Quanto tempo leva para quebrar uma senha? (gerador grátis)
O tempo para quebrar uma senha depende do tamanho, dos caracteres e de como o site a guardou. A conta da força bruta, as tabelas recentes e um gerador grátis.
Publicado em · 6 min de leitura
Quanto tempo leva para quebrar uma senha depende de três coisas: quantas senhas são possíveis (tamanho e tipos de caracteres), com que velocidade um atacante consegue testar palpites e se a senha é mesmo aleatória. Uma senha aleatória de 8 letras minúsculas guardada com um hash lento pode cair em umas duas semanas com placas de vídeo alugadas; uma senha aleatória de 16 caracteres variados levaria mais tempo do que a idade do universo. O Gerador de Senhas grátis cria o tipo longo e aleatório no seu dispositivo.
As famosas tabelas coloridas que circulam na internet são úteis, mas se apoiam em suposições. Conhecer essas suposições mostra o que realmente mantém uma conta segura.
O que "quebrar" uma senha significa de verdade
Quando você se cadastra em algum lugar, um site bem administrado não guarda a sua senha. Ele guarda um hash: uma impressão digital embaralhada dela. Quando você faz login, o site calcula o hash do que você digitou e compara as impressões. O Gerador de Hash grátis mostra a ideia: digite password123 e o hash MD5 será 482c811da5d5b4bc6d497ffa98491e38, sempre, em qualquer computador.
Se o banco de dados de um site for roubado, os atacantes ficam com os hashes, não com as senhas. Quebrar significa adivinhar senhas, calcular o hash de cada palpite e procurar uma correspondência, offline, na velocidade máxima que o hardware deles permite. Nenhum bloqueio do site os atrasa.
Por isso, duas coisas determinam o tempo:
- O número de possibilidades que o atacante pode ter de testar.
- A velocidade dos palpites, que depende muito do método de hash que o site usou.
A conta da força bruta
O número de senhas possíveis é o tamanho do conjunto de caracteres elevado ao tamanho da senha.
| Conjunto de caracteres | Caracteres |
|---|---|
| Só números | 10 |
| Letras minúsculas | 26 |
| Minúsculas + maiúsculas + números | 62 |
| Os quatro tipos do nosso gerador | 85 |
Uma senha de 8 letras minúsculas tem 26^8 possibilidades, cerca de 209 bilhões. Com os 85 caracteres, 8 caracteres dão cerca de 2,7 × 10^15. Cada caractere a mais multiplica o total pelo tamanho do conjunto, e é por isso que o tamanho vence todo o resto.
O que diz a tabela mais recente
Segundo a tabela de senhas de 2026 da Hive Systems, um conjunto de 16 placas de vídeo RTX 5090 atacando senhas guardadas com bcrypt (um hash lento de propósito, com fator de trabalho 10) chegou a cerca de 138.675 palpites por segundo. Nesse ritmo, eles estimam que uma senha de 8 letras minúsculas leva cerca de duas semanas para ser quebrada, e uma senha de 8 caracteres com todos os tipos, cerca de 132 anos. Os tempos deles são o pior caso, em que a senha certa é o último palpite.
Usando a mesma velocidade e o conjunto de 85 caracteres do gerador, este é o tempo de pior caso que calculamos para senhas aleatórias:
| Tamanho | Só minúsculas (26) | Os quatro tipos (85) |
|---|---|---|
| 6 | cerca de 37 minutos | cerca de 32 dias |
| 8 | cerca de 17 dias | cerca de 620 anos |
| 10 | cerca de 32 anos | cerca de 4,5 milhões de anos |
| 12 | cerca de 22.000 anos | cerca de 32 bilhões de anos |
| 16 | cerca de 10 bilhões de anos | cerca de 1,7 × 10^18 anos |
O nosso número para 8 caracteres não bate com o da Hive porque as tabelas diferem no tamanho do conjunto de caracteres, nas configurações do hash e na forma de contar os palpites; a conclusão é a mesma. Em média, o palpite certo aparece mais ou menos na metade do caminho, então divida esses números por dois para um caso típico.
Por que a tabela pode ser generosa demais
A tabela supõe o melhor cenário para você de duas formas.
