A segurança digital está a evoluir. E algumas práticas que durante anos foram consideradas essenciais estão hoje a ser repensadas.
Durante muito tempo, as organizações adotaram uma regra aparentemente simples: obrigar os utilizadores a alterar as suas palavras-passe a cada 60, 90 ou 180 dias.
Esta prática tornou-se habitual nas políticas de segurança das empresas, sendo frequentemente apresentada como uma das principais medidas para proteger contas e sistemas informáticos.
Mas será que obrigar alguém a mudar a palavra-passe de três em três meses torna realmente os sistemas mais seguros?
A resposta, de acordo com as atuais recomendações de entidades de referência em cibersegurança, é: não necessariamente.
O problema das alterações frequentes
Quando um utilizador é obrigado a alterar a sua palavra-passe regularmente, nem sempre escolhe uma nova credencial verdadeiramente diferente.
É frequente encontrar situações como:
- Alterar apenas o último número da palavra-passe.
- Repetir a mesma estrutura, acrescentando um símbolo.
- Utilizar referências a datas, meses ou anos.
- Reutilizar palavras-passe já utilizadas noutros serviços.
- Anotar as novas credenciais em locais pouco seguros.
Por exemplo, uma palavra-passe como Empresa2026! pode transformar-se em Empresa2026# ou Empresa2027!.
Apesar da alteração, a estrutura continua previsível.
Além disso, as mudanças frequentes aumentam os esquecimentos, os pedidos de recuperação de acesso e o trabalho das equipas de suporte técnico.
O que dizem atualmente as entidades de referência?
As recomendações internacionais evoluíram.
O NIST (National Institute of Standards and Technology), através da publicação SP 800-63B-4, de julho de 2025, deixou claro que não devem ser exigidas alterações periódicas das palavras-passe.
A alteração deve ser obrigatória quando existam indícios de que a credencial foi comprometida.
O próprio NIST recomenda também palavras-passe mais longas, a verificação contra listas de credenciais comuns ou comprometidas e a utilização de mecanismos de autenticação adequados ao nível de risco.
Também o National Cyber Security Centre (NCSC), do Reino Unido, desaconselha a expiração automática das palavras-passe, alertando para os efeitos contraproducentes desta prática.
O que devemos fazer em alternativa?
Abandonar a alteração periódica não significa reduzir a segurança. Significa investir em medidas mais eficazes.
Uma política moderna de gestão de palavras-passe deve privilegiar:
1. Palavras-passe longas e fortes
Utilizar palavras-passe difíceis de adivinhar, preferencialmente geradas aleatoriamente ou através de frases-passe longas.
2. Credenciais únicas
Nunca utilizar a mesma palavra-passe em diferentes serviços, aplicações ou plataformas.
3. Autenticação multifator (MFA)
Sempre que possível, adicionar um segundo fator de autenticação, especialmente nas contas administrativas e nos acessos remotos.
4. Deteção de credenciais comprometidas
Verificar se as palavras-passe escolhidas constam de listas conhecidas de credenciais expostas ou comprometidas.
5. Alteração quando existe risco
Exigir a alteração imediata quando exista suspeita de acesso indevido, fuga de informação ou comprometimento de uma conta.
6. Proteção dos sistemas
Implementar mecanismos de limitação de tentativas de acesso, monitorização de atividade suspeita e armazenamento seguro das credenciais.
Qual é a posição da Micro-Horta?
Na Micro-Horta acreditamos que a segurança informática deve acompanhar a evolução tecnológica e as recomendações das entidades especializadas.
Por esse motivo, defendemos uma abordagem baseada na qualidade das credenciais e na monitorização contínua dos acessos, em vez de obrigar os utilizadores a alterar palavras-passe apenas porque terminou um determinado prazo.
A nossa orientação passa por:
- Exigir palavras-passe com um comprimento adequado ao nível de risco.
- Privilegiar credenciais únicas e difíceis de adivinhar.
- Reforçar a proteção das contas administrativas.
- Incentivar a utilização de autenticação multifator.
- Exigir alterações sempre que exista suspeita ou confirmação de comprometimento.
Uma palavra-passe forte, única e devidamente protegida não deve ter de ser substituída apenas por uma questão de calendário.
Segurança não é mudar por mudar. É proteger melhor.
A cibersegurança não deve ser encarada como um conjunto de obrigações burocráticas que dificultam o trabalho diário dos utilizadores.
Deve ser uma estratégia contínua, assente na prevenção, na monitorização e na utilização de tecnologias adequadas.
Por vezes, melhorar a segurança não significa acrescentar mais regras. Significa substituir regras antigas por práticas mais eficazes.
Micro-Horta — Tecnologia, confiança e segurança digital.
Powered by Micro-Horta
