Berapa panjang kata sandi yang pas di tahun 2026?

Artikel ini menjawab berapa panjang kata sandi yang pas pada 2026. Artikel ini memakai aturan verifier NIST SP 800-63-4 / SP 800-63B yang berlaku dan nasihat publik CISA. Ini bukan panduan siber secara utuh.

Jadi, berapa panjang kata sandi saya seharusnya?

Jika pengelola kata sandi bisa menyimpannya, buat kata sandi acak yang unik sepanjang 16 karakter atau lebih. Pakai rangkaian acak yang lebih panjang bila layanan mengizinkan. Jika harus dihafal, frasa sandi yang panjang sering lebih praktis daripada rangkaian pendek dengan penggantian paksa. 16 tidak kebal ditembus, dan 15 bukan jaminan.

Apa yang disyaratkan NIST pada 2026?

NIST SP 800-63-4 memberi tahu verifier apa yang harus disyaratkan—bukan slogan pribadi. Kata sandi faktor tunggal harus minimal 15 karakter. Jika hanya dipakai sebagai bagian dari MFA, boleh lebih pendek, tetapi batas bawah tetap 8. Verifier SHOULD menerima minimal 64 karakter. Mereka SHALL NOT mewajibkan campuran paksa jenis karakter, dan SHALL NOT memaksa pergantian berkala tanpa bukti kompromi. Kata sandi yang umum atau sudah bocor sebaiknya diblokir.

Apa yang dianjurkan CISA?

Panduan Secure Our World dari CISA lebih sederhana: minimal 16 karakter, acak, dan unik, plus pengelola kata sandi. Itu tidak bertentangan dengan NIST. 15 adalah syarat verifier untuk faktor tunggal; 16+ adalah anjuran publik CISA.

8 vs 12 vs 16 karakter: apakah panjang benar-benar penting?

Panjang itu penting, tetapi “waktu crack” yang dipublikasikan tidak. Waktu itu berubah bersama perangkat keras, hash, keacakan, model serangan, dan cara kata sandi disimpan.

Panjang	Pandangan praktis
8	Terlalu pendek sebagai anjuran umum untuk kata sandi faktor tunggal yang baru. NIST mengizinkan 8 hanya sebagai batas bawah saat kata sandi dipakai hanya sebagai bagian dari MFA.
12	Lebih baik daripada kata sandi lama yang pendek, tetapi di bawah batas bawah faktor tunggal NIST saat ini, yaitu 15.
15	Batas bawah faktor tunggal NIST saat ini untuk verifier.
16+	Selaras dengan anjuran publik CISA yang sederhana dan merupakan titik berangkat yang masuk akal untuk kata sandi yang digenerate.

Apakah panjang lebih penting daripada kompleksitas?

Panduan saat ini lebih mengutamakan panjang yang cukup dan pemilihan yang baik daripada aturan susunan yang mudah ditebak. Pola seperti kata umum plus “1!” tetap bisa ditebak meski jenisnya dicampur. Karakter khusus bukan sia-sia: pada kata sandi acak, himpunan karakter yang lebih luas bisa menambah kombinasi. Intinya adalah keacakan, panjang, dan keunikan.

Kata sandi yang panjang tetap bisa lemah

Nilai yang panjang tetap lemah jika mudah ditebak, berupa frasa umum, dipakai ulang, atau berbasis data pribadi. Mengulang karakter yang sama berkali-kali itu panjang, bukan kuat. Jangan memakai ulang frasa yang sudah diketahui semua orang.

Mengapa setiap akun harus punya kata sandi berbeda

Jika satu layanan membocorkan kata sandi dan Anda memakainya ulang, akun lain yang memakai nilai yang sama ikut berisiko. Setiap akun butuh kata sandinya sendiri. Mencoba pasangan yang bocor di situs lain (credential stuffing) itu lazim. Kata sandi unik membatasi kerusakan itu.

Haruskah Anda memakai pengelola kata sandi?

NIST meminta verifier mengizinkan pengelola kata sandi dan pengisian otomatis. CISA juga menganjurkan pengelola. Anda tidak harus menghafal kata sandi acak yang unik untuk setiap situs. Artikel ini tidak merekomendasikan produk tertentu.

Kata sandi atau frasa sandi?

Jika pengelola menyimpan nilainya, kata sandi acak yang digenerate itu nyaman. Jika harus diingat, frasa sandi panjang dari beberapa kata bisa lebih praktis. Hindari kutipan terkenal, lirik lagu, kalimat umum, dan detail pribadi. Ini catatan singkat, bukan panduan frasa sandi yang lengkap.

Apakah kata sandi perlu huruf besar, angka, dan simbol?

NIST menyatakan verifier SHALL NOT mewajibkan campuran jenis karakter. Situs yang memaksa satu huruf besar, satu angka, dan satu simbol tidak sejalan dengan arah itu. Generator acak tetap boleh memakai himpunan yang luas, dan itu tidak masalah. Simbol tidak membuat kata sandi lebih lemah.

Haruskah Anda mengganti kata sandi setiap 90 hari?

