راهنمای فنی
در 2026 گذرواژه باید چند نویسه باشد؟
NIST اکنون برای گذرواژهٔ تک‌عاملی 15 نویسه می‌خواهد. CISA گذرواژهٔ تصادفی و یکتای 16 نویسه یا بیشتر را توصیه می‌کند. ببینید در 2026 چه طولی به کار ببرید.
برای گذرواژه‌ای که امروز می‌سازید، طول و تصادفی‌بودن و یکتایی هر سه مهم‌اند. NIST SP 800-63-4 می‌گوید گذرواژهٔ تک‌عاملی باید دست‌کم 15 نویسه باشد. اگر فقط بخشی از MFA باشد، می‌تواند کوتاه‌تر شود؛ کف NIST همچنان 8 است.
راهنمای مصرف‌کنندهٔ CISA گذرواژه‌هایی دست‌کم 16 نویسه، تصادفی و یکتا می‌خواهد. گذرواژهٔ تصادفی تولیدشده با 16 نویسه یا بیشتر، وقتی خدمت اجازه دهد، شروعی استوار است.
بلندتر می‌تواند کمک کند، اما طول به‌تنهایی گذرواژهٔ پیش‌بینی‌پذیر یا بازاستفاده‌شده را امن نمی‌کند. 15 یا 16 نویسه تضمین امنیت نیست.
این نوشته به طول مناسب گذرواژه در 2026 پاسخ می‌دهد. مبنای آن قاعده‌های فعلی تأییدکننده در NIST SP 800-63-4 / SP 800-63B و توصیهٔ عمومی CISA است. راهنمای کامل امنیت سایبری نیست.
پس گذرواژه‌ام باید چند نویسه باشد؟
اگر مدیر گذرواژه بتواند آن را نگه دارد، یک گذرواژهٔ تصادفی و یکتا با 16 نویسه یا بیشتر بسازید. وقتی خدمت اجازه دهد رشتهٔ تصادفی بلندتری بگذارید. اگر باید به خاطر بسپارید، عبارت عبور بلند معمولاً عملی‌تر از رشتهٔ کوتاه با جانشینی اجباری است. 16 نفوذناپذیر نیست و 15 تضمین نیست.
NIST در 2026 چه می‌خواهد؟
NIST SP 800-63-4 به تأییدکننده‌ها می‌گوید چه بخواهند—شعار شخصی نیست. گذرواژهٔ تک‌عاملی باید دست‌کم 15 نویسه باشد. اگر فقط بخشی از MFA باشد، می‌تواند کوتاه‌تر شود، اما کف همچنان 8 است. تأییدکننده‌ها SHOULD دست‌کم 64 نویسه بپذیرند. SHALL NOT نباید ترکیب اجباری انواع نویسه بخواهند و SHALL NOT نباید تعویض دوره‌ای بدون نشانهٔ نفوذ تحمیل کنند. گذرواژه‌های رایج یا افشاشده باید مسدود شوند.
CISA چه توصیه می‌کند؟
راهنمای Secure Our World از CISA ساده‌تر است: دست‌کم 16 نویسه، تصادفی و یکتا، به‌همراه مدیر گذرواژه. این با NIST در تضاد نیست. 15 الزام تأییدکننده برای تک‌عامل است؛ 16+ توصیهٔ عمومی CISA است.
8 در برابر 12 در برابر 16 نویسه: آیا طول واقعاً مهم است؟
طول مهم است، اما رقم‌های منتشرشده برای «زمان حدس» مهم نیستند. آن رقم‌ها با سخت‌افزار، تابع درهم‌سازی، تصادفی‌بودن، مدل حمله و شیوهٔ ذخیرهٔ گذرواژه عوض می‌شوند.
| طول | دید عملی |
|---|---|
| 8 | برای گذرواژهٔ تک‌عاملی تازه، به‌عنوان توصیهٔ عمومی کوتاه است. NIST عدد 8 را فقط وقتی کف می‌گذارد که گذرواژه تنها بخشی از MFA باشد. |
| 12 | از گذرواژه‌های قدیمی کوتاه بهتر است، اما زیر کف تک‌عاملی فعلی NIST یعنی 15 می‌ماند. |
| 15 | کف تک‌عاملی فعلی NIST برای تأییدکننده‌ها. |
| 16+ | با توصیهٔ عمومی سادهٔ CISA هم‌خوان است و برای گذرواژه‌های تولیدشده شروعی معقول است. |
آیا طول از پیچیدگی مهم‌تر است؟
راهنمای فعلی طول کافی و انتخاب خوب را بر قاعده‌های ترکیب پیش‌بینی‌پذیر ترجیح می‌دهد. الگویی مثل واژهٔ رایج به‌اضافهٔ «1!» حتی با انواع درهم‌آمیخته باز هم حدس‌پذیر می‌ماند. نویسه‌های ویژه بی‌فایده نیستند: در گذرواژهٔ تصادفی تولیدشده، مجموعهٔ بزرگ‌تر ترکیب‌ها را می‌افزاید. هسته تصادفی‌بودن، طول و یکتایی است.
