O que são palavras com 3 letras na prática
A utilidade real das palavras com 3 letras
Achei um problema bem específico há alguns anos atrás quando estava desenvolvendo um sistema de verificação de senha para um projeto interno. O requisito era simples: a senha não poderia conter nenhuma palavra com 3 letras do português padrão. Achei que seria trivial fazer uma lista e codificar num regex. Foi quando percebi que não era bem assim. O problema é que o português tem uma quantidade absurda de palavras curtas que passam despercebidas se você não tiver cuidado. palavras com 3 letras incluem termos tão comuns como "sim", "não", "eu", "tu", " ele", "ela", "pai", "mãe", "filho", "casa", "vida", "amor", "feliz", "triste", "bom", "ruim", "mais", "menos", "dar", "ter", "ser", "ir", "vir", "fazer", "poder", "querer" e centenas de outras que aparecem em qualquer texto. A lista completa chega a milhares de entradas dependendo do dicionário de referência que você consultar.
No meu caso específico, usei o vocabulário do Wiktionary em português como base, que traz cerca de 12.000 lemas. Filtrando os de exatamente 3 caracteres, sobram aproximadamente 850 palavras. A maioria são pronomes, verbos no infinitivo ou substantivos muito frequentes. Se você não considerar palavras flexionadas e variações, o número sobe rapidamente quando inclui formas conjugadas e declinações.
Como montar sua própria lista de forma prática
A maneira mais confiável que encontrei foi baixar o dataset do Wikcionário português e processar com um script Python simples. Usei o formato XML da versão de 2024, extraí todas as entradas da categoria principal e filtrei por comprimento. O processo leva cerca de 3 minutos em uma máquina comum, mas o resultado é bem mais limpo do que tentar compilar manualmente. Outra opção é usar o corpus do IBGE ou o Volp (Vocabulário Ortográfico da Língua Portuguesa), que é a lista oficial do Acordo Ortográfico. A desvantagem do Volp é que ele não marca explicitamente qual é a forma base de cada palavra, então você acaba pegando formas flexionadas que podem ou não ser relevantes pro seu caso de uso. No meu projeto, resolvi isso criando uma regra: só incluí termos que aparecessem isolados no dicionário, sem acentuação que indicasse plural ou gênero.
👉 Clique no botão abaixo para saber mais sobre o assunto!
Se você precisa de algo mais rápido e já tem acesso a um ambiente com Python, recomendo usar a biblioteca nltk com o corpus ptb ou então a API do dicionário Priberam. Ambas entregam listas razoavelmente completas em menos de 5 minutos de processamento.
Pegadinhas que ninguém conta
O maior erro que vejo gente cometendo é tratar palavras com 3 letras como se fossem todas iguais. Não são. Há uma diferença enorme entre listar palavras isoladas e detectar padrões em texto natural. Por exemplo, a palavra "pão" tem 3 letras mas o "ã" é um único caractere Unicode, então se seu código conta caracteres bruscamente sem normalizar para NFC/NFD, você vai ter resultados inconsistentes. Isso aconteceu comigo quando migrei o sistema pro servidor de produção e as senhas que eram rejeitadas localmente passaram a ser aceitas lá fora. Gastei duas horas rastreando o problema até perceber que era encoding. Outra armadilha clássica é a questão dos hífens e espaços. "Té" é considerado por alguns dicionários como forma variante de "até", mas só aparece quando escrito junto. Se seu analisador de texto não lida bem com hífen, ele pode contar "tê" como 2 letras em vez de 3, ou pior, ignorar completamente termos compostos curtos. Recomendo sempre rodar uma normalização Unicode antes de qualquer contagem.
Quando essa abordagem não funciona
Se o seu objetivo é realmente bloquear o uso de palavras curtas em senhas, saiba que esse método tem limitações sérias. Usuários criativos contornam fácil usando letras maiúsculas, números substitutos ou caracteres especiais entre as letras. Minha experiência mostra que uma regra rígida de bloqueio de palavras com 3 letras gera taxa de rejeição alta e insatisfação do usuário sem aumentar significativamente a segurança real. Ninguém vai usar "xqx" no lugar de "sim" como senha, mas muita gente vai escolher "Senha123!" que passa limpo se você só checar palavras isoladas. Para quem precisa de proteção genuína contra ataques de dicionário, o caminho mais eficiente é usar listas pré-compostas como as do Hashtaur ou a base do SecLists do GitHub, que incluem variações reais encontradas em vazamentos. Essas listas são atualizadas periodicamente e cobrem combinações que uma regra simples de 3 letras nunca capturaria.
Se quiser começar com algo funcional hoje mesmo, posso deixar um repositório com o script de extração que usei. É básico, mas resolve o problema inicial em poucos minutos.
