Guia de segurança

O que é a Web Crypto API?

Saiba como a Web Crypto API suporta a geração local de senhas aleatórias no navegador e por que ela é diferente da aleatoriedade comum do JavaScript.

Resumo

A Web Crypto API é um padrão de navegador para operações criptográficas. Para geração de senhas, o recurso mais importante é crypto.getRandomValues(), que fornece às páginas web acesso a valores aleatórios criptograficamente fortes, adequados para selecionar caracteres de senha.

Por que isso é importante para senhas

Senhas precisam de imprevisibilidade. A aleatoriedade comum do JavaScript não foi projetada para segredos. A Web Crypto existe para que os navegadores possam expor primitivas criptográficas mais seguras através de uma API padrão. O PwdGen usa essa API para seleção aleatória limitada e evita Math.random() para geração de senhas.

Limite do sistema operacional

Web Crypto não significa que uma página controla diretamente a fonte de entropia do hardware. Os navegadores geralmente dependem do sistema operacional e do provedor criptográfico da plataforma. Uma metodologia cuidadosa deve dizer que a Web Crypto fornece saída CSPRNG, não que cada chamada lê ruído físico da CPU.

Como o PwdGen a utiliza

O PwdGen solicita inteiros aleatórios de 32 bits, usa amostragem por rejeição para evitar viés de módulo, mapeia valores aceitos para índices de caracteres e embaralha as classes de caracteres obrigatórias. Isso mantém a implementação pequena e auditável.

Orientação detalhada

Este guia foca em entender a Web Crypto API como uma primitiva de segurança do navegador. É escrito para usuários e desenvolvedores que querem saber por que a aleatoriedade do navegador importa, então o objetivo prático não é criar uma alegação dramática de segurança. O objetivo é escolher um hábito de senha que possa sobreviver ao uso diário: formulários de login, gerenciadores de senhas, teclados móveis, recuperação de conta, dispositivos compartilhados e o serviço ocasional com regras de validação estranhas. Uma recomendação segura só é útil se uma pessoa real puder segui-la consistentemente.

O ponto de partida mais seguro é aleatoriedade mais exclusividade. Aleatoriedade significa que o valor é selecionado de um espaço grande por uma fonte aleatória criptograficamente adequada, não inventado a partir de um aniversário, nome de animal de estimação, padrão de teclado ou citação favorita. Exclusividade significa que a mesma senha não é usada em nenhum outro lugar. Uma senha longa, mas reutilizada, pode falhar rapidamente após uma violação não relacionada, enquanto uma senha aleatória exclusiva limita o dano à única conta onde foi usada.

Para este tópico, uma predefinição prática é Chrome, Edge, Safari e Firefox modernos com crypto.getRandomValues disponível. Você pode aplicar essa predefinição com a página de suporte do navegador e então armazenar o valor final em um gerenciador de senhas confiável. O PwdGen gera valores localmente no navegador com Web Crypto; a senha gerada não é enviada para um servidor PwdGen. Esse design local reduz a exposição no lado do servidor, mas não protege contra todas as ameaças. Uma extensão de navegador maliciosa, um dispositivo comprometido, uma página de phishing ou manipulação insegura da área de transferência ainda pode expor um segredo após sua geração.

Os problemas mais comuns a evitar são navegadores antigos, contextos inseguros, polyfills que usam silenciosamente Math.random e confundir codificação com criptografia. Esses problemas importam porque os atacantes raramente precisam forçar brute-force em todas as senhas possíveis quando os hábitos humanos lhes dão um atalho. Credential stuffing, phishing, listas de senhas vazadas e abuso de recuperação de conta são frequentemente mais realistas do que uma busca matemática pura. É por isso que o melhor conselho combina qualidade da senha com controles no nível da conta, como MFA, chaves de acesso, armazenamento de códigos de recuperação e revisão regular das configurações de e-mail ou telefone de recuperação.

Use esta lista de verificação ao aplicar a recomendação:

• Use um navegador moderno.
• Evite ferramentas que implementam sua própria fonte aleatória.
• Entenda que a Web Crypto não corrige malware.
• Leia a metodologia antes de confiar em um gerador.

Se um site rejeitar a configuração ideal, não force a senha a um padrão mais fraco manualmente. Ajuste uma variável de cada vez. Se símbolos forem rejeitados, mantenha maiúsculas, minúsculas e números ativados e aumente o comprimento. Se o comprimento máximo for baixo, use o maior comprimento aceito e certifique-se de que o valor seja exclusivo. Se uma senha precisar ser lida em voz alta, impressa ou digitada em uma tela de televisão ou roteador, considere excluir caracteres confusos e aumentar o comprimento para compensar o alfabeto menor.

Finalmente, lembre-se do limite do conselho sobre senhas. Uma senha forte é uma camada de defesa, não uma garantia. Ela não pode tornar uma página de phishing segura, corrigir malware ou compensar um serviço que armazena credenciais de forma inadequada. O hábito útil é chato, mas durável: gere um valor exclusivo, armazene-o com segurança, proteja o caminho de recuperação e substitua-o rapidamente se suspeitar de exposição.

Um próximo passo seguro

Após ler este guia, faça uma pequena auditoria de conta em vez de tentar consertar tudo de uma vez. Escolha a conta que causaria mais problemas se fosse assumida, confirme que sua senha é exclusiva e verifique o e-mail de recuperação, telefone de recuperação, método MFA e armazenamento de código de backup. Se qualquer parte dessa cadeia for fraca, melhore essa parte antes de passar para contas de menor risco. Essa ordem mantém o trabalho gerenciável e protege as contas que os atacantes têm maior probabilidade de usar como trampolim. Para o que é a web crypto api?, o melhor resultado é um hábito repetível: gerar localmente, armazenar com cuidado e evitar reutilização.

Perguntas frequentes

Qual parte da Web Crypto o PwdGen usa?

O PwdGen usa crypto.getRandomValues() para solicitar valores aleatórios criptograficamente fortes do navegador.

Web Crypto significa que cada byte vem diretamente do hardware?

Não. Os navegadores geralmente usam provedores criptográficos do sistema operacional alimentados por entropia de alta qualidade; o navegador e o SO escolhem a implementação.

A Web Crypto está disponível em todos os navegadores?

Está disponível em navegadores modernos. Se estiver ausente, o PwdGen desativa a geração em vez de recorrer a aleatoriedade insegura.