گذرواژهٔ بلند باز هم می‌تواند ضعیف باشد
مقدار بلند اگر پیش‌بینی‌پذیر، عبارت رایج، بازاستفاده‌شده یا بر پایهٔ اطلاعات شخصی باشد، ضعیف می‌ماند. تکرار یک نویسه بارها طول است، نه قدرت. عبارتی را که همه از پیش می‌دانند دوباره به کار نبرید.
چرا هر حساب باید گذرواژهٔ جدا داشته باشد
اگر خدمتی گذرواژه را فاش کند و شما آن را بازاستفاده کرده باشید، حساب‌های دیگری که همان را دارند در خطرند. هر حساب گذرواژهٔ خودش را می‌خواهد. آزمودن جفت‌های افشاشده در سایت‌های دیگر رایج است. گذرواژه‌های یکتا آن آسیب را محدود می‌کنند.
باید از مدیر گذرواژه استفاده کرد؟
NIST از تأییدکننده‌ها می‌خواهد مدیر گذرواژه و پرکردن خودکار را بپذیرند. CISA هم مدیر را توصیه می‌کند. لازم نیست برای هر سایت یک گذرواژهٔ تصادفی یکتا را حفظ کنید. این نوشته محصول خاصی را پیشنهاد نمی‌کند.
گذرواژه یا عبارت عبور؟
اگر مدیر مقدار را نگه دارد، گذرواژهٔ تصادفی تولیدشده راحت است. اگر باید به یاد بسپارید، عبارت عبور بلند از چند واژه معمولاً عملی‌تر است. نقل‌قول مشهور، متن ترانه، جملهٔ رایج و جزئیات شخصی را کنار بگذارید. این یادداشت کوتاه است، نه راهنمای کامل عبارت عبور.
آیا گذرواژه به حرف بزرگ، عدد و نماد نیاز دارد؟
NIST می‌گوید تأییدکننده‌ها SHALL NOT نباید ترکیب انواع نویسه را اجباری کنند. سایتی که یک حرف بزرگ، یک عدد و یک نماد می‌خواهد از آن مسیر فاصله دارد. مولّد تصادفی می‌تواند مجموعهٔ گسترده به کار ببرد و این اشکالی ندارد. نمادها گذرواژه را ضعیف‌تر نمی‌کنند.
باید هر 90 روز گذرواژه را عوض کرد؟
NIST می‌گوید تأییدکننده‌ها SHALL NOT نباید تعویض دوره‌ای دلخواه را تحمیل کنند مگر نشانهٔ نفوذ باشد. اگر افشا شد، حساب نفوذ شد، یا خدمت گفت عوض کنید. این یعنی «هرگز عوض نکنید» نیست.
آیا MFA طول گذرواژه را بی‌اهمیت می‌کند؟
خیر. MFA لایهٔ حفاظتی می‌افزاید. بهداشت گذرواژه را اختیاری نمی‌کند. NIST ممکن است وقتی گذرواژه فقط بخشی از MFA است کف 8 نویسه بپذیرد. این توصیهٔ عمومی برای گذرواژهٔ 8 نویسه‌ای نیست.
طول جلوی چه چیزی را نمی‌گیرد
گذرواژهٔ خیلی بلند جلوی هر حمله‌ای را نمی‌گیرد. طول به‌تنهایی فیشینگ، بدافزار یا ثبت کلید، مهندسی اجتماعی یا دستگاه نفوذشده را متوقف نمی‌کند. MFA، به‌روزرسانی نرم‌افزار و آگاهی از فیشینگ همچنان مهم‌اند. این نوشته روی طول گذرواژه می‌ماند.
گذرواژهٔ قوی بلند، تصادفی و یکتاست. وقتی می‌توانید از مدیر گذرواژه استفاده کنید و وقتی MFA هست آن را روشن کنید.
راهنمای ساده برای تصمیم طول گذرواژه
گذرواژهٔ حساب تازه می‌خواهید؟ اگر مدیر گذرواژه بتواند نگه دارد، گذرواژهٔ تصادفی یکتا بسازید—16 نویسه یا بیشتر شروعی عملی است، بلندتر اگر پشتیبانی شود. اگر باید حفظ کنید، عبارت عبور بلند و یکتا بگذارید و عبارت‌های رایج را کنار بگذارید. سپس در صورت وجود MFA را روشن کنید.
