2026年、パスワードは何文字あればよいか

要点

今日作るパスワードでは、長さ、ランダムさ、使い回さないことがすべて効きます。NIST SP 800-63-4は、単要素パスワードを少なくとも15文字と定めています。MFAの一部としてだけ使う場合は短くてもよく、NISTの下限は8です。

CISAの一般向け案内は、少なくとも16文字で、ランダムかつ各アカウントで異なるパスワードを勧めています。サービスが許すなら、ランダムに生成した16文字以上が出発点として堅実です。

長くすると助けになることはありますが、長さだけでは予測しやすいパスワードや使い回したパスワードは安全になりません。15文字も16文字も、安全性の保証ではありません。

この記事は、2026年にパスワードを何文字にすべきかを答えます。現行のNIST SP 800-63-4 / SP 800-63Bの検証側ルールと、CISAの公開案内に依ります。サイバーセキュリティ全体の手引きではありません。

では、パスワードは何文字にすればよいか

パスワードマネージャーに保存できるなら、固有のランダムなパスワードを16文字以上で作ってください。サービスが許すなら、より長いランダム文字列でも構いません。自分で覚える必要があるなら、短い文字列に強制置換を入れるより、長いパスフレーズの方が実務的なことが多いです。16は破れないわけではなく、15は保証でもありません。

2026年、NISTは何を求めているか

NIST SP 800-63-4は、検証側が何を求めるかを述べます。個人の標語ではありません。単要素パスワードは少なくとも15文字でなければなりません。MFAの一部としてだけ使う場合は短くてもよいですが、下限はなお8です。検証側は少なくとも64文字を受け入れることがSHOULDです。文字種の強制混合を求めてはならず（SHALL NOT）、侵害の証拠がない定期変更も強制してはなりません（SHALL NOT）。よくあるパスワードや漏洩済みのパスワードは拒否すべきです。

CISAは何を勧めているか

CISAのSecure Our World案内はより単純です。少なくとも16文字で、ランダムかつ固有のパスワードに加え、パスワードマネージャーを使うことです。NISTと矛盾しません。15は単要素の検証側要件であり、16以上はCISAの公開推奨です。

8文字、12文字、16文字：長さは本当に効くか

長さは重要ですが、公開されている「解読時間」は当てにしません。その時間はハードウェア、ハッシュ、ランダムさ、攻撃モデル、保存方法で変わります。

長さ	実務上の見方
8	新しい単要素パスワードの一般的な推奨としては短すぎます。NISTが8を認めるのは、パスワードをMFAの一部としてだけ使う場合の下限に限られます。
12	短い従来型パスワードよりはましですが、現行NISTの単要素下限である15には届きません。
15	検証側に対する現行NISTの単要素下限です。
16+	CISAの簡潔な公開推奨と一致し、生成パスワードの出発点として妥当です。

長さは複雑さより重要か

現行の案内は、予測しやすい構成ルールより、十分な長さとよい選び方を優先します。よくある単語に「1!」を足すだけの型は、文字種を混ぜても推測され得ます。記号が無意味なわけではありません。ランダム生成では、文字集合が広いと組み合わせが増えます。核はランダムさ、長さ、使い回さないことです。

長いパスワードでも弱いことがある

長い値でも、予測しやすい、ありふれた句、使い回し、個人情報に基づくものなら弱いままです。同じ文字を何度も繰り返すのは長いだけで、強くはありません。誰もが知っている句を使い回さないでください。

アカウントごとにパスワードを変える理由

あるサービスがパスワードを漏らし、それを使い回していたら、同じ値を共有する他のアカウントも危うくなります。各アカウントには固有のパスワードが必要です。漏れた組を他サイトで試すこと（credential stuffing）はよくあります。固有のパスワードはその被害を限ります。

パスワードマネージャーは使うべきか

NISTは検証側に、パスワードマネージャーと自動入力を許すよう求めています。CISAもマネージャーを勧めています。サイトごとに固有のランダムパスワードを暗記する必要はありません。この記事は特定の製品を勧めません。

