Gerenciadores de senhas: como funcionam e se são seguros

O que é um gerenciador de senhas?

Um gerenciador de senhas é um programa que gera, armazena e preenche suas senhas ^[2]. Ele pode vir embutido no navegador ou no celular, ou ser um app separado de terceiros ^[1]. Você o desbloqueia com uma senha principal (muitas vezes chamada de senha mestra), então só precisa memorizar uma senha forte ^[2].

A principal vantagem é poder usar uma senha exclusiva em cada serviço, já que você não precisa mais memorizá-las ^[1]. Isso importa porque senhas reutilizadas espalham o estrago. O NCSC explica que, se uma conta for comprometida, um hacker pode testar a mesma senha nas suas outras contas ^[1].

A maioria dos gerenciadores também oferece ^[1]:

• Geração de senhas: criação de uma senha forte e exclusiva para cada conta.
• Preenchimento automático: digitação da senha por você, o que também ajuda contra o phishing, porque ela só é preenchida no site correto.
• Sincronização: suas senhas ficam disponíveis em todos os seus dispositivos.
• Alertas de vazamento: aviso quando uma senha salva foi vazada.

As agências de segurança recomendam esses programas?

Sim. A CISA, agência de cibersegurança dos EUA, recomenda usar um gerenciador de senhas para guardar todas as senhas e proteger o cofre com uma frase-senha forte ^[3]. As diretrizes de 2025 do NIST vão além no caso dos sites: os serviços devem permitir gerenciadores de senhas e preenchimento automático, e devem permitir colar senhas ^[4].

Como um gerenciador de senhas mantém as senhas seguras?

Suas senhas salvas ficam em um arquivo criptografado chamado cofre. O white paper de segurança publicado pelo Bitwarden é um exemplo detalhado de como um gerenciador em nuvem o protege ^[5]:

1. Sua senha mestra é reforçada por uma função de derivação de chave, PBKDF2-SHA256 com 600.000 iterações por padrão, para criar uma chave de criptografia. Os usuários podem trocá-la pelo Argon2id ^[5].
2. O cofre é criptografado no seu dispositivo com AES-256 antes de qualquer envio ^[5].
3. A senha mestra e as chaves de criptografia derivadas dela nunca são enviadas aos servidores do Bitwarden nem armazenadas neles; o servidor recebe apenas um hash da senha mestra, usado para verificar logins ^[5].
4. Os servidores armazenam e sincronizam os dados do cofre apenas em forma criptografada, e o Bitwarden diz que sua equipe não consegue ver suas senhas ^[5].

Esse modelo costuma ser divulgado como criptografia de conhecimento zero: a empresa não deveria conseguir ler seu cofre nem mesmo se seus servidores fossem invadidos. Pesquisadores observam que as alegações dos fornecedores implicam proteção até contra um servidor totalmente malicioso ^[6]. O reforço da chave torna lenta cada tentativa de adivinhar a senha mestra, e é por isso que uma senha mestra longa importa caso um cofre criptografado seja roubado; pesquisadores apontaram senhas mestras fracas e baixas contagens de iterações em contas antigas da LastPass ^[9].

E os gerenciadores de senhas do navegador e do celular?

O NCSC diz que é seguro deixar o navegador ou o sistema operacional salvar senhas nos seus próprios dispositivos e que Chrome, Edge e Safari oferecem isso ^[1]. O app Senhas da Apple, lançado com o iOS 18, armazena senhas, passkeys, senhas de Wi-Fi e códigos de verificação. Ele também alerta sobre senhas fáceis de adivinhar, reutilizadas ou encontradas em vazamentos de dados conhecidos ^[10]. O NCSC observa que as senhas salvas no navegador são tão seguras quanto seus dispositivos e contas, por isso mantenha as atualizações automáticas de segurança ativadas ^[1].

Os gerenciadores de senhas são seguros?

Os gerenciadores de senhas concentram seus segredos em um só lugar, por isso sua segurança já foi testada publicamente, tanto por atacantes quanto por pesquisadores. Vale a pena conhecer dois casos.

O que aconteceu no vazamento da LastPass?

Em agosto de 2022, atacantes invadiram a LastPass em dois incidentes interligados. No segundo, exploraram uma falha em um software de servidor de mídia no computador pessoal de um engenheiro sênior e instalaram um keylogger para roubar a senha mestra dele ^[8]. Isso lhes deu as chaves necessárias para baixar o banco de dados de backup da LastPass ^[8]. Em dezembro de 2025, o Information Commissioner's Office (ICO) do Reino Unido multou a LastPass em 1,2 milhão de libras. O órgão concluiu que a empresa não havia implementado medidas de segurança suficientemente robustas ^[8]. Até 1,6 milhão de usuários do Reino Unido foram afetados. Nomes, endereços de e-mail, números de telefone e URLs de sites armazenados foram levados ^[8].

O ICO não encontrou indícios de que senhas de clientes tenham sido descriptografadas ^[8]. Em paralelo, em 2023, pesquisadores de segurança associaram mais de 150 vítimas e mais de US$ 35 milhões em roubos de criptomoedas a frases-semente guardadas na LastPass. Eles suspeitavam que senhas mestras fracas de cofres roubados estivessem sendo quebradas offline ^[9]. Os pesquisadores disseram que provavelmente não conseguiriam vincular os roubos ao vazamento de forma conclusiva, então isso continua sendo uma suspeita, não uma constatação confirmada ^[9].

O que o estudo de 2026 da ETH Zurich descobriu?