O site pode usar um hash rápido. O bcrypt foi feito para ser lento. Sistemas antigos ou descuidados usam hashes rápidos como MD5 ou SHA-1 puro, que uma única placa de vídeo consegue testar bilhões de vezes por segundo. Contra eles, os tempos acima encolhem por um fator de um milhão ou mais. Você não tem como saber como um site guarda a sua senha, então suponha o pior caso. O guia MD5 vs SHA-256 explica a diferença.
A sua senha pode não ser aleatória. A força bruta é o ataque mais lento. A quebra de verdade começa com listas de senhas vazadas, palavras de dicionário, nomes, datas e padrões comuns como Password123! (maiúscula no começo, número e símbolo no fim). Uma senha montada assim é descoberta em segundos, não importa quantos tipos de caracteres tenha, porque os atacantes testam esses padrões primeiro.
Ela pode já ter vazado. Se você reutiliza uma senha e algum site onde a usou sofre um vazamento, os atacantes não precisam quebrar nada. Eles simplesmente testam o mesmo e-mail e a mesma senha em outros sites.
O que realmente protege você
- Tamanho e aleatoriedade. Uma senha aleatória de 16 caracteres ou mais está fora do alcance da força bruta para qualquer atacante realista. Segundo a norma SP 800-63B do NIST (revisão 4, 2025), serviços que dependem só da senha devem exigir pelo menos 15 caracteres e não devem impor regras de composição nem trocas periódicas.
- Uma senha diferente para cada site. Isso anula completamente os ataques por reutilização.
- Um gerenciador de senhas. Ele lembra dezenas de senhas longas e aleatórias para que você não precise. Assim, o tamanho não custa nada.
- Autenticação de dois fatores. Mesmo que uma senha seja quebrada, o atacante ainda vai precisar do seu celular ou da sua chave de segurança. Ative primeiro no e-mail, no banco e nas redes sociais.
Se você precisa de uma senha que consiga lembrar e digitar, como a senha mestra do seu gerenciador de senhas, uma frase-senha longa de palavras aleatórias é uma boa opção. Veja frase-senha ou senha.
Crie uma que não vai ser quebrada
Abra o Gerador de Senhas grátis, ajuste o Tamanho para 16 ou mais (ele começa em 20), deixe Minúsculas, Maiúsculas, Números e Símbolos marcados, toque em Gerar e depois em Copiar. A senha é criada no seu dispositivo e nunca é enviada para lugar nenhum. Para saber mais sobre as configurações, veja como criar uma senha forte.
Perguntas frequentes
- Quanto tempo leva para quebrar uma senha de 8 caracteres?
- Depende dos caracteres e de como ela foi guardada. Segundo a tabela de 2026 da Hive Systems, cerca de duas semanas para letras minúsculas aleatórias e cerca de 132 anos com todos os tipos de caracteres, contra bcrypt. Contra um hash rápido como o MD5, as duas caem muito mais depressa.
- Uma senha de 12 caracteres é forte o suficiente?
- Uma senha aleatória de 12 caracteres com todos os tipos está fora do alcance da força bruta. Para contas importantes, 16 ou mais ainda é um padrão melhor, porque não custa nada com um gerenciador de senhas.
- Símbolos deixam a senha mais forte?
- Ajudam um pouco por caractere, mas aumentar o tamanho ajuda mais. Uma senha aleatória de 16 caracteres sem símbolos é mais forte que uma aleatória de 10 caracteres com símbolos.
- Hackers conseguem quebrar qualquer senha um dia?
- Em teoria, sim; na prática, uma senha aleatória de 16 caracteres levaria muito mais tempo do que qualquer atacante pode esperar. As senhas fracas, comuns ou reutilizadas são as que caem rápido.
- É seguro testar a força da minha senha num site?
- Não digite uma senha real em verificadores de força online. Em vez disso, gere uma nova senha aleatória; o nosso gerador a cria no seu dispositivo.
Geradores
Experimente Gerador de Senhas
Grátis, sem cadastro e funciona no seu navegador. Crie uma senha forte e aleatória com um clique: escolha um tamanho de 8 a 128 caracteres e quais tipos usar entre minúsculas, maiúsculas, números e símbolos, depois copie.