Gerenciador de senhas: por que usar e como começar

Um gerenciador de senhas é um aplicativo que guarda todos os seus logins em um cofre criptografado, cria senhas longas e diferentes para cada site e preenche tudo para você. Em vez de decorar dezenas de senhas (ou repetir a mesma em todo lugar), você precisa lembrar de uma só: a que abre o cofre.

Vale a pena usar? Para a maioria das pessoas, sim, porque o maior risco do dia a dia é reutilizar senha. Quando um site vaza dados, golpistas testam o mesmo e-mail e a mesma senha em bancos, redes sociais e lojas. Com senhas únicas, o vazamento de um site não derruba as outras contas.

Por que reutilizar senha é perigoso

O padrão de segurança de identidade digital do NIST, órgão de padrões dos Estados Unidos, descreve o ataque de “password stuffing”: o invasor pega uma senha vazada de um site e tenta usá-la em outros. O NIST afirma que senhas distintas para cada serviço são importantes para evitar esse tipo de ataque, e que os gerenciadores ajudam justamente a manter senhas diferentes. O documento também diz que eles aumentam a chance de as pessoas escolherem senhas mais fortes, principalmente quando têm gerador de senhas.

Quase todo mundo já passou por isso: a senha “boa” que você usa há anos no e-mail, no streaming e na loja virtual. Se uma delas vaza, as outras ficam expostas. Para ver o que fazer quando algo dá errado, veja também o guia sobre celular roubado, em que as senhas dos seus apps entram na lista de prioridades.

Como um gerenciador de senhas funciona

Na prática, o gerenciador faz quatro coisas:

1. Guarda usuário e senha de cada site e app em um cofre criptografado.
2. Gera senhas fortes, longas e aleatórias, que você nunca precisa digitar.
3. Preenche o login automaticamente, no navegador e no celular.
4. Avisa quando uma senha salva está fraca, repetida ou apareceu em um vazamento, nos serviços que oferecem essa verificação.

O Gerenciador de Senhas do Google, por exemplo, sugere senhas fortes e exclusivas, avisa sobre senhas comprometidas e permite verificar, de uma só vez, quais senhas salvas foram expostas em violações de dados ou são fracas e fáceis de adivinhar, segundo a ajuda oficial do Chrome.

Navegador ou aplicativo dedicado?

Existem dois caminhos principais:

Para quem está começando, o gerenciador que já está no celular e no navegador costuma ser o caminho mais fácil. Se você usa vários sistemas (Android, iPhone, Windows), compare os aplicativos dedicados. Em qualquer caso, escolha um serviço de empresa conhecida, com criptografia e verificação em duas etapas. O próprio NIST recomenda avaliar com cuidado um gerenciador antes de adotá-lo.

Como começar em 6 passos

1. Escolha o gerenciador. Se já usa o Chrome, o Gerenciador de Senhas do Google é um ponto de partida: no computador, vá em Mais, depois Senhas e preenchimento automático, depois Gerenciador de senhas do Google. Em contas do Google, as senhas salvas aparecem também em passwords.google.com.
2. Proteja a entrada. Crie uma senha mestra (ou proteja a conta do gerenciador) com uma frase longa que só você conheça, e ative a verificação em duas etapas. A própria ajuda do Google recomenda adicionar informações de recuperação e ativar a verificação em duas etapas para proteger os dados de login salvos.
3. Salve o que você já usa. Quando o navegador perguntar se quer salvar uma senha, aceite. Você também pode adicionar manualmente site, usuário e senha.
4. Troque as senhas importantes primeiro. Comece por e-mail, banco, redes sociais e lojas. Ao criar a nova senha, use a opção de senha sugerida pelo gerenciador; ela é salva automaticamente.
5. Rode a verificação de senhas. Use o recurso de verificar senhas comprometidas e troque as que aparecerem como expostas, repetidas ou fracas.
6. Teste no celular. Instale o app, ative o preenchimento automático e confirme que o login funciona nos aplicativos que você mais usa.

Como escolher uma boa senha mestra

A senha mestra é a única que você precisa lembrar, então ela merece cuidado:

• Prefira uma frase longa de várias palavras, que faça sentido só para você, em vez de uma palavra curta com símbolos.
• Não use a mesma senha de nenhum outro serviço.
• Não use data de nascimento, nome de familiar ou de pet.
• Anote o código de recuperação, se o serviço oferecer, e guarde em local físico seguro, longe do computador.

Riscos e cuidados

Concentrar tudo em um cofre soa arriscado, e o cuidado é real: o NIST cita como ameaça a exploração de uma vulnerabilidade em um gerenciador mal implementado. Isso pesa a favor de um serviço mantido por empresa estabelecida e de atualizações em dia. Os cuidados básicos:

• Ative a verificação em duas etapas no gerenciador e no e-mail de recuperação.
• Mantenha o celular, o navegador e o app sempre atualizados.
• Use bloqueio de tela no celular e no computador.
• Nunca digite a senha mestra em links recebidos por mensagem: golpes de phishing imitam telas de login.
• Cuidado com o que você cola em ferramentas de inteligência artificial; veja o que não colar no chatbot, e nunca cole senhas.

Chaves de acesso (passkeys)

Alguns serviços já permitem entrar com uma chave de acesso, no lugar da senha. O Google informa que as chaves de acesso, salvas na Conta do Google, são mais seguras e fáceis de usar do que as senhas. Se o site oferecer essa opção, vale ativar: você confirma o login com a biometria ou o bloqueio do aparelho. Para sites que ainda exigem senha, o gerenciador continua sendo a melhor saída.

Como exportar ou trocar de gerenciador

Se mudar de ideia, dá para levar seus logins junto. No Chrome para computador, o caminho oficial é: Configurações, no menu à esquerda do Gerenciador de Senhas, e então “Baixar o arquivo” ao lado de “Exportar senhas”. Esse tipo de arquivo costuma conter as senhas sem proteção.

Resumo

• Um gerenciador de senhas guarda seus logins em um cofre criptografado e cria senhas únicas para cada site.
• O maior ganho é acabar com a reutilização de senha, que facilita o ataque do tipo “password stuffing” descrito pelo NIST.
• Para começar, o gerenciador do navegador ou do celular já resolve; apps dedicados valem se você usa vários sistemas.
• Proteja o cofre com senha mestra forte (uma frase longa) e verificação em duas etapas, e configure a recuperação.
• Troque primeiro as senhas de e-mail, banco e redes sociais e rode a verificação de senhas comprometidas.