Kuinka pitkä salasanan pitäisi olla vuonna 2026?

Tämä artikkeli vastaa siihen, kuinka pitkä salasanan pitäisi olla vuonna 2026. Se nojaa nykyisiin NIST SP 800-63-4 / SP 800-63B -tarkistajasääntöihin ja CISA:n julkiseen neuvoon. Se ei ole täydellinen kyberturvaopas.

Kuinka pitkä salasanani siis pitäisi olla?

Jos salasananhallinta voi tallentaa sen, luo yksilöllinen satunnainen salasana, jossa on 16+ merkkiä. Käytä pidempää satunnaista merkkijonoa, kun palvelu sen sallii. Jos sinun on muistettava se, pitkä salalause on usein käytännöllisempi kuin lyhyt merkkijono pakotetuilla vaihdoilla. 16 ei ole takuu, eikä 15 ole.

Mitä NIST edellyttää vuonna 2026?

NIST SP 800-63-4 kertoo tarkistajille, mitä niiden tulee vaatia—ei henkilökohtaista iskulausetta. Yksitekijäisen salasanan on oltava vähintään 15 merkkiä. Jos sitä käytetään vain osana MFA:ta, se saa olla lyhyempi, mutta alaraja on silti 8. Tarkistajien SHOULD hyväksyä vähintään 64 merkkiä. He SHALL NOT vaatia pakotettua merkkityyppien sekoitusta eivätkä SHALL NOT pakottaa määräaikaisia vaihtoja ilman näyttöä väärinkäytöstä. Yleiset tai vuotaneet salasanat kannattaa estää.

Mitä CISA suosittelee?

CISA:n Secure Our World -ohje on yksinkertaisempi: vähintään 16 merkkiä, satunnainen ja yksilöllinen, plus salasananhallinta. Se ei ole ristiriidassa NIST:n kanssa. 15 on yksitekijäinen tarkistajavaatimus; 16+ on CISA:n julkinen suositus.

8, 12 vai 16 merkkiä: onko pituudella oikeasti väliä?

Pituudella on väliä, mutta julkaistuilla arvausaika-arvioilla ei. Ne luvut muuttuvat laitteiston, tiivisteen, satunnaisuuden, hyökkäysmallin ja tallennustavan mukana.

Pituus	Käytännön näkymä
8	Liian lyhyt yleiseksi suositukseksi uudelle yksitekijäiselle salasanalle. NIST sallii 8 vain alarajaksi, kun salasanaa käytetään pelkästään osana MFA:ta.
12	Parempi kuin lyhyet vanhat salasanat, mutta alle NIST:n nykyisen yksitekijäisen 15 merkin alarajan.
15	Nykyinen NIST:n yksitekijäinen alaraja tarkistajille.
16+	Vastaa CISA:n yksinkertaista julkista suositusta ja on järkevä lähtökohta luoduille salasanoille.

Onko pituus tärkeämpää kuin monimutkaisuus?

Nykyinen ohje suosii riittävää pituutta ja hyvää valintaa ennustettavien koostumussääntöjen sijaan. Kuvio kuten yleinen sana plus «1!» voi jäädä arvattavaksi vaikka tyyppejä sekoitettaisiin. Erikoismerkit eivät ole turhia: satunnaisesti luodussa salasanassa laajempi merkkijoukko voi lisätä yhdistelmiä. Ydin on satunnaisuus, pituus ja yksilöllisyys.

Pitkä salasana voi silti olla heikko

Pitkä arvo voi silti olla heikko, jos se on ennustettava, yleinen lause, uudelleenkäytetty tai perustuu henkilötietoihin. Saman merkin toistaminen monta kertaa on pitkää, ei vahvaa. Älä käytä uudelleen lausetta, jonka kaikki jo tuntevat.

Miksi jokaisella tilillä pitäisi olla eri salasana

Jos palvelu vuotaa salasanan, jota käytit uudelleen, muut tilit, jotka jakavat sen, ovat vaarassa. Jokainen tili tarvitsee oman salasanansa. Vuotaneiden parien kokeilu muilla sivustoilla on yleistä. Yksilölliset salasanat rajaavat sitä vahinkoa.

Pitäisikö käyttää salasananhallintaa?

NIST pyytää tarkistajia sallimaan salasananhallinnan ja automaattisen täytön. CISA suosittelee myös hallintaohjelmaa. Sinun ei tarvitse muistaa yksilöllistä satunnaista salasanaa joka sivustolle. Tämä artikkeli ei suosita tiettyä tuotetta.

Salasana vai salalause?

Jos hallintaohjelma tallentaa arvon, satunnaisesti luotu salasana on kätevä. Jos sinun on muistettava se, usean sanan pitkä salalause voi olla käytännöllisempi. Vältä tunnettuja sitaatteja, laulun sanoja, yleisiä lauseita ja henkilötietoja. Tämä on lyhyt huomautus, ei täydellinen salalauseopas.

Tarvitsevatko salasanat isoja kirjaimia, numeroita ja symboleja?

NIST sanoo, että tarkistajat SHALL NOT vaatia merkkityyppien sekoitusta. Sivusto, joka pakottaa yhden ison kirjaimen, yhden numeron ja yhden symbolin, ei noudata sitä suuntaa. Satunnaisluonti voi silti käyttää laajaa joukkoa, ja se on kunnossa. Symbolit eivät heikennä salasanoja.

