Tech Help
Berapa panjang kata laluan yang sesuai pada 2026?
NIST kini mensyaratkan 15 aksara untuk kata laluan faktor tunggal. CISA mengesyorkan 16 atau lebih yang rawak dan unik. Lihat panjang yang patut digunakan pada 2026.
Bagi kata laluan yang anda cipta hari ini, panjang, kerawakan dan keunikan semuanya penting. NIST SP 800-63-4 mensyaratkan kata laluan faktor tunggal sekurang-kurangnya 15 aksara. Jika digunakan hanya sebagai sebahagian daripada MFA, ia boleh lebih pendek, dengan minimum NIST 8.
Panduan pengguna CISA mengesyorkan kata laluan sekurang-kurangnya 16 aksara, rawak dan unik. Kata laluan rawak 16 aksara atau lebih ialah titik mula yang kukuh apabila perkhidmatan membenarkannya.
Lebih panjang boleh membantu, tetapi panjang sahaja tidak menjadikan kata laluan yang mudah diramal atau diguna semula selamat. 15 atau 16 aksara bukan jaminