Durante anos, muitos especialistas consideraram a caducidade de palavras-passe uma boa prática indiscutível. As organizações obrigavam os utilizadores a mudar a palavra-passe a cada 30, 60 ou 90 dias, na convicção de que isso aumentava a segurança. Hoje, as recomendações internacionais mudaram de forma significativa, e as entidades de referência deixaram de aconselhar a caducidade periódica obrigatória como regra geral.
Neste artigo, explicamos o que são os procedimentos de caducidade de palavras-passe, porque é que as recomendações mudaram, em que situações a caducidade continua a fazer sentido e que alternativas oferecem mais segurança. Além disso, apresentamos um exemplo prático, uma lista de verificação e respostas a perguntas frequentes.
O que é a caducidade de palavras-passe
A caducidade de palavras-passe é uma regra que obriga o utilizador a alterar a palavra-passe ao fim de um determinado período ou após certos acontecimentos. O objetivo original era limitar o tempo durante o qual um atacante poderia usar uma palavra-passe roubada.
Em teoria, a ideia faz sentido. Na prática, porém, a experiência mostrou que as mudanças frequentes e obrigatórias têm efeitos secundários que reduzem a segurança em vez de a aumentar.
Porque é que as recomendações mudaram
As orientações do NIST, nos Estados Unidos, deixaram de recomendar a mudança periódica obrigatória de palavras-passe, e as versões mais recentes indicam que as organizações não a devem exigir sem indícios de comprometimento. Outras entidades de referência em cibersegurança seguiram a mesma linha. As razões são essencialmente três:
- Palavras-passe previsíveis: quando obrigados a mudar com frequência, os utilizadores fazem pequenas alterações, como trocar um número no fim, que os atacantes conseguem prever.
- Anotações inseguras: mudanças frequentes levam muitas pessoas a escrever as palavras-passe em papel ou em ficheiros desprotegidos.
- Proteção limitada: um atacante que rouba uma palavra-passe usa-a normalmente em pouco tempo, muito antes da data de caducidade.
Assim, a caducidade periódica impõe um custo real aos utilizadores sem um ganho de segurança proporcional.
Quando a caducidade continua a fazer sentido
Abandonar a caducidade periódica não significa que os utilizadores nunca devam alterar as palavras-passe. Pelo contrário, há situações em que a mudança deve ser imediata ou obrigatória:
| Situação | Procedimento recomendado |
|---|---|
| Suspeita ou prova de comprometimento | Mudança imediata e análise da atividade da conta |
| Palavra-passe encontrada numa fuga de dados | Mudança obrigatória no próximo início de sessão |
| Palavra-passe temporária ou inicial | Caducidade curta e mudança no primeiro acesso |
| Contas privilegiadas e de serviço | Rotação gerida por um cofre de credenciais |
| Saída de colaborador com acesso a contas partilhadas | Mudança das credenciais partilhadas |
Estes procedimentos de caducidade baseiam-se no risco e são, por isso, muito mais eficazes do que uma regra cega aplicada a todos os utilizadores.
As alternativas que aumentam realmente a segurança
Autenticação multifator
É a medida com maior impacto. Mesmo que um atacante descubra a palavra-passe, precisa ainda de um segundo fator para entrar. Sempre que possível, convém preferir aplicações de autenticação, chaves físicas ou chaves de acesso (passkeys), mais resistentes ao phishing do que os códigos por SMS.
Palavras-passe longas e verificadas
Em vez de regras complexas de composição, as recomendações atuais privilegiam o comprimento. Além disso, a plataforma deve recusar palavras-passe que constem de listas de credenciais comprometidas ou que sejam demasiado óbvias.
Gestores de palavras-passe
Um gestor de palavras-passe permite usar credenciais longas e diferentes em cada serviço, sem depender da memória. Por isso, é uma das ferramentas mais úteis para os colaboradores. Muitas organizações disponibilizam, aliás, um gestor corporativo, que permite partilhar credenciais de forma controlada quando é mesmo necessário.
Monitorização e resposta
Os sistemas devem detetar tentativas de acesso suspeitas e alertar a equipa de segurança. Assim, quando há sinais de comprometimento, o sistema exige a mudança de palavra-passe no momento certo.
E o RGPD?
O RGPD não impõe a mudança periódica de palavras-passe. Exige, sim, medidas técnicas e organizativas adequadas ao risco, nos termos do artigo 32.º. Na prática, a autenticação multifator, o controlo de acessos e a monitorização são medidas mais eficazes e mais fáceis de justificar perante uma auditoria do que a caducidade periódica.
Utilizadores externos e plataformas partilhadas
Nas plataformas de gestão documental usadas por prestadores de serviços, muitos utilizadores não pertencem à organização. São técnicos administrativos de pequenas empresas, que acedem esporadicamente e, por vezes, partilham contas entre colegas. Neste contexto, a caducidade periódica é ainda menos eficaz: os utilizadores esquecem a palavra-passe, pedem constantemente a reposição e acabam por anotá-la em locais inseguros.
