Como escolher um gerenciador de senhas e usá-lo bem

Quando um site sofre um vazamento, os pares de e-mail e senha roubados raramente ficam só com quem fez o ataque. Eles são comercializados e alimentam ferramentas automatizadas que testam a mesma combinação em provedores de e-mail, lojas, redes sociais e plataformas de jogos. Essa técnica, chamada de credential stuffing, só funciona quando as pessoas reutilizam senhas, e é uma das formas mais frequentes de invadir contas de usuários comuns.

Senhas exclusivas quebram essa corrente. Se cada conta tiver a própria senha longa e aleatória, um vazamento em um serviço fica restrito àquele serviço. O problema é que ninguém consegue decorar dezenas de sequências aleatórias, e é exatamente para isso que um gerenciador de senhas existe.

Um gerenciador de senhas guarda os seus logins em um cofre criptografado que abre com uma única senha mestra e, muitas vezes, com a digital ou o reconhecimento facial em dispositivos de confiança. Ele gera senhas longas e aleatórias quando você cria uma conta ou troca uma senha e as preenche para você na hora de entrar.

O preenchimento automático também é um recurso discreto contra phishing. O gerenciador associa cada login salvo ao endereço exato do site, então ele não vai oferecer a senha do seu banco em um domínio que só imita o original. Se o seu gerenciador de repente não reconhecer uma página de login que você usa com frequência, pare e confira o endereço antes de digitar qualquer coisa manualmente.

A maioria dos gerenciadores faz mais do que guardar senhas. Entre os extras mais comuns estão notas seguras para códigos de backup e dados de recuperação, armazenamento de passkeys, alertas quando uma senha salva aparece em um vazamento conhecido, avisos sobre senhas fracas ou repetidas e compartilhamento seguro com a família ou com uma equipe.

A criptografia vem em primeiro lugar. Procure criptografia de ponta a ponta, às vezes descrita como arquitetura de conhecimento zero, o que significa que o cofre é criptografado no seu próprio dispositivo e o provedor não consegue lê-lo. Documentação de segurança publicada e auditorias independentes são bons sinais de que a empresa leva isso a sério.

Em seguida, confira se o gerenciador acompanha você em todo lugar: nos navegadores que você usa, no celular e no computador, com uma sincronização confiável entre eles. O próprio cofre deve aceitar autenticação em dois fatores, de preferência com app autenticador ou chave de segurança, para que uma senha mestra roubada não baste para abri-lo.

Por fim, pense na saída antes de entrar. Um bom gerenciador permite exportar os seus dados em um formato padrão, para que você nunca fique preso a ele. Veja o que acontece se você esquecer a senha mestra: alguns serviços oferecem um kit de recuperação ou um contato de confiança, enquanto as arquiteturas de conhecimento zero mais rígidas podem não ter recuperação nenhuma, o que torna essencial uma folha de emergência guardada em local seguro.

Hoje, navegadores e sistemas operacionais já trazem gerenciadores de senhas bem capazes. O Gerenciador de Senhas do Google vem integrado ao Chrome e ao Android, os aparelhos Apple incluem um gerenciador de senhas que sincroniza pelas Chaves do iCloud, e o Microsoft Edge salva senhas na sua conta Microsoft. Eles não custam nada a mais, já estão no seu dispositivo e sincronizam automaticamente dentro do próprio ecossistema.

O limite deles é justamente esse ecossistema. Se você usa um iPhone junto com um computador Windows, ou alterna entre vários navegadores, um gerenciador nativo pode não acompanhar você com conforto em todos os lugares. Os gerenciadores independentes, incluindo os oferecidos por provedores focados em privacidade como a Proton, funcionam em várias plataformas e navegadores e costumam trazer compartilhamento mais completo, notas seguras e uma organização mais flexível.

Qualquer uma das duas escolhas é muito melhor do que reutilizar senhas. Fique com aquela que você vai de fato usar todos os dias e evite espalhar os seus logins por vários gerenciadores, porque assim fica fácil perder a noção de qual cópia está atualizada.

A senha mestra é a única senha que você precisa lembrar, então ela deve ser longa e fácil de memorizar, e não curta e complicada. Uma frase-senha com várias palavras sem relação entre si é mais fácil de digitar e muito mais difícil de adivinhar do que uma sequência curta de símbolos. Nunca a use em nenhum outro lugar.

Ative a autenticação em dois fatores no gerenciador logo de início e guarde os códigos de backup ou o kit de emergência offline, por exemplo em papel, em um lugar seguro da sua casa. Se o gerenciador oferecer um método de recuperação, configure-o agora, e não depois de perder o acesso.

Depois, ajuste algumas configurações: bloqueie o cofre após um curto período de inatividade, exija a senha mestra ou a biometria depois que o aparelho reiniciar e mantenha os apps e as extensões do navegador atualizados para receber as correções de segurança.

A maioria dos gerenciadores consegue importar senhas salvas no navegador ou exportadas de outro gerenciador, geralmente em um arquivo CSV. Esse arquivo é texto puro, sem criptografia, então exporte, importe na mesma hora e depois apague, inclusive a cópia que ficou na pasta de downloads e na lixeira.

Depois da importação, desative o salvamento de senhas do próprio navegador se você migrou para um gerenciador independente, para que os novos logins não fiquem em dois lugares. Em seguida, abra o relatório de segurança do gerenciador e comece a corrigir as senhas fracas e repetidas. Priorize as suas contas de e-mail, já que elas podem redefinir todo o resto, e depois passe para as contas financeiras, de trabalho e de redes sociais.

Você não precisa trocar tudo em uma noite só. Atualize cada senha restante na próxima vez que entrar no site correspondente e, em poucas semanas, a maior parte do seu cofre será formada por senhas exclusivas e geradas automaticamente.

Dados de login que chegam até você por e-mail, em um documento compartilhado ou na página de um pedido devem ir para o gerenciador, e não para prints ou anotações comuns. Crie uma nova entrada com o endereço do site, o nome de usuário e a senha, e acrescente o e-mail de recuperação, os códigos de backup e outros detalhes de configuração no campo de notas da entrada.

Se você comprou uma conta no rStock, o conteúdo entregue aparece na página do pedido como um registro de entrega vinculado ao pedido. Copie-o para o gerenciador e, em seguida, troque a senha por uma nova gerada automaticamente, defina as suas próprias opções de recuperação e ative a autenticação em dois fatores. Fazer isso logo também permite confirmar que tudo funciona enquanto ainda dá para abrir uma disputa dentro do prazo limitado após a entrega. Use sempre essas contas de acordo com os termos de uso da marca.

Com a conta protegida, apague as cópias extras que você colou em notas, conversas ou arquivos de texto. O gerenciador deve ser o único lugar onde fica a senha atual, o que facilita atualizá-la e dificulta que outra pessoa a encontre.