Jak stworzyć bezpieczne hasło? Długość, frazy i menedżer

Bezpieczne hasło jest przede wszystkim długie i unikalne, czyli używane tylko w jednym serwisie. Ma co najmniej 14 znaków, a najlepiej powstaje z kilku słów ułożonych w zdanie, którego nikt nie odgadnie. Nie musisz przy tym pamiętać wszystkich haseł: menedżer haseł wygeneruje je i przechowa za Ciebie, a Ty zapamiętasz tylko jedno hasło główne.

Jakie hasło jest bezpieczne?

Bezpieczne hasło ma trzy cechy: jest długie, unikalne i nieprzewidywalne. Nieprzewidywalne oznacza, że nie zawiera Twojego imienia, daty urodzenia ani popularnych słów i nie pojawiło się w żadnym wycieku.

Aktualne zalecenia ekspertów skupiają się na długości. CERT Polska w rekomendacjach dla systemów uwierzytelniania zaleca, aby minimalna długość hasła wynosiła co najmniej 14 znaków, a system pozwalał na hasła do co najmniej 64 znaków.

Amerykański NIST w wytycznych SP 800-63B-4 z sierpnia 2025 roku wymaga minimum 15 znaków, gdy hasło jest jedynym zabezpieczeniem, i minimum 8 znaków, gdy działa razem z drugim składnikiem logowania.

Dlaczego długość jest ważniejsza niż znaki specjalne?

Długość jest ważniejsza, bo każdy dodatkowy znak wielokrotnie zwiększa liczbę kombinacji do sprawdzenia. Wymuszanie cyfr i znaków specjalnych prowadzi natomiast do przewidywalnych haseł w rodzaju „Haslo123!”, które atakujący sprawdzają w pierwszej kolejności. Dlatego NIST zakazuje systemom narzucania takich reguł złożoności.

Jak stworzyć bezpieczne hasło, które da się zapamiętać?

Hasło, które da się zapamiętać, najłatwiej stworzyć z pełnego zdania. Taką zasadę opisuje CERT Polska w poradniku kompleksowo o hasłach:

Wyobraź sobie nietypową scenę, na przykład „zielony parking dla trzech małych samolotów”.
Zapisz ją jako ciąg słów bez spacji lub ze spacjami, jeśli serwis na to pozwala.
Dodaj własną modyfikację, na przykład wielkie litery na początku słów albo słowo w innym języku.
Sprawdź długość: hasło z czterech lub pięciu słów zwykle ma ponad 20 znaków.

Nie używaj przykładów opublikowanych w poradnikach ani znanych cytatów bez zmian, bo trafiają one do słowników, z których korzystają atakujący. Takie hasło z kilku słów to fraza hasłowa (passphrase).

Jakich haseł unikać?

Unikaj haseł, które łatwo odgadnąć lub znaleźć w wyciekach:

imion, dat urodzenia, nazw zwierząt i miejscowości,
nazwy serwisu z dopiskiem, na przykład „allegro2026”,
sekwencji klawiszy, takich jak „qwerty” czy „123456”,
haseł, których używasz już w innym miejscu.

Powtarzanie haseł jest szczególnie groźne. Przestępcy testują hasła z jednego wycieku w wielu serwisach naraz, a taki atak nazywa się credential stuffing. Jak sprawdzić, czy Twoje hasło już wyciekło, opisuje artykuł czy moje dane wyciekły.

Dlaczego nie musisz pamiętać haseł?

Nie musisz pamiętać haseł, bo może to zrobić menedżer haseł. To program, który generuje długie, losowe hasła, przechowuje je w zaszyfrowanym sejfie i uzupełnia podczas logowania. CERT Polska rekomenduje menedżery haseł jako sposób na bezpieczne przechowywanie haseł bez konieczności ich zapamiętywania.

Menedżer haseł chroni też przed phishingiem. Podpowiada hasło tylko na domenie, dla której je zapisano, więc na fałszywej stronie niczego nie uzupełni. Więcej o tym zagrożeniu przeczytasz w przewodniku phishing: co to jest i jak go rozpoznać.

Jak zacząć korzystać z menedżera haseł?

Menedżer haseł skonfigurujesz w kilku krokach:

Wybierz menedżer. Może to być menedżer wbudowany w przeglądarkę lub system albo osobna aplikacja, na przykład Bitwarden, 1Password czy KeePassXC.
Ustaw hasło główne jako długą frazę z kilku słów. To jedyne hasło, które musisz pamiętać.
Włącz uwierzytelnianie wieloskładnikowe dla menedżera lub konta, z którym jest powiązany.
Zmień powtarzane hasła, zaczynając od poczty e-mail i bankowości, a potem od sklepów i mediów społecznościowych.
Zapisz kody odzyskiwania i przechowuj je poza menedżerem, na przykład na kartce w bezpiecznym miejscu.

Czy trzeba regularnie zmieniać hasła?

Nie. Regularna, wymuszona zmiana haseł nie jest zalecana. CERT Polska wskazuje, że prowadzi ona do przewidywalnych haseł, bo nowe hasło zwykle różni się od starego jednym znakiem. NIST zabrania systemom wymuszania okresowej zmiany, ale wymaga zmiany hasła, gdy są dowody jego przejęcia. Zmieniaj więc hasło po wycieku albo gdy podejrzewasz, że ktoś je poznał.

Czy samo hasło wystarczy do ochrony konta?

Samo hasło nie wystarczy do dobrej ochrony ważnych kont. Włącz uwierzytelnianie wieloskładnikowe, aby do zalogowania potrzebny był jeszcze drugi składnik, na przykład klucz dostępu lub kod z aplikacji. Porównanie metod znajdziesz w artykule MFA i 2FA: czym się różnią.

Najczęstsze pytania o hasła

Ile znaków powinno mieć bezpieczne hasło?

Bezpieczne hasło powinno mieć co najmniej 14 znaków według CERT Polska, a według NIST co najmniej 15, gdy jest jedynym zabezpieczeniem konta. Fraza z kilku słów łatwo przekracza 20 znaków.

Czy zapisywanie haseł w przeglądarce jest bezpieczne?

Menedżer haseł wbudowany w przeglądarkę jest znacznie bezpieczniejszy niż używanie tego samego hasła w wielu miejscach. Zabezpiecz wtedy konto przeglądarki uwierzytelnianiem wieloskładnikowym i ustaw blokadę ekranu na urządzeniu.

Czy mogę zapisać hasło główne na kartce?

Kartka przechowywana w bezpiecznym miejscu w domu nie jest dostępna dla atakujących w internecie, ale widzi ją każdy, kto ma dostęp do mieszkania. Nie noś jej przy sobie i nie podpisuj nazwą serwisu.

Czy hasło ze znakami specjalnymi jest lepsze od długiej frazy?

Nie. Krótkie hasło ze znakami specjalnymi jest zwykle słabsze od długiej frazy z kilku słów, a trudniej je zapamiętać.

Jak stworzyć bezpieczne hasło? I dlaczego nie musisz go pamiętać