パスワードか、パスフレーズか

マネージャーが値を保存するなら、ランダム生成のパスワードは便利です。自分で覚える必要があるなら、いくつかの語からなる長いパスフレーズの方が実務的なことがあります。有名な引用、歌詞、ありふれた文、個人の詳細は避けてください。これは短い注記であり、パスフレーズの完全な手引きではありません。

大文字、数字、記号は必須か

NISTは、検証側が文字種の混合を求めてはならない（SHALL NOT）としています。大文字・数字・記号を一つずつ強制するサイトは、その方向とずれています。ランダム生成が広い集合を使うのは問題ありません。記号がパスワードを弱くすることはありません。

90日ごとにパスワードを変えるべきか

NISTは、侵害の証拠がなければ、根拠のない定期変更を検証側が求めてはならない（SHALL NOT）としています。漏れた、アカウントが侵害された、サービスから指示された、というときに変えてください。それは「パスワードを決して変えるな」ではありません。

MFAがあれば長さは重要でなくなるか

いいえ。MFAは守りを足します。パスワードの扱いを任意にはしません。パスワードをMFAの一部としてだけ使う場合、NISTは下限8文字を認め得ます。それは8文字パスワードを一般に勧めるものではありません。

長さでは止められないこと

とても長いパスワードでも、すべての攻撃は止められません。長さだけではフィッシング、マルウェアやキーロギング、ソーシャルエンジニアリング、侵害された端末は止められません。MFA、ソフトウェア更新、フィッシングへの注意はなお重要です。この記事はパスワードの長さに留めます。

長さは助けになるが、長さだけでは足りない

強いパスワードは長く、ランダムで、使い回しません。できるときはパスワードマネージャーを使い、使えるときはMFAを有効にしてください。

パスワードの長さを決める簡単な案内

新しいアカウント用のパスワードが必要ですか。パスワードマネージャーに保存できるなら、固有のランダムパスワードを作ってください。16文字以上が実務的な出発点で、対応していればより長くします。自分で覚える必要があるなら、長く固有のパスフレーズを使い、ありふれた句は避けます。そのうえで、使えるときはMFAを有効にします。

新しいアカウント用のパスワードが必要ですか
↓
パスワードマネージャーに保存できますか
はい → 固有のランダムパスワード、16以上（許されればより長く）
いいえ → 長く固有のパスフレーズ。ありふれた句は避ける
↓
使えるときはMFAを有効にする

長さは助けになります。その長さが役立つかを決めるのは、なおランダムさと使い回さないことです。

ブラウザで長くランダムなパスワードを作る

NEXNARA パスワードジェネレータはパスワード、パスフレーズ、PINを作れます。この記事はアカウント用パスワードの話です。PINはより短く別種の秘密であり、同じ推奨ではありません。

パスワードモード：長さは4–128、既定は16。文字クラスの選択、紛らわしい文字の除外、任意文字の除外ができます。1、5、10、20個を生成し、コピーするかTXTファイルをダウンロードします。

パスフレーズモードはEFFの大きな英語単語リスト（7776語）を使います。3–8語、既定は5語で、区切り、大文字化、任意の数字を選べます。

生成はブラウザの暗号学的に安全な乱数生成器（crypto.getRandomValues）を使い、32ビットの棄却サンプリングと安全なシャッフルを行います。Math.randomは使いません。表示されるエントロピーは文字集合と長さ（または単語リストの大きさと語数）からの見積もりであり、人が作ったパスワードの測定でも、推測されない約束でもありません。

生成そのものはブラウザ内で行われます。このツールでは値をNEXNARAのサーバーへ送りません。広告やサイトのほかの機能はネットワークを使います。

出発点として16文字のランダムパスワードが必要ですか。パスワードジェネレータを開き、保存して使い回さない値を生成してください。

FAQ