Pitäisikö salasana vaihtaa 90 päivän välein?

NIST sanoo, että tarkistajat SHALL NOT vaatia mielivaltaisia määräaikaisia vaihtoja, ellei ole näyttöä väärinkäytöstä. Vaihda salasana, jos se on vuotanut, tili on vaarantunut tai palvelu kehottaa siihen. Se ei ole «älä koskaan vaihda salasanaa».

Tekeekö MFA salasanan pituuden merkityksettömäksi?

Ei. MFA lisää suojaa. Se ei tee salasanahygieniasta valinnaista. NIST voi sallia 8 merkin alarajan, kun salasanaa käytetään vain osana MFA:ta. Se ei ole yleinen suositus käyttää 8 merkin salasanoja.

Mitä pituus ei voi estää

Erittäin pitkä salasana ei pysäytä jokaista hyökkäystä. Pituus yksin ei estä tietojenkalastelua, haittaohjelmaa tai näppäinlokitusta, sosiaalista manipulointia eikä vaarantunutta laitetta. MFA, ohjelmistopäivitykset ja tietojenkalastelun tunnistaminen merkitsevät yhä. Tämä artikkeli pysyy salasanan pituudessa.

Yksinkertainen päätösopas salasanan pituuteen

Tarvitsetko uuden tilin salasanan? Jos salasananhallinta voi tallentaa sen, luo yksilöllinen satunnainen salasana—16+ merkkiä on käytännöllinen alku, pidempi jos se on tuettu. Jos sinun on muistettava se, käytä pitkää yksilöllistä salalausetta ja vältä yleisiä lauseita. Ota sitten MFA käyttöön kun se on tarjolla.

• Tarvitsetko uuden tilin salasanan?
• ↓
• Voiko salasananhallinta tallentaa sen?
• Kyllä → yksilöllinen satunnainen salasana, 16+ (pidempi jos sallittu)
• Ei → pitkä yksilöllinen salalause; vältä yleisiä lauseita
• ↓
• Ota MFA käyttöön kun se on tarjolla

Luo pitkä, satunnainen salasana selaimessa

NEXNARA Salasanageneraattori voi luoda salasanan, salalauseen tai PIN-koodin. Tämä artikkeli käsittelee tilien salasanoja. PIN on lyhyempi, erilainen salaisuus—ei sama suositus.

Salasanatila: pituus 4–128, oletus 16. Valitse merkkiluokat, jätä pois moniselitteiset merkit tai jätä pois omat merkit. Luo 1, 5, 10 tai 20 arvoa, kopioi sitten tai lataa TXT-tiedosto.

Salalausetila käyttää EFF:n suurta englannin sanaluetteloa (7776 sanaa): 3–8 sanaa, oletus 5, erottimella, isoilla kirjaimilla ja valinnaisella numerolla.

Luonti käyttää selaimen salauksellisesti turvallista satunnaislukugeneraattoria (crypto.getRandomValues), 32-bittistä rejection samplingia ja turvallista sekoitusta. Math.randomia ei käytetä. Näytetty entropia on arvio merkkijoukosta ja pituudesta (tai sanalistan koosta ja sanamäärästä), ei ihmisen salasanan mittaus eikä lupaus arvauksen kestävyydestä.

Itse luonti tapahtuu selaimessasi. Arvoja ei lähetetä NEXNARA-palvelimelle tätä työkalua varten. Mainokset ja muut sivuston ominaisuudet käyttävät silti verkkoa.

Tarvitsetko 16 merkin satunnaisen salasanan lähtökohdaksi? Avaa Salasanageneraattori ja luo yksi, jonka tallennat, et käytä uudelleen.

FAQ

Kuinka pitkä salasanan pitäisi olla vuonna 2026?

NIST edellyttää vähintään 15 merkkiä yksitekijäiselle salasanalle. CISA suosittelee vähintään 16 satunnaista ja yksilöllistä merkkiä. 16+ luotua merkkiä on vahva käytännön alku, kun palvelu sen sallii. Se ei ole takuu.

Riittääkö 12 merkin salasana?

Se on parempi kuin lyhyt vanha salasana, mutta se on alle NIST:n nykyisen 15 merkin yksitekijäisen alarajan. Suosi 16+ kun voit.

Onko 16 merkin salasana turvallinen?

16 satunnaista yksilöllistä merkkiä on järkevä alku. Se ei ole automaattisesti turvallinen. Ennustettavat tai uudelleenkäytetyt 16 merkin arvot pysyvät heikkoina.

Ovatko pidemmät salasanat aina parempia?

Pidemmät satunnaiset yksilölliset salasanat lisäävät yleensä yhdistelmiä. Pidempi ennustettava tai uudelleenkäytetty arvo ei ole automaattisesti parempi.

Tarvitsenko numeroita ja erikoismerkkejä salasanaan?

NIST kehottaa palveluita olemaan vaatimatta pakotettua sekoitusta. Satunnaisluonti voi silti sisällyttää niitä. Symbolit eivät ole pakollisia «vahvuudelle», eivätkä ne ole turhia.

Pitäisikö salasana vaihtaa 90 päivän välein?

NIST sanoo, ettei mielivaltaisia määräaikaisia vaihtoja pidä vaatia ilman näyttöä väärinkäytöstä. Vaihda vuodon, väärinkäytön tai palvelun ilmoituksen jälkeen—ei tyhjän 90 päivän kalenterin mukaan.