Uma palavra-passe é uma sequência secreta que comprova a sua identidade. É o método de autenticação mais antigo e comum. É também o mais frágil. As pessoas reutilizam as palavras-passe em diversos sites. Escolhem palavras fáceis de recordar e de adivinhar. Anotam-nas em post-its e partilham-nas com os colegas. Os cibercriminosos sabem disso. O roubo de credenciais é o ponto de partida para a maioria das violações de segurança.

A força de uma palavra-passe reside no seu comprimento e imprevisibilidade. Uma frase-palavra-passe de 12 caracteres composta por palavras aleatórias é mais forte e fácil de memorizar do que uma sequência de 8 caracteres. O problema não está na password em si, mas sim no sistema que a suporta. Armazenar palavras-passe em texto simples é negligente. Armazená-las com um hash rápido é quase tão mau. As passwords devem ser encriptadas com um salt e um algoritmo de hash lento, como o bcrypt ou o Argon2. A limitação da taxa bloqueia as tentativas de força bruta. A deteção de violações compara novas palavras-passe com listas de palavras-passe divulgadas conhecidas.

Melhores práticas para as palavras-passe

• Utilize um gestor de palavras-passe — gere e armazene palavras-passe exclusivas.
• Extensão em vez de complexidade — quanto mais longo, melhor —
• Nunca reutilize — uma violação não deve causar consequências em cadeia.
• Ative a autenticação multifator (MFA) — uma palavra-passe por si só não é suficiente.
• Verifique se houve violações de segurança — altere imediatamente as palavras-passe comprometidas.

As palavras-passe não vão desaparecer tão cedo, mas já não são suficientes por si só. Considere-as como uma camada de proteção, e não como a defesa completa.