A NIST SP 800-63B (revisão de 2024) estabelece um mínimo de 8 caracteres para palavras-passe escolhidas pelo utilizador, mas incentiva valores muito superiores, permitindo pelo menos 64 caracteres. O Centro Nacional de Cibersegurança (CNCS) recomenda, nas suas linhas de orientação para entidades públicas e cidadãos, palavras-passe com 12 caracteres ou mais. Para contas críticas, como o Portal das Finanças, a Segurança Social Direta ou o e-mail principal, procure 14 ou mais caracteres aleatórios, ou uma frase-passe de 4 ou mais palavras não relacionadas. O comprimento importa mais do que qualquer regra específica de complexidade, porque cada caractere adicional multiplica o espaço de chaves.

Não. A NIST SP 800-63B abandona explicitamente as regras obrigatórias de composição porque empurram os utilizadores para padrões previsíveis como 'PalavraPasse1!'. Uma palavra-passe longa e verdadeiramente aleatória, mesmo de um conjunto mais pequeno, pode ter mais entropia do que uma palavra-passe curta com todas as classes de caracteres. O CNCS, alinhado com a ENISA, também privilegia o comprimento. Utilize primeiro o comprimento; as classes mistas são um multiplicador útil sobre o comprimento, não um substituto.

Ambas podem ser fortes se tiverem entropia suficiente. Uma frase-passe de 4 a 6 palavras aleatórias de uma lista extensa (como a lista Diceware de 7.776 palavras, popularizada pelo cartoon XKCD 'correct horse battery staple') fornece cerca de 12,9 bits por palavra, pelo que uma frase de 5 palavras ronda os 64 bits e uma de 6 palavras cerca de 77 bits. As frases-passe costumam ser mais fáceis de digitar e memorizar, o que importa para as poucas credenciais que tem realmente de saber de cor, como a palavra-passe mestra do gestor.

Sim. O CNCS, a ENISA e a NIST recomendam gestores de palavras-passe para que cada conta possa ter um segredo único e de elevada entropia que não precisa de recordar. Memoriza apenas uma frase-passe mestra forte e protege-a com 2FA. A reutilização de palavras-passe entre sítios é o maior amplificador de danos em caso de violação — em conformidade com o RGPD (Regulamento (UE) 2016/679) e com a Lei n.º 58/2019, as organizações são obrigadas a proteger dados pessoais, mas o utilizador final continua a ser a primeira linha de defesa.

Sempre, onde for oferecida. A NIST SP 800-63B trata a autenticação multifactor como controlo essencial para qualquer conta com risco não trivial, e a Diretiva NIS2 (transposta em Portugal pelo Decreto-Lei que actualiza o regime de cibersegurança) torna-a obrigatória para entidades essenciais e importantes. Prefira fatores resistentes a phishing, como chaves de segurança FIDO2 ou passkeys da plataforma; aplicações autenticadoras TOTP são a opção seguinte. Códigos por SMS são melhores do que nada, mas vulneráveis a ataques de SIM swap, alvo de avisos do CNCS.

Utilize o serviço Pwned Passwords do Have I Been Pwned, que permite verificar uma palavra-passe contra milhares de milhões de credenciais comprometidas através de um modelo de k-anonimato, sem que a palavra-passe completa saia do seu dispositivo. Se uma palavra-passe gerada aparecer na lista, gere outra. Qualquer palavra-passe que tenha utilizado noutro sítio deve ser considerada exposta se esse sítio sofrer uma violação — e a notificação dessas violações é obrigatória ao abrigo do RGPD, sendo a CNPD (Comissão Nacional de Proteção de Dados) a autoridade de controlo em Portugal.

Sim, quando a geração é do lado do cliente e utiliza uma fonte criptograficamente segura. Esta ferramenta funciona inteiramente no seu navegador usando o crypto.getRandomValues da Web Crypto API, o mesmo CSPRNG recomendado pela OWASP para tokens de segurança. Nada é enviado para um servidor e nada é armazenado, em conformidade com os princípios de minimização de dados do RGPD. Ainda assim, cole a palavra-passe diretamente no seu gestor de palavras-passe e não em janelas de chat ou aplicações de notas, e ative o ecrã de bloqueio do dispositivo.