Por isso, a melhor abordagem é atribuir contas individuais, proibir a partilha de credenciais e ativar a autenticação multifator. Além disso, quando termina a relação com um prestador, a organização deve desativar de imediato as contas associadas. Dessa forma, o controlo de acessos depende do ciclo de vida das contas e não de datas de caducidade arbitrárias.
Como comunicar a mudança de política
Muitos utilizadores e auditores ainda associam a caducidade periódica a boas práticas. Assim, ao eliminá-la, convém explicar claramente as razões e as novas medidas que a substituem. Por exemplo, uma nota interna pode indicar que a organização segue as recomendações internacionais atuais, que a autenticação multifator passou a ser obrigatória e que as palavras-passe são verificadas contra fugas de dados conhecidas. Do mesmo modo, convém atualizar a política de segurança escrita, para que a decisão fique documentada e justificada perante auditorias.
Indicadores a acompanhar
Para avaliar o impacto da nova política, a organização pode acompanhar a percentagem de contas com autenticação multifator, o número de pedidos de reposição de palavra-passe, as palavras-passe bloqueadas por constarem de fugas de dados e os alertas de acessos suspeitos. Em geral, depois da mudança, os pedidos de reposição diminuem e a cobertura da autenticação multifator aumenta, o que mostra um ganho real de segurança e de produtividade.
Exemplo prático: Rever a política de palavras-passe
Imagine uma empresa que obrigava todos os utilizadores da plataforma de gestão documental a mudar a palavra-passe a cada 60 dias. Os pedidos de reposição de acesso eram constantes e muitos utilizadores tinham palavras-passe como “Empresa2025!” seguida de números sequenciais.
A empresa decide rever a política: elimina a caducidade periódica, exige palavras-passe com pelo menos 12 caracteres, ativa a autenticação multifator e passa a verificar as palavras-passe contra listas de fugas conhecidas. Como resultado, os pedidos de reposição diminuem de forma significativa e a segurança das contas aumenta.
Lista de verificação para a caducidade de palavras-passe
- Caducidade periódica obrigatória eliminada para utilizadores comuns.
- Mudança imediata em caso de suspeita de comprometimento.
- Verificação contra listas de palavras-passe comprometidas.
- Palavras-passe temporárias com caducidade curta.
- Rotação gerida das contas privilegiadas e de serviço.
- Autenticação multifator para todos os utilizadores.
Erros comuns a evitar
Um erro frequente é eliminar a caducidade periódica sem ativar a autenticação multifator, deixando as contas protegidas apenas pela palavra-passe. Outro erro é manter regras de complexidade exageradas, que levam a palavras-passe difíceis de lembrar e fáceis de adivinhar por padrões. Por fim, muitas organizações esquecem as contas de serviço, cujas credenciais nunca são alteradas nem guardadas de forma segura.
Perguntas frequentes
Devo eliminar já a caducidade periódica?
Sim, desde que, em simultâneo, a organização ative a autenticação multifator e a verificação de palavras-passe comprometidas. Sem essas medidas, a mudança deve ser acompanhada de um plano de reforço.
As contas de administrador também deixam de caducar?
As contas privilegiadas exigem um tratamento especial. Em muitos casos, cofres de credenciais gerem estas contas e fazem a rotação automática, sem que as pessoas tenham de as memorizar.
E se um auditor exigir a mudança periódica?
Convém apresentar a política atualizada e as referências internacionais que a fundamentam, bem como as medidas compensatórias adotadas, como a autenticação multifator e a monitorização. Na maioria dos casos, os auditores aceitam esta justificação, porque demonstra uma abordagem baseada no risco.
Qual o comprimento mínimo recomendado?
As orientações atuais apontam para pelo menos 8 caracteres quando há autenticação multifator e, preferencialmente, 15 ou mais quando a palavra-passe é o único fator. Na prática, frases-passe longas são mais seguras e mais fáceis de memorizar.
Conclusão
A caducidade periódica e obrigatória de palavras-passe foi, durante muito tempo, uma prática comum. Hoje, sabe-se que tende a gerar palavras-passe mais fracas e mais frustração, sem um ganho de segurança proporcional.
Por isso, as organizações devem adotar procedimentos de caducidade orientados pelo risco, combinados com autenticação multifator, palavras-passe longas, gestores de palavras-passe e monitorização. Desse modo, protegem melhor as contas, simplificam a vida dos utilizadores e reduzem os custos de suporte associados à reposição de acessos.
Leia também: Ataques a plataformas digitais por força bruta e Distribuição de credenciais personalizadas a trabalhadores homologados.
Para mais recomendações sobre a gestão segura de credenciais, consulte o Centro Nacional de Cibersegurança (CNCS).