Pesquisadores da ETH Zurich e da Università della Svizzera italiana (USI) testaram se as alegações de “conhecimento zero” de quatro gerenciadores em nuvem se sustentam quando o servidor da empresa é totalmente malicioso, por exemplo depois de uma invasão ^[6]. Eles apresentaram 12 ataques distintos contra o Bitwarden, 7 contra o LastPass, 6 contra o Dashlane e 6 contra o 1Password ^[6]. A maioria permite recuperar senhas, e os piores chegam ao comprometimento total de todos os cofres de uma organização ^[6].

O contexto importa. Os ataques pressupõem que o atacante já controla os servidores do fornecedor ^[7]. Muitos ainda dependem de ações comuns do usuário, como fazer login ou sincronizar; outros exigem ações como compartilhamento ou rotação de chaves ^[7]. Os pesquisadores comunicaram as descobertas aos fornecedores, e a correção está em andamento ^[6]. O Dashlane disse ter removido a criptografia legada por trás do seu problema mais grave, e a LastPass contestou partes da avaliação de gravidade ^[7]. Os pesquisadores disseram não poder descartar que atacantes avançados já conheçam essas fraquezas ^[7].

Então ainda vale a pena usar um?

A recomendação oficial continua sendo sim. O NCSC ^[1] e a CISA ^[3] recomendam gerenciadores de senhas, porque a alternativa, para a maioria das pessoas, é reutilizar senhas fracas. As lições desses casos são escolher uma senha mestra forte, ativar a verificação em duas etapas e manter o software atualizado ^[1][3].

Como os gerenciadores de senhas se comparam a outras formas de guardar senhas?

Cada abordagem troca conveniência por riscos diferentes. O NCSC aceita anotar senhas em um caderno para algumas pessoas, por exemplo quem precisa da ajuda da família para administrar contas, porque um atacante precisaria de acesso físico ^[1]. Alerta, porém, que alguns bancos proíbem anotar senhas, que qualquer pessoa com acesso pode copiá-las e que você perde a proteção do preenchimento automático contra sites de phishing ^[1]. A CISA desaconselha salvar senhas em um arquivo no computador ^[2].

Como escolher e configurar um gerenciador de senhas?

O NCSC diz que o melhor gerenciador de senhas é aquele que atende às suas necessidades e que você acha mais fácil de usar ^[1]. Entre os pontos a considerar estão: se ele funciona em todos os seus dispositivos e sistemas operacionais, se você consegue controlar as senhas que ele gera, se você vai pagar ou usar uma versão gratuita e recursos extras, como compartilhamento de senhas ou alertas de vazamento ^[1]. A principal vantagem de um gerenciador de terceiros sobre o do navegador é sincronizar entre uma mistura de navegadores e dispositivos ^[1].

1. Crie uma senha mestra forte. A CISA recomenda senhas com pelo menos 16 caracteres, aleatórias ou em forma de frase-senha com 4 a 7 palavras sem relação entre si ^[2], e diz que a senha do cofre deve ser longa, exclusiva e aleatória ^[3].
2. Ative a verificação em duas etapas no gerenciador. O NCSC diz que isso mantém os criminosos do lado de fora mesmo que descubram sua senha principal ^[1].
3. Configure a recuperação. Se você esquecer a senha principal, muitos gerenciadores oferecem dicas de senha ou acesso de emergência por meio de contatos de confiança ^[1]. Configure isso antes de precisar.
4. Substitua senhas fracas. Revise as senhas existentes e troque as que não forem longas, exclusivas e aleatórias por senhas geradas pelo gerenciador ^[3].
5. Evite computadores compartilhados. Nunca salve senhas no navegador de um computador compartilhado ou público ^[1].
6. Adicione passkeys quando oferecidas. O NCSC agora recomenda as passkeys como primeira opção de login, com senhas fortes e verificação em duas etapas onde não houver passkeys ^[11]. Muitos gerenciadores também armazenam passkeys; o NCSC chama essas ferramentas de gerenciadores de credenciais ^[12].

Que regras de senha as diretrizes oficiais recomendam hoje?

O SP 800-63B-4 do NIST, finalizado em 2025, mudou regras de senha antigas para sites e serviços de um jeito que favorece os gerenciadores de senhas ^[4]:

• Senhas usadas como único fator devem ter pelo menos 15 caracteres; senhas usadas com outro fator devem ter pelo menos 8 ^[4].
• Os serviços devem permitir senhas de pelo menos 64 caracteres ^[4].
• Os serviços não devem impor regras de composição, como exigir uma mistura de tipos de caracteres ^[4].
• Os serviços não devem forçar trocas periódicas de senha, mas devem forçar a troca se houver indícios de comprometimento ^[4].
• Novas senhas devem ser verificadas em uma lista de bloqueio de senhas comuns, previsíveis ou comprometidas ^[4].
• Os serviços devem permitir gerenciadores de senhas e preenchimento automático, e devem permitir colar senhas ^[4].

Essas regras se aplicam aos serviços, não diretamente a você. Elas facilitam que um gerenciador gere e preencha senhas longas e aleatórias.

Qual é o futuro dos gerenciadores de senhas?

Os gerenciadores de senhas estão se transformando em gerenciadores de credenciais em geral. O app Senhas da Apple já guarda passkeys e códigos de verificação junto com as senhas ^[10]. O NCSC espera que as pessoas continuem usando senhas, administradas por um gerenciador, onde ainda não houver passkeys, enquanto as passkeys se difundem ^[11][12].

A pesquisa de 2026 também pressionou as alegações de segurança dos fornecedores. Os pesquisadores recomendam que novos usuários entrem já com a criptografia mais recente por padrão e que os clientes existentes possam escolher se querem migrar ^[7]. A versão completa do artigo, revisada pela última vez em agosto de 2026, inclui resultados adicionais sobre o 1Password ^[6].

Estas são informações gerais de segurança, não uma recomendação de produto. Consulte a documentação de segurança publicada e o histórico de atualizações de um gerenciador antes de confiar suas contas a ele.