Hvor lang skal en adgangskode være i 2026?

Denne artikel svarer på, hvor lang en adgangskode bør være i 2026. Den følger gældende verifier-regler i NIST SP 800-63-4 / SP 800-63B og CISA’s offentlige råd. Det er ikke en fuld cybersikkerhedsguide.

Hvor lang skal min adgangskode så være?

Kan en adgangskodehåndtering gemme den, så generér en unik tilfældig adgangskode på 16+ tegn. Brug en længere tilfældig streng, når tjenesten tillader det. Skal du huske den, er en lang adgangsfrase ofte mere praktisk end en kort streng med tvungne udskiftninger. 16 er ingen garanti, og 15 er det heller ikke.

Hvad kræver NIST i 2026?

NIST SP 800-63-4 fortæller verifiers, hvad de skal kræve—ikke et personligt slogan. En adgangskode som eneste faktor skal være på mindst 15 tegn. Bruges den kun som led i MFA, må den være kortere, men minimum er stadig 8. Verifiers SHOULD acceptere mindst 64 tegn. De SHALL NOT kræve en tvungen blanding af tegntyper og SHALL NOT tvinge periodiske skift uden belæg for kompromittering. Almindelige eller lækkede adgangskoder bør blokeres.

Hvad anbefaler CISA?

CISA’s vejledning Secure Our World er enklere: mindst 16 tegn, tilfældige og unikke, plus en adgangskodehåndtering. Det modsiger ikke NIST. 15 er et verifier-krav for eneste faktor; 16+ er CISA’s offentlige anbefaling.

8, 12 eller 16 tegn: betyder længden virkelig noget?

Længde betyder noget, men offentliggjorte tidsestimater for gæt gør det ikke. De tal skifter med hardware, hash, tilfældighed, angrebsmodel og den måde, adgangskoden gemmes på.

Længde	Praktisk syn
8	For kort som generel anbefaling til en ny adgangskode som eneste faktor. NIST tillader 8 kun som minimum, når adgangskoden udelukkende bruges som led i MFA.
12	Bedre end korte ældre adgangskoder, men under NIST’s nuværende minimum på 15 for eneste faktor.
15	NIST’s nuværende minimum for verifiers ved eneste faktor.
16+	Matcher CISA’s enkle offentlige anbefaling og er et fornuftigt udgangspunkt for genererede adgangskoder.

Er længde vigtigere end kompleksitet?

Den aktuelle vejledning foretrækker tilstrækkelig længde og et godt valg frem for forudsigelige sammensætningsregler. Et mønster som et almindeligt ord plus «1!» kan stadig være til at gætte, selv med blandede typer. Specialtegn er ikke nytteløse: i en tilfældigt genereret adgangskode kan et større tegnsæt give flere kombinationer. Kernen er tilfældighed, længde og unikhed.

En lang adgangskode kan stadig være svag

En lang værdi kan stadig være svag, hvis den er forudsigelig, en almindelig sætning, genbrugt eller bygget på personlige oplysninger. At gentage det samme tegn mange gange er langt, ikke stærkt. Genbrug ikke en sætning, som alle allerede kender.

Hvorfor hver konto bør have en anden adgangskode

Hvis en tjeneste lækker en adgangskode, du har genbrugt, er andre konti, der deler den, i fare. Hver konto skal have sin egen. At afprøve lækkede par på andre steder er almindeligt. Unikke adgangskoder begrænser den skade.

Bør du bruge en adgangskodehåndtering?

NIST beder verifiers om at tillade adgangskodehåndtering og autofyld. CISA anbefaler også en håndtering. Du behøver ikke at huske en unik tilfældig adgangskode til hvert sted. Denne artikel anbefaler ikke et bestemt produkt.

Adgangskode eller adgangsfrase?

Hvis en håndtering gemmer værdien, er en tilfældigt genereret adgangskode bekvem. Skal du huske den, kan en lang adgangsfrase af flere ord være mere praktisk. Undgå kendte citater, sangtekster, almindelige sætninger og personlige oplysninger. Dette er en kort note, ikke en fuld guide til adgangsfraser.

Skal adgangskoder have store bogstaver, tal og symboler?

NIST siger, at verifiers SHALL NOT kræve en blanding af tegntyper. Et sted, der tvinger ét stort bogstav, ét tal og ét symbol, følger ikke den retning. En tilfældig generator må gerne bruge et bredt sæt, og det er i orden. Symboler gør ikke adgangskoder svagere.

Bør du skifte adgangskode hver 90. dag?

