, portanto, mudar a credencial no site e só depois editar o registo no Edge. Note ainda que o gestor no Edge requer um perfil de conta pessoal Microsoft; com conta escolar ou profissional, algumas funcionalidades podem estar restritas pelo administrador de TI.
Rotina de segurança e CTA
Reveja as credenciais comprometidas com o verificador do cofre e mude-as nos sites afetados, começando pelas contas de email e banca. Ative a verificação em dois passos nas contas principais — o artigo do site Google: ativar a autenticação de dois fatores passo a passo mostra o procedimento completo, e a palavra-passe forte deixa de ser a única barreira. Confirme periodicamente as sessões ativas e mantenha o navegador atualizado, para receber os avisos de fuga o mais cedo possível. Como passo imediato, abra hoje o painel de verificação de palavras-passe do seu gestor e trate primeiro os avisos a vermelho; quem usa Edge também deve confirmar que cada credencial guardada corresponde à atual no site, sobretudo depois de qualquer mudança recente.