Auditor de Política de Senhas (em Lote)
Testa uma lista de senhas contra a política que você define e mostra quais falham, quais regras violam e o regex equivalente.
Nada sai do seu navegador. A auditoria roda nesta página só com JavaScript: sem upload, sem requisição, sem armazenamento. O relatório mostra uma máscara (dois primeiros caracteres, comprimento, dois últimos) e nunca a senha inteira. Ainda assim, prefira valores de teste ou senhas que já estão em rotação.
Política
A busca é por trecho dentro da senha, ignorando caixa e acento.
Resumo
Testadas
0
Aprovadas
0
Aprovação
0%
Regras mais violadas
Senha a senha
| # | Senha (mascarada) | Resultado | Regras violadas |
|---|
Regex equivalente
O regex cobre só o comprimento e as quatro caixas de classe exigida. Denylist, sequências, repetição e o contador de "mín. classes" ficam de fora — escrever isso como lookahead seria ilegível e fácil de errar, então mantenha essas quatro checagens no código, ao lado do regex.
Como cada regra é aplicada
As classes de caractere são ASCII, iguais às do regex gerado: [a-z], [A-Z], [0-9] e todo o resto como símbolo. Espaço conta como símbolo e letra acentuada cai em símbolo também, de modo que auditoria e regex nunca discordam sobre a mesma senha. O comprimento é contado em unidades UTF-16, igual ao que o .{min,max} faz.
Sequência é qualquer trio que anda pelo alfabeto ou pelos dígitos de um em um, para cima ou para baixo, mais três teclas vizinhas de uma fileira QWERTY — qwe e ewq caem nas duas. A regra de repetição procura o mesmo caractere três vezes seguidas. O NIST 800-63B pede piso de comprimento e denylist de valores já conhecidos; regras de composição além disso são opcionais, então deixe desmarcado o que você não exige de fato, em vez de auditar contra uma política mais dura que a real.
Testar uma lista de senhas contra a política da empresa
A política de senha costuma existir num documento e, em algum outro lugar, num campo de formulário que aceita coisa demais. O auditor aproxima os dois: você marca o que exige, cola as senhas de teste uma por linha e recebe o veredito de cada uma, com as regras que ela quebrou escritas por extenso. No fim aparece o resumo, com quantas passaram e quais regras derrubaram mais gente.
As classes de caractere são as mesmas do regex gerado: minúscula, maiúscula, dígito e tudo o mais como símbolo. Sequência é qualquer trio que anda pelo alfabeto ou pelos dígitos de um em um, para cima ou para baixo, mais três teclas vizinhas de uma fileira QWERTY. Repetição procura o mesmo caractere três vezes seguidas. A denylist compara sem caixa e sem acento, então Acme pega acme e ácme.
O regex sai pronto para colar na validação do backend, com um lookahead por classe exigida e o quantificador de comprimento no fim. Ele cobre exatamente essas duas coisas: denylist, sequência, repetição e o contador de classes mínimas continuam do lado de fora, porque virariam expressões ilegíveis. Mantenha essas quatro checagens no código, perto do regex, para que ninguém precise adivinhar onde elas moram.
Perguntas frequentes
As senhas coladas saem do navegador?
Por que a senha aparece cortada na tabela?
O regex gerado basta como validação?
Ferramentas Relacionadas
Bcrypt — Gerador e Verificador
Gere hashes bcrypt seguros a partir de senhas e verifique se uma senha corresponde a um hash bcrypt existente.
Verificador de Força de Senha
Analise a força de qualquer senha: comprimento, classes de caracteres, entropia em bits e estimativa de resistência. Processado no navegador — a senha não sai do dispositivo.
Verificador de senhas mais comuns
Compara senha contra lista das 1000 senhas mais usadas e alerta se for previsível — checagem 100% client-side.