Gerador de palavras-passe e tokens
Palavras-passe, frases-passe e tokens de API, gerados a partir da fonte aleatória criptográfica do seu navegador — crypto.getRandomValues, nunca Math.random — e existindo apenas neste separador. O único sítio onde uma palavra-passe nunca deve ser gerada é dentro de um chat de IA registado, onde a cadeia «aleatória» é texto previsto e a conversa guarda uma cópia. Aqui a aleatoriedade é real e a cópia é só sua.
Palavra-passe
Frase-passe
Token de API
Verificador de força
Aleatório é um mecanismo, não uma sensação
Cada segredo nesta página vem de crypto.getRandomValues, a interface do navegador para a reserva de entropia do sistema operativo — a mesma fonte que o seu gestor de palavras-passe usa. A seleção é por amostragem de rejeição, por isso cada caráter e cada palavra são igualmente prováveis; um módulo ingénuo de um byte aleatório favorece silenciosamente alguns caracteres, e num gerador de palavras-passe um viés silencioso é um defeito real. Math.random não aparece em lado nenhum: é um gerador rápido e previsível feito para animações, e a sua saída futura pode ser reconstruída a partir da sua saída passada. Os valores de entropia impressos junto a cada resultado são calculados a partir das reservas reais — uma palavra-passe de 20 caracteres dos quatro conjuntos é 20 × log₂(95) ≈ 131 bits; uma frase de cinco palavras da lista de 560 palavras é 5 × log₂(560) ≈ 45 bits — para que possa comparar formas honestamente em vez de pelo aspeto complicado que têm. E a regra operacional que motiva a página inteira merece ser repetida: uma palavra-passe gerada numa janela de chat é uma palavra-passe guardada no histórico desse chat, na infraestrutura de outra pessoa, sob uma conta que pode ser comprometida. O artigo principal, nunca deixe um chatbot tratar dos seus segredos, apresenta o caso completo; o identificador de hashes é o companheiro para o dia em que encontrar uma das suas palavras-passe antigas em forma de resumo. Nota: a lista de palavras das frases mantém-se em inglês (são os dados da própria frase).
Perguntas frequentes
Porque não pedir simplesmente uma palavra-passe a um chatbot?
Três razões, cada uma suficiente. A palavra-passe «aleatória» de um chatbot é texto previsto, não aleatoriedade amostrada — os modelos têm padrões favoritos mensuráveis, e uma palavra-passe cuja forma um atacante pode prever é uma palavra-passe meio adivinhada. O chat fica registado: a palavra-passe que acabou de receber existe num histórico de conversa nos servidores de um terceiro, associada à sua conta. E o modelo não pode usar uma fonte aleatória real — não há crypto.getRandomValues por trás de uma resposta de chat. Este gerador amostra diretamente a fonte aleatória criptográfica do navegador, e o resultado existe apenas neste separador. O argumento completo está em nunca deixe um chatbot tratar dos seus segredos.
Palavra-passe ou frase-passe — qual devo usar?
Ambas, para mãos diferentes. Credenciais guardadas por máquinas (as entradas de um gestor de palavras-passe, tokens de API) devem ser palavras-passe ou tokens: entropia máxima por caráter, nunca escritas por um humano. Tudo o que um humano tem de escrever ou memorizar — a palavra-passe mestra do próprio gestor, acima de tudo — deve ser uma frase-passe: cinco palavras de uma lista de 560 transportam cerca de 45 bits e podem realmente ser memorizadas, enquanto a palavra-passe «esperta» de 10 caracteres que ela substitui normalmente transporta menos e é esquecida à sexta-feira.
O que significa realmente o número de entropia?
O número de perguntas de sim/não que um atacante tem de responder, em média metade de 2^bits tentativas, para forçar o segredo — assumindo que sabe exatamente como ele foi gerado, que é o que as estimativas honestas sempre assumem. 40 bits cai perante um atacante motivado com GPU alugadas; 65 bits está fora do alcance prático de ataques em massa; 100+ bits está fora de alcance, ponto final, para qualquer coisa que não seja quebrar a matemática. O valor do gerador é exato para a sua própria saída, porque a reserva e o comprimento são conhecidos; o do verificador de força é etiquetado como estimativa porque a verdadeira reserva de uma palavra-passe escrita é um palpite.
O veredicto do verificador de força é de confiança?
Como piso, não como promessa. Modela a reserva que os seus caracteres implicam e depois cobra pelos padrões que os dicionários de quebra exploram primeiro — repetições, sequências de alfabeto e de teclado, anos e, sem rodeios, as palavras-passe mais comuns da internet. O que não consegue ver é o significado: o nome de um animal de estimação mais uma data de aniversário é «razoável» pela matemática e não vale nada perante quem o conhece. Trate um bom veredicto como necessário, não suficiente — e prefira um segredo gerado a um classificado sempre que uma máquina o possa guardar.
As palavras-passe geradas são guardadas ou enviadas para algum lado?
Não. A geração acontece nesta página, a partir de crypto.getRandomValues, e os resultados vivem na memória do separador até o fechar. Não há conta, nem sincronização, nem evento de análise que carregue a sua saída. O corolário fica do seu lado: uma palavra-passe gerada que não guarde de imediato num gestor de palavras-passe desaparece quando o separador fecha — que é o modo de falha correto, mas planeie para isso.