Aplicar e monitorar requisitos de senha para os usuários

• O Google não pode impor requisitos de nível de segurança e tamanho de senha em senhas definidas usando um método de hash, por exemplo, senhas criadas usando a ferramenta de upload de usuários em massa, a Directory API ou ferramentas de sincronização, como Password Sync ou o Google Cloud Directory Sync. Confira mais detalhes na página SDK Admin do Google Workspace ou no artigo Prepare-se para usar o Password Sync.
• Os requisitos de força e tamanho da senha não se aplicam a nenhuma senha de usuário redefinida manualmente. Se você redefinir uma senha manualmente, marque a caixa Pedir para o usuário alterar a senha ao fazer login .
• As políticas de senha que você configura não são válidas para os usuários autenticados em um provedor de identidade de terceiros via SAML.

Se você exige senhas fortes, o Google usa um algoritmo de classificação do nível de segurança da senha para garantir que ela:

• tenha um alto nível de aleatoriedade, chamado de entropia de senha, que você pode conseguir usando uma string longa com caracteres de diferentes tipos, como letras maiúsculas, letras minúsculas, números e caracteres especiais;

  Observação: uma senha forte não precisa ter um número específico de caracteres de um determinado tipo.

• não seja uma senha fraca muito utilizada, como "123456" ou "senha123";
• não seja fácil de adivinhar, como palavras ou frases simples, ou padrões em que a senha é igual ao nome de usuário;
• não esteja sabidamente comprometida, isto é, não estejam em um banco de dados de contas violadas.

A validade da senha é desativada por padrão porque as pesquisas mostraram que isso tem pouco impacto positivo na segurança. Você pode definir a validade da senha dos usuários (como 90 ou 180 dias) se precisar atender a algum requisito de compliance.

A expiração da senha é aplicada apenas para logins em aplicativos baseados em navegador. Ela não é aplicada a usuários que usam apenas smartphones ou que fizeram login usando apps autenticados por OAuth.

Alertas de senha

Se você definir um período de validade para as senhas, os usuários receberão alertas pop-up (mas não lembretes por e-mail) nos Serviços do Google, como Gmail e Agenda, 30 dias antes da data de validade da senha. Eles podem alterar a senha ou fechar o alerta. Se um usuário não alterar a senha, o alerta aparecerá na próxima vez que ele fizer login na conta. Quando o usuário fecha o alerta três vezes, ele para de ser exibido. No entanto, depois que a senha expirar, o usuário precisará alterá-la no próximo login.

Quando os usuários precisam alterar a senha

Quando você configura uma política de validade de senha pela primeira vez, é possível que alguns usuários precisem alterar a senha imediatamente. Por exemplo:

• Se você configurar uma política de validade de 90 dias, e um usuário da sua organização mudou a senha pela última vez há 100 dias, ela vai expirar assim que você definir a política. O usuário precisará alterar a senha na próxima vez que tentar fazer login na conta.
• Se você configurar uma política de validade de 90 dias, e um usuário da sua organização mudou a senha pela última vez há 30 dias, ela ainda não expirou. Depois de 60 dias, o usuário receberá uma solicitação para alterar a senha na próxima vez que fizer login.