- گذرواژهٔ حساب تازه می‌خواهید؟
- آیا مدیر گذرواژه می‌تواند آن را نگه دارد؟
- بله ← گذرواژهٔ تصادفی یکتا، 16+ (بلندتر اگر مجاز باشد)
- خیر ← عبارت عبور بلند و یکتا؛ عبارت‌های رایج را کنار بگذارید
- وقتی MFA هست آن را روشن کنید
در مرورگر خود گذرواژهٔ بلند و تصادفی بسازید
NEXNARA تولید کننده رمز عبور می‌تواند گذرواژه، عبارت عبور یا PIN بسازد. این نوشته دربارهٔ گذرواژهٔ حساب است. PIN راز کوتاه‌تر و دیگری است—همان توصیه نیست.
حالت گذرواژه: طول 4–128، پیش‌فرض 16. رده‌های نویسه را برگزینید، نویسه‌های مبهم را کنار بگذارید، یا نویسه‌های سفارشی را حذف کنید. 1، 5، 10 یا 20 مقدار بسازید، سپس رونوشت بگیرید یا پروندهٔ TXT بارگیری کنید.
حالت عبارت عبور فهرست بزرگ واژه‌های انگلیسی EFF را به کار می‌برد (7776 واژه): از 3 تا 8 واژه، پیش‌فرض 5، با جداکننده، بزرگ‌نویسی و عدد اختیاری.
تولید از مولّد تصادفی امن رمزنگاشتی مرورگر (crypto.getRandomValues) استفاده می‌کند، با نمونه‌گیری رد 32 بیتی و به‌هم‌زدن امن. Math.random به کار نمی‌رود. آنتروپی نمایش‌داده‌شده برآوردی از مجموعهٔ نویسه و طول است (یا اندازهٔ فهرست و شمار واژه)، نه سنجش گذرواژهٔ انسانی و نه وعدهٔ حدس‌ناپذیری.
خود تولید در مرورگر شما رخ می‌دهد. برای این ابزار مقدارها به کارساز NEXNARA فرستاده نمی‌شوند. تبلیغات و دیگر بخش‌های سایت همچنان از شبکه استفاده می‌کنند.
برای شروع به گذرواژهٔ تصادفی 16 نویسه‌ای نیاز دارید؟ تولید کننده رمز عبور را باز کنید و یکی بسازید که نگه می‌دارید، نه اینکه دوباره به کار ببرید.
FAQ
در 2026 گذرواژه باید چند نویسه باشد؟
NIST برای گذرواژهٔ تک‌عاملی دست‌کم 15 نویسه می‌خواهد. CISA دست‌کم 16 نویسهٔ تصادفی و یکتا را توصیه می‌کند. 16 نویسهٔ تولیدشده یا بیشتر، وقتی خدمت اجازه دهد، شروع عملی استواری است. تضمین نیست.
آیا گذرواژهٔ 12 نویسه‌ای بس است؟
از گذرواژهٔ قدیمی کوتاه بهتر است، اما زیر کف تک‌عاملی فعلی NIST یعنی 15 نویسه است. وقتی می‌توانید 16+ را ترجیح دهید.
آیا گذرواژهٔ 16 نویسه‌ای امن است؟
16 نویسهٔ تصادفی و یکتا شروعی معقول است. خودبه‌خود امن نیست. مقدار 16 نویسه‌ای پیش‌بینی‌پذیر یا بازاستفاده‌شده ضعیف می‌ماند.
آیا گذرواژهٔ بلندتر همیشه بهتر است؟
گذرواژه‌های بلندتر تصادفی و یکتا معمولاً ترکیب می‌افزایند. مقدار بلندتر اما پیش‌بینی‌پذیر یا بازاستفاده‌شده خودبه‌خود بهتر نیست.
آیا در گذرواژه به عدد و نویسهٔ ویژه نیاز دارم؟
NIST به خدمت‌ها می‌گوید ترکیب اجباری نخواهند. مولّد تصادفی باز هم می‌تواند آن‌ها را بگنجاند. نمادها برای «قوی» بودن الزامی نیستند و بی‌فایده هم نیستند.
باید هر 90 روز گذرواژه‌ام را عوض کنم؟
NIST می‌گوید بدون نشانهٔ نفوذ تعویض دوره‌ای دلخواه تحمیل نشود. پس از افشا، نفوذ، یا هشدار خدمت عوض کنید—نه روی تقویم خالی 90 روزه.