Senhas invioláveis não existem. Contas muito mais difíceis de invadir, sim.

Quando escrevi a primeira versão deste artigo, o foco estava em “misturar tudo”: maiúsculas, minúsculas, números e símbolos. Esse conselho não está completamente errado, mas ficou pequeno diante do problema real.

Uma senha pode ter símbolo, número e letra maiúscula e ainda ser fraca. Leandro@2026, por exemplo, segue um padrão previsível. Da mesma forma, trocar uma senha fraca por uma variação igualmente previsível não transforma aquela conta em uma conta segura.

Hoje, eu olho primeiro para quatro perguntas: a senha é longa? É única? Foi criada sem informações pessoais? Está protegida por uma segunda camada de autenticação?

Para contas que ainda dependem de senha, o melhor cenário é usar uma credencial longa, aleatória e exclusiva. Quando um cofre de senhas está disponível, não existe motivo para tentar criar manualmente dezenas de combinações memoráveis.

Quando você precisar memorizar uma senha, como a senha mestra do cofre, prefira uma frase longa e exclusiva. Ela pode ser construída com palavras sem relação óbvia entre si, desde que não seja uma frase conhecida, um trecho de música, uma citação pública ou algo ligado à sua vida.

O problema de repetir senhas quase sempre começa da mesma forma: a pessoa tenta memorizar acessos demais. E-mail, banco, redes sociais, lojas, streaming, trabalho, aplicativos, escola, serviços públicos e dezenas de cadastros antigos.

Um cofre de senhas troca esse modelo. Em vez de memorizar cada credencial, você protege bem o cofre e deixa que ele gere e organize senhas diferentes para cada serviço.

A senha mestra não protege uma única conta. Ela protege o lugar onde todas as outras credenciais estão guardadas. Por isso, não deve ser uma senha reaproveitada, curta ou baseada em informações fáceis de descobrir.

Existe uma estratégia complementar que achei interessante para algumas contas importantes. A ideia é deixar uma parte da senha salva no cofre e acrescentar manualmente um pequeno segredo que não fica armazenado ali.

Na prática, o cofre preenche a parte aleatória. Antes de entrar, você acrescenta o final que conhece de memória. Assim, uma cópia isolada do item salvo no cofre não contém necessariamente a senha completa utilizada no serviço.

Mesmo uma senha forte pode ser roubada por phishing, malware, engenharia social ou vazamento. A autenticação multifator reduz esse risco ao exigir outra comprovação além da senha.

Quando houver opção, eu priorizaria métodos resistentes a phishing, como passkeys ou chaves de segurança. Quando isso não estiver disponível, ainda vale ativar o melhor método oferecido pelo serviço e guardar os códigos de recuperação fora do alcance de terceiros.

Passkeys substituem a senha por um par de chaves criptográficas. O serviço recebe uma chave pública; a chave privada permanece protegida no seu dispositivo ou no provedor de passkeys. Para entrar, você confirma a ação com biometria, PIN ou bloqueio do aparelho.

Esse modelo também dificulta o phishing porque a credencial é vinculada ao serviço correto. Uma página falsa não consegue simplesmente receber e reutilizar a passkey como faria com uma senha digitada.

Muita gente protege bem a senha principal e esquece as rotas alternativas. Um e-mail antigo, um telefone que não existe mais ou perguntas de segurança fáceis podem abrir uma porta lateral para a conta.

Quando existe suspeita de comprometimento, apenas trocar a senha e seguir a vida pode não ser suficiente. O invasor pode ter criado uma sessão persistente, alterado a recuperação, conectado um aplicativo ou configurado encaminhamento de e-mails.

Você não precisa reorganizar toda a vida digital em um único dia. Comece pelas contas que podem ser usadas para recuperar, movimentar dinheiro, representar sua identidade ou acessar informações importantes.