NIST menyatakan verifier SHALL NOT mewajibkan pergantian berkala yang semena-mena kecuali ada bukti kompromi. Ganti kata sandi jika bocor, akun dikompromikan, atau layanan meminta Anda mengganti. Itu bukan “jangan pernah ganti kata sandi.”

Apakah MFA membuat panjang kata sandi tidak penting?

Tidak. MFA menambah perlindungan. MFA tidak membuat kebersihan kata sandi menjadi opsional. NIST boleh mengizinkan batas bawah 8 karakter saat kata sandi dipakai hanya sebagai bagian dari MFA. Itu bukan anjuran umum untuk memakai kata sandi 8 karakter.

Apa yang tidak bisa dicegah oleh panjang

Kata sandi yang sangat panjang tidak menghentikan setiap serangan. Panjang saja tidak menghentikan phishing, malware atau keylogging, rekayasa sosial, atau perangkat yang sudah dikompromikan. MFA, pembaruan perangkat lunak, dan kewaspadaan terhadap phishing tetap penting. Artikel ini tetap pada panjang kata sandi.

Panduan keputusan panjang kata sandi yang sederhana

Butuh kata sandi akun baru? Jika pengelola kata sandi bisa menyimpannya, buat kata sandi acak yang unik—16 karakter atau lebih adalah awal yang praktis, lebih panjang jika didukung. Jika harus dihafal, pakai frasa sandi yang panjang dan unik, serta hindari frasa umum. Lalu aktifkan MFA jika tersedia.

• Butuh kata sandi akun baru?
• ↓
• Bisakah pengelola kata sandi menyimpannya?
• Ya → kata sandi acak unik, 16+ (lebih panjang jika diizinkan)
• Tidak → frasa sandi panjang dan unik; hindari frasa umum
• ↓
• Aktifkan MFA jika tersedia

Buat kata sandi panjang dan acak di peramban Anda

NEXNARA Pembuat Kata Sandi dapat membuat kata sandi, frasa sandi, atau PIN. Artikel ini membahas kata sandi akun. PIN adalah rahasia yang lebih pendek dan berbeda—bukan anjuran yang sama.

Mode kata sandi: panjang 4–128, bawaan 16. Pilih kelas karakter, kecualikan karakter yang membingungkan, atau kecualikan karakter khusus. Generate 1, 5, 10, atau 20 nilai, lalu salin atau unduh berkas TXT.

Mode frasa sandi memakai daftar kata bahasa Inggris besar dari EFF (7776 kata): 3–8 kata, bawaan 5, dengan pemisah, kapitalisasi, dan opsi angka opsional.

Pembuatan memakai generator bilangan acak yang aman secara kriptografis di peramban (crypto.getRandomValues), dengan rejection sampling 32-bit dan pengacakan yang aman. Math.random tidak dipakai. Entropi yang ditampilkan adalah perkiraan dari himpunan karakter dan panjang (atau ukuran daftar kata dan jumlah kata), bukan pengukuran kata sandi manusia atau janji anti-tebak.

Pembuatan itu sendiri terjadi di peramban Anda. Nilai tidak dikirim ke server NEXNARA untuk alat ini. Iklan dan fitur situs lain tetap memakai jaringan.

Butuh kata sandi acak 16 karakter sebagai titik berangkat? Buka Pembuat Kata Sandi dan buat satu yang akan Anda simpan, bukan dipakai ulang.

FAQ

Berapa panjang kata sandi yang pas di tahun 2026?

NIST mensyaratkan minimal 15 karakter untuk kata sandi faktor tunggal. CISA menganjurkan minimal 16 yang acak dan unik. 16+ karakter yang digenerate adalah awal praktis yang kuat bila layanan mengizinkan. Itu bukan jaminan.

Apakah kata sandi 12 karakter sudah cukup panjang?

Lebih baik daripada kata sandi lama yang pendek, tetapi di bawah batas bawah faktor tunggal NIST saat ini, yaitu 15 karakter. Utamakan 16+ jika bisa.

Apakah kata sandi 16 karakter aman?

16 karakter acak dan unik adalah awal yang masuk akal. Itu tidak otomatis aman. Nilai 16 karakter yang mudah ditebak atau dipakai ulang tetap lemah.

Apakah kata sandi yang lebih panjang selalu lebih baik?

Kata sandi yang lebih panjang, acak, dan unik biasanya menambah kombinasi. Nilai yang lebih panjang tetapi mudah ditebak atau dipakai ulang tidak otomatis lebih baik.

Apakah saya perlu angka dan karakter khusus di kata sandi?

NIST memberi tahu layanan agar tidak mewajibkan campuran paksa. Generator acak tetap boleh memasukkannya. Simbol tidak wajib agar “kuat,” dan tidak sia-sia.

Haruskah saya mengganti kata sandi setiap 90 hari?

NIST menyatakan jangan mewajibkan pergantian berkala yang semena-mena tanpa bukti kompromi. Ganti setelah bocor, kompromi, atau peringatan layanan—bukan menurut kalender 90 hari yang kosong.