NIST siger, at verifiers SHALL NOT kræve vilkårlige periodiske skift, medmindre der er belæg for kompromittering. Skift adgangskoden, hvis den er lækket, kontoen er kompromitteret, eller tjenesten beder dig om det. Det er ikke «skift aldrig adgangskode».

Gør MFA adgangskodens længde ligegyldig?

Nej. MFA giver ekstra beskyttelse. Det gør ikke hygiejne omkring adgangskoder valgfri. NIST kan tillade et minimum på 8 tegn, når adgangskoden kun bruges som led i MFA. Det er ikke en generel anbefaling om at bruge adgangskoder på 8 tegn.

Hvad længde ikke kan stoppe

En meget lang adgangskode stopper ikke alle angreb. Længde alene stopper ikke phishing, malware eller tastetrykslogning, social engineering eller en kompromitteret enhed. MFA, softwareopdateringer og omtanke over for phishing betyder stadig noget. Denne artikel holder sig til adgangskodens længde.

En enkel beslutningsguide til adgangskodens længde

Skal du bruge en ny kontoadgangskode? Kan en adgangskodehåndtering gemme den, så generér en unik tilfældig adgangskode—16+ tegn er en praktisk start, længere hvis det understøttes. Skal du huske den, så brug en lang unik adgangsfrase og undgå almindelige sætninger. Slå derefter MFA til, når det findes.

• Skal du bruge en ny kontoadgangskode?
• ↓
• Kan en adgangskodehåndtering gemme den?
• Ja → unik tilfældig adgangskode, 16+ (længere hvis tilladt)
• Nej → lang unik adgangsfrase; undgå almindelige sætninger
• ↓
• Slå MFA til, når det findes

Generér en lang, tilfældig adgangskode i browseren

NEXNARA Adgangskodegenerator kan oprette en adgangskode, en adgangsfrase eller en PIN. Denne artikel handler om kontoadgangskoder. En PIN er en kortere, anden hemmelighed—ikke den samme anbefaling.

Adgangskodetilstand: længde 4–128, standard 16. Vælg tegnklasser, udelad tvetydige tegn, eller udelad egne tegn. Generér 1, 5, 10 eller 20 værdier, og kopiér eller hent derefter en TXT-fil.

Adgangsfrasetilstand bruger EFF’s store engelske ordliste (7776 ord): 3–8 ord, standard 5, med separator, store bogstaver og valgfrit tal.

Genereringen bruger browserens kryptografisk sikre tilfældighedsgenerator (crypto.getRandomValues), med 32-bit rejection sampling og en sikker blanding. Math.random bruges ikke. Den viste entropi er et skøn ud fra tegnsæt og længde (eller ordlistens størrelse og antal ord), ikke en måling af menneskelige adgangskoder eller et løfte mod gæt.

Selve genereringen sker i din browser. Værdier sendes ikke til en NEXNARA-server for dette værktøj. Annoncer og andre funktioner på sitet bruger stadig netværket.

Har du brug for en tilfældig adgangskode på 16 tegn at starte med? Åbn Adgangskodegenerator og generér én, som du gemmer, ikke genbruger.

FAQ

Hvor lang skal en adgangskode være i 2026?

NIST kræver mindst 15 tegn til en adgangskode som eneste faktor. CISA anbefaler mindst 16, der er tilfældige og unikke. 16+ genererede tegn er et stærkt praktisk udgangspunkt, når tjenesten tillader det. Det er ingen garanti.

Er en adgangskode på 12 tegn lang nok?

Den er bedre end en kort ældre adgangskode, men den ligger under NIST’s nuværende minimum på 15 tegn for eneste faktor. Foretræk 16+, når du kan.

Er en adgangskode på 16 tegn sikker?

16 tilfældige unikke tegn er et fornuftigt udgangspunkt. Den er ikke automatisk sikker. Forudsigelige eller genbrugte værdier på 16 tegn forbliver svage.

Er længere adgangskoder altid bedre?

Længere tilfældige unikke adgangskoder giver som regel flere kombinationer. En længere forudsigelig eller genbrugt værdi er ikke automatisk bedre.

Skal jeg have tal og specialtegn i min adgangskode?

NIST siger til tjenester, at de ikke skal kræve en tvungen blanding. En tilfældig generator kan alligevel tage dem med. Symboler er ikke påkrævet for at være «stærk», og de er ikke nytteløse.

Skal jeg skifte adgangskode hver 90. dag?

NIST siger, at man ikke skal kræve vilkårlige periodiske skift uden belæg for kompromittering. Skift efter et læk, en kompromittering eller et varsel fra tjenesten—ikke efter en tom 90-dageskalender.