Gestor de palavras-passe: como escolher e usar

Tem dezenas de contas e, provavelmente, poucas palavras-passe. É o que acontece à maioria das pessoas, e é aí que mora o risco: se uma palavra-passe repetida for descoberta num serviço, serve para tentar entrar nos outros. Um gestor de palavras-passe resolve esse problema. Este guia explica o que é, o que diz o Centro Nacional de Cibersegurança (CNCS) e como começar sem complicações.

O que o CNCS recomenda

A página do CNCS «Boas práticas no uso de palavras-passe» tem um objetivo claro: manter as palavras-passe secretas e seguras. Estas são as indicações:

• Mantenha as palavras-passe apenas sob o seu conhecimento.
• Crie palavras-passe longas (frases-chave), com pelo menos 12 caracteres. Não use termos próximos, como o nome ou a cidade onde nasceu, nem termos conhecidos, como 1234 e qwerty.
• Use palavras-passe diferentes para cada serviço e guarde-as num gestor de palavras-passe.
• Altere-as imediatamente se suspeitar de comprometimento.
• Evite guardar as palavras-passe nos navegadores.
• Se possível, ative a autenticação de múltiplo fator.
• Altere a palavra-passe de origem na compra de um dispositivo, por exemplo a do Wi-Fi de casa.

O CNCS explica o porquê: a palavra-passe é um dos mecanismos mais importantes contra acessos indevidos, e quando é comprometida ficamos vulneráveis ao furto de identidade através das redes sociais, ao uso indevido da conta bancária ou à exfiltração de dados pessoais. Existem programas que descobrem automaticamente palavras-passe fracas, e vendem-se na Internet listas de palavras-passe furtadas.

O que faz um gestor de palavras-passe

Um gestor guarda as suas palavras-passe num cofre protegido e preenche-as quando precisa. Em vez de decorar dezenas, decora apenas uma, a palavra-passe principal. Isso torna realista seguir o conselho do CNCS: uma palavra-passe diferente e longa em cada serviço, sem ter de a lembrar.

A página do CNCS não indica marcas nem produtos, e este guia também não. O que importa é perceber o que procurar.

Como escolher um gestor

Como o CNCS não recomenda um produto, a escolha é sua. Estas perguntas ajudam:

1. Funciona onde precisa? No telemóvel, no computador e no navegador que usa todos os dias.
2. Pode gerar palavras-passe longas e únicas? É o essencial.
3. Permite autenticação de múltiplo fator no próprio cofre?
4. Quem o desenvolve e como trata os dados? Leia a política de privacidade e confirme que o fornecedor é identificável.
5. Há um plano de recuperação? Perceba o que acontece se se esquecer da palavra-passe principal.
6. Consegue exportar os seus dados? Assim não fica preso a um fornecedor.

Descarregue a aplicação apenas das lojas oficiais ou do site do fornecedor, escrevendo o endereço no navegador. O CNCS aconselha, a propósito das mensagens fraudulentas, a instalar aplicações apenas de sítios oficiais de venda de aplicações.

Como começar a usar, passo a passo

1. Instale o gestor e crie a palavra-passe principal. Faça-a longa, na forma de uma frase-chave que só conheça, e não a use em mais lado nenhum.
2. Ative a autenticação de múltiplo fator no gestor, se ele a oferecer.
3. Comece pelas contas críticas: e-mail, banco, serviços do Estado e redes sociais. Gere uma palavra-passe nova e única para cada.
4. Substitua aos poucos as restantes. Cada vez que iniciar sessão num serviço antigo, mude a palavra-passe pela que o gestor propõe.
5. Retire as palavras-passe guardadas no navegador, depois de confirmar que estão no gestor, como o CNCS recomenda.
6. Ative a autenticação de múltiplo fator em cada serviço que a ofereça, em especial no e-mail.

Saber que contas podem estar expostas

Antes de mudar tudo, ajuda saber onde começar. A Remove Me faz uma análise gratuita, sem conta, do que é visível publicamente sobre si, das fugas conhecidas (através do Have I Been Pwned) e de um registo de corretores de dados. O código de 6 dígitos enviado para o seu e-mail desbloqueia o relatório. Ainda não envia pedidos de apagamento. Iniciar a minha análise gratuita.

Cuidados com a palavra-passe principal

• Não a repita em nenhum outro serviço.
• Não a envie por mensagem nem a escreva num ficheiro solto.
• Desconfie de pedidos para a revelar. O CNCS aconselha a não partilhar dados nem seguir instruções sem verificar o pedido noutra fonte.
• Altere-a de imediato se suspeitar de comprometimento.

O phishing é a forma mais comum de tentar obter palavras-passe. O CNCS descreve-o como um ataque em que o atacante simula uma marca credível ou alguém de confiança para obter informação sensível. Um gestor ajuda a ter palavras-passe únicas, mas não substitui a atenção. Veja o guia sobre phishing: como reconhecer e denunciar.

Verificar se uma palavra-passe já foi exposta

O Pwned Passwords, parte do Have I Been Pwned, indica se uma palavra-passe aparece num conjunto de palavras-passe já expostas em fugas. Usa k-anonimato: o seu navegador envia apenas os 5 primeiros caracteres de uma impressão da palavra-passe e a comparação final faz-se no seu dispositivo. Se a palavra-passe for encontrada, deixe de a usar. Se não for, isso não prova que seja forte. Veja como usar o Have I Been Pwned.

E se uma conta for hackeada?

Mude a palavra-passe e as repetidas noutros serviços e reveja as sessões abertas. Com um gestor, cada serviço tem a sua palavra-passe, por isso o problema fica contido numa conta. O guia fuga de dados e conta hackeada: o que fazer explica o resto.

O que as fontes não dizem

O CNCS não compara nem recomenda gestores específicos, e as fontes lidas não permitem afirmar que um é melhor do que outro. Também não indicam quantas pessoas em Portugal usam gestores de palavras-passe. Por isso este guia fica pelos princípios e pelos passos práticos.

Fontes

Consultadas em 31 de outubro de 2026.

• CNCS: Boas práticas no uso de palavras-passe
• Have I Been Pwned: Pwned Passwords
• CNCS: Boas práticas contra o phishing, o smishing e o vishing
• CNCS: Boas práticas contra mensagens instantâneas fraudulentas