Як створити надійний пароль: довжина, менеджер паролів і двоетапна перевірка

Надійний пароль впізнати за трьома ознаками: він довгий, випадковий і використовується лише в одному місці. Складність, якої вимагають форми реєстрації (велика літера, цифра, символ), — лише четверта і найменш важлива. Нижче розрахунок, чому так, а також що радять Кіберполіція України, Держспецзв'язку та американський NIST і що варто зробити вже сьогодні.

Скільки часу потрібно, щоб вгадати пароль?

Паролі зламують найшвидше після витоку даних. Зловмисникові не потрібно нікого обманювати: він бере збережені відбитки (хеші) паролів і перебирає варіанти один за одним. Швидкість залежить від того, як сервіс їх зберігає. На швидкому хеші (MD5) одна відеокарта NVIDIA RTX 5090 за опублікованими тестами hashcat робить 215,8 млрд спроб за секунду, на повільному bcrypt лише 255,3 тис.

Пароль	Надійність	Повільний хеш (bcrypt)	Швидкий хеш (MD5)
8 символів, лише малі літери	38 біт	5 днів	менше секунди
8 символів, усі види символів	50 біт	57 років	35 хвилин
12 символів, усі види символів	76 біт	понад мільярд років	4 300 років
16 символів, усі види символів	101 біт	понад мільярд років	понад мільярд років
20 символів, усі види символів	127 біт	понад мільярд років	понад мільярд років

З таблиці видно три речі:

• Восьми символів не досить навіть з усіма видами символів. На швидкому хеші такий пароль піддається за: 35 хвилин, на повільному — за: 57 років. Вісім малих літер на швидкому хеші: менше секунди.
• Дванадцять символів — це інша ліга. Пароль має 76 біт, швидкому хешу в середньому знадобилося б: 4 300 років.
• Від шістнадцяти символів це поза досяжністю. 101 біт на швидкому хеші означають: понад мільярд років. Кожен додатковий символ множить час.

Цифри стосуються лише випадкового пароля. Придуманий вами значно слабший: люди обирають передбачувані слова, імена, дати й цифру в кінці, а зловмисники пробують саме це першим.

Чому довжина важить більше за складність

За 81 різних символів (малі й великі літери, цифри та спецсимволи) кожен додатковий символ множить кількість варіантів на 81. Тому чотири символи, додані до дванадцятисимвольного пароля, дають 26 біт, а вмикання спецсимволів у дванадцятисимвольному паролі з літер і цифр — лише 4,4.

Кіберполіція України радить пароль щонайменше з 8 символів із великих і малих літер, цифр і спеціальних символів, унікальний для кожного облікового запису, негайно змінювати його у разі підозри на компрометацію, не використовувати ім'я, телефон, дату народження чи цитати, а двофакторну автентифікацію вмикати всюди, де це можливо.

Держспецзв'язку у своїх рекомендаціях від серпня 2026 року пропонує для важливих облікових записів перейти на стійку до фішингу автентифікацію (апаратні ключі FIDO2, passkeys або біометрію пристрою), відмовитися від примусової регулярної зміни паролів, обмежити SMS-коди й замінити їх програмними генераторами одноразових кодів.

Американський NIST у чинній версії (SP 800-63B-4, розділ про паролі) наголошує на довжині:

• пароль, який є єдиним способом входу, має містити щонайменше 15 символів; якщо він лише частина багатофакторної автентифікації — щонайменше 8;
• сервіси мають приймати паролі завдовжки щонайменше 64 символів і дозволяти вставляння, щоб працювали менеджери паролів;
• сервіси не повинні нав'язувати правила складу чи періодичну зміну пароля; зміну примушують лише за ознак компрометації;
• новий пароль звіряють зі списком поширених і викрадених паролів.

Отже, джерела різняться щодо мінімальної довжини, але сходяться в тому, що пароль має бути унікальним, що додатковий фактор потрібен і що регулярна зміна без причини не допомагає.

Випадковий, а не придуманий

Людина не вигадає випадковість, а генератор може. Генератор паролів добирає кожен символ із криптографічного джерела випадковості вашого браузера й нікуди не надсилає та не зберігає пароль. Результат ніяк не пов'язаний із вами, тож його не можна вивести з імені, дати народження чи з того, що про вас знає зловмисник.

Один пароль на один сервіс

Коли в одному сервісі витікає база даних, зловмисники пробують викрадені паролі в інших. Якщо всюди ви користуєтеся однаковим чи схожим паролем, один витік відкриває всі акаунти. Окремий пароль для кожного облікового запису обмежує шкоду одним.

Менеджер паролів

Ніхто не запам'ятає десятки довгих випадкових паролів. Для цього існує менеджер паролів: він зберігає їх, підставляє за вас, а вам лишається пам'ятати один головний пароль. Для нього добре підходить довше речення або кілька слів, які ви запам'ятаєте, але ніхто не вгадає. Найкраще підходять випадково вибрані слова, наприклад у генераторі парольних фраз. Не використовуйте його деінде й зберігайте код відновлення в надійному місці.

Двоетапна перевірка та ключі доступу

Двофакторна автентифікація додає до пароля другий крок, наприклад код із застосунку чи фізичний ключ, тому викрадений пароль сам по собі не відкриває доступ. Увімкніть її бодай для пошти та банку.

Ключі доступу (passkeys) ідуть далі. За даними FIDO Alliance, ви входите так само, як розблоковуєте пристрій (біометрія, PIN або жест), а оскільки вони використовують криптографію з відкритим ключем, у базі даних немає пароля, який можна викрасти, і нічого, що фальшивий сайт міг би від вас виманити. Користуйтеся ними там, де сервіс їх пропонує.

Що робити після витоку

Негайно змініть пароль, що витік, і скрізь, де ви його повторювали. Увімкніть двофакторну автентифікацію. Чи є ваша електронна адреса у викрадених базах, можна перевірити на Have I Been Pwned.

Що зробити сьогодні

1. Встановіть менеджер паролів (або ввімкніть той, що є в браузері чи телефоні) і задайте йому довгий головний пароль.
2. Почніть із паролів до пошти, банку та самого менеджера: згенеруйте їх завдовжки щонайменше 16 символів.
3. Увімкніть двофакторну автентифікацію для пошти та банку.
4. Поступово замінюйте паролі, які ви використовуєте в кількох місцях, унікальними.
5. Збережіть коди відновлення акаунтів у надійному місці.

Це не порада з безпеки для вашої конкретної ситуації. Пароль — лише одна частина захисту облікового запису, і сам по собі він не захищає від фішингу чи шкідливого програмного забезпечення.