Quais são as diretrizes de senha do NIST?

Diretrizes de senha do NIST e segurança cibernética: fortaleça o gerenciamento de identidades digitais com as recomendações de conformidade.

Nesse Artigo

Desde 2014, o Instituto Nacional de Padrões e Tecnologia (NIST), agência federal dos EUA, emite diretrizes para o gerenciamento de identidades digitais através da Publicação Especial 800-63B. A revisão 3, lançada em 2017 e atualizada em 2020, foi por muito tempo o padrão vigente — mas em agosto de 2025 o NIST publicou a revisão 4 (SP 800-63-4) como versão final, que já substitui a revisão 3.

A Seção sobre segredos memorizados traz recomendações sobre como usuários podem criar ou alterar senhas, incluindo diretrizes sobre força de senha. A Publicação Especial 800-63B também cobre verificadores (software, sites, serviços de diretório de rede etc.) que validam e processam senhas durante autenticação e outros processos.

Nem toda organização precisa aderir às diretrizes do NIST. Ainda assim, muitas seguem as recomendações de política de senha do NIST mesmo sem obrigação, porque oferecem uma boa base para gerenciamento sólido de identidade digital. Senhas fortes ajudam a bloquear ataques como força bruta, credential stuffing e ataques de dicionário — e reduzir riscos de identidade ajuda a manter conformidade com regulamentações como HIPAA, FISMA e SOX.

Lista rápida de diretrizes de senha do NIST (revisão 4)

Senhas usadas como fator único de autenticação devem ter no mínimo 15 caracteres.
Senhas usadas como um dos fatores em autenticação multifator (MFA) devem ter no mínimo 8 caracteres.
Senhas geradas por máquina devem ter pelo menos 6 caracteres.
Usuários devem poder criar senhas com pelo menos 64 caracteres.
Todos os caracteres ASCII/Unicode devem ser permitidos, incluindo emojis e espaços.
Senhas armazenadas devem ter hash e salt, e nunca ser truncadas.
Senhas em potencial devem ser comparadas com bancos de dados de violação e rejeitadas se houver correspondência.
Senhas não devem expirar periodicamente por padrão.
Usuários devem ser impedidos de usar caracteres sequenciais (ex: “1234”) ou repetidos (ex: “aaaa”).
SMS é classificado como método “restrito” para 2FA, por vulnerabilidades conhecidas — recomenda-se oferecer alternativas.
Autenticação baseada em conhecimento (KBA), como “qual era o nome do seu primeiro animal de estimação?”, não deve ser usada.
Usuários devem ter direito a pelo menos 10 tentativas de senha com falha antes de serem bloqueados.
Senhas não devem ter dicas.
Requisitos de complexidade — como exigir caracteres especiais, números ou maiúsculas — não devem ser impostos.
Palavras específicas de contexto, como nome do serviço ou nome de usuário, não devem ser permitidas na senha.

Você provavelmente notou que várias dessas recomendações se afastam de padrões antigos. O NIST removeu requisitos de complexidade como caracteres especiais obrigatórios em parte porque usuários encontram formas de contornar regras rígidas — anotando senhas perto do computador, ou reciclando senhas antigas com alterações mínimas, como incrementar um número no final.

Diretrizes do NIST

Agora vamos explorar as diretrizes com mais detalhes.

Comprimento e processamento da senha

O comprimento é um dos fatores mais determinantes para a segurança de uma senha. Na revisão 4, o NIST passou a exigir no mínimo 15 caracteres quando a senha é o único fator de autenticação, e no mínimo 8 caracteres quando ela é combinada com outro fator dentro de um esquema de MFA. Senhas geradas por máquina devem ter ao menos 6 caracteres. Em todos os casos, é recomendável permitir senhas de até pelo menos 64 caracteres.

Os verificadores não devem truncar nenhuma senha durante o processamento — o hash da senha completa deve ser armazenado, com salt.

A política de bloqueio de conta recomendada permite aos usuários pelo menos 10 tentativas antes de serem bloqueados.

Caracteres aceitos

Todos os caracteres ASCII imprimíveis, incluindo espaço, devem ser suportados em senhas, assim como caracteres Unicode (emojis, por exemplo).

Usuários devem ser impedidos de usar caracteres sequenciais (ex: “1234”), repetidos (ex: “aaaa”) e palavras simples de dicionário.

Senhas comumente usadas e violadas

Senhas comumente usadas ou comprometidas não devem ser permitidas — isso inclui checar contra bancos de dados de violação (como o Have I Been Pwned?), senhas usadas anteriormente pelo próprio usuário, senhas comumente conhecidas e termos específicos de contexto (como o nome do serviço).

Quando uma senha falha nessa verificação, o sistema deve exibir uma mensagem pedindo uma senha diferente e explicando por que a entrada anterior foi rejeitada.

Complexidade reduzida e fim da expiração periódica

Como explicado acima, exigir complexidade excessiva historicamente levou a comportamentos menos seguros por parte dos usuários, em vez do efeito pretendido. Por isso o NIST recomenda requisitos de complexidade reduzidos — sem exigência de caracteres especiais, números ou maiúsculas — e recomenda eliminar a expiração periódica obrigatória de senha (exigindo troca apenas diante de evidência de comprometimento).

Chega de dicas de senha ou autenticação baseada em conhecimento (KBA)

Dicas de senha, embora pensadas para ajudar o usuário, geralmente acabam entregando a própria senha. Por isso o NIST recomenda não permitir dicas, nem autenticação baseada em conhecimento (KBA) — como “qual era o nome do seu primeiro animal de estimação?”.

Gerenciadores de senha e autenticação multifator

Para acomodar o uso crescente de gerenciadores de senha, os sistemas devem permitir colar senhas nos campos de login.

O SMS é classificado pela revisão 4 como método “restrito” para 2FA, por vulnerabilidades conhecidas de interceptação — a recomendação é oferecer um provedor de código único (como Google Authenticator ou um app equivalente) como alternativa.

Como a AIQON pode ajudar

A AIQON conecta revendas, MSPs e integradores a fabricantes internacionais com soluções para aplicar essas diretrizes na prática, sem depender de disciplina individual do usuário:

O ManageEngine ADManager Plus centraliza a gestão de identidades e políticas no Active Directory e ambientes Microsoft — provisionamento, desprovisionamento, gestão de grupos e automação de políticas de senha por workflow, com relatórios de auditoria.
O Securden cobre gerenciamento de senhas corporativas com redefinição self-service — o usuário desbloqueia a própria conta e troca a senha sem abrir chamado, reduzindo volume de helpdesk, com MFA e SSO integrados.

Conheça o Partner Program da AIQON »