NIST diz que sua senha só precisa mudar com sinal de comprometimento, não por calendário

Trocar senha periodicamente deixou de ser recomendado pelo NIST, o instituto de padrões dos Estados Unidos. Na diretriz SP 800-63B, o texto pede que verificadores e provedores de credenciais não exijam essa troca em intervalos fixos. A troca só entra quando há sinal de que a senha foi comprometida.

A diretriz foi escrita para sistemas de informação do governo americano. Mas empresas e desenvolvedores costumam usá-la como referência. Ela trata da autenticação digital pela rede: o login que a gente faz em sites e aplicativos.

Por que trocar senha periodicamente saiu da regra

Por anos, muita conta pediu senha nova a cada poucos meses, por precaução. A SP 800-63B muda esse roteiro. Agora o que conta é a senha ser forte o bastante e não ter aparecido em vazamento. Só se o serviço vir sinal de comprometimento ele deve forçar a troca.

Reprodução/images.squarespace-cdn.com. Fonte

Regras de formato que a diretriz tira de cena

O texto também manda o sistema não impor outras regras de composição, como exigir mistura de tipos de caracteres. Obrigar maiúscula, número e símbolo juntos deixa de ser o caminho. Em vez de regra de formato, o foco passa a ser o tamanho e a checagem contra vazamentos.

Tamanho mínimo e lista de senhas vazadas

Quando a senha sozinha protege a conta, a diretriz pede 15 caracteres no mínimo. Se ela for só parte de um login com segundo fator, o mínimo pode ser 8. O sistema também precisa aceitar senhas de pelo menos 64 caracteres.

Antes de aceitar a senha nova, o serviço deve compará-la com uma lista de senhas comuns, esperadas ou já vazadas. Se ela estiver na lista, o usuário precisa escolher outra. Para ver como os apps avisam sobre vazamento, veja o check-up de senha vazada do Google e do iPhone.

Colar a senha e usar gerenciadores

A diretriz manda o sistema permitir colar a senha no campo de login. Parece detalhe. Mas é isso que deixa o gerenciador de senhas e o preenchimento automático funcionarem, e quem usa senha longa e aleatória depende disso. Se a ideia é largar a senha, a alternativa é a chave de acesso, que troca a senha pela digital ou pelo rosto no aparelho.

Reprodução/n.cdn.cdek.shopping. Fonte

Quando a troca ainda é necessária

Havendo evidência de comprometimento, o serviço deve forçar a troca. Quem oferece o login também precisa limitar as tentativas erradas. A diretriz cita 100 tentativas consecutivas como padrão antes de desativar o autenticador. Órgãos podem adotar um limite menor.

Se a conta já foi tomada, a volta depende do serviço. No gov.br há cinco formas de recuperar o acesso. A Conta Apple tem passos próprios.

Na prática, o que dá para fazer hoje

Quando um app pede troca sem motivo, vale checar se ele oferece verificação em duas etapas e chave de acesso. Senha longa, diferente para cada serviço e conferida contra vazamentos continua sendo a base. Se um alerta de vazamento aparecer, troque a senha no serviço afetado e nas contas que usavam a mesma.

Fonte: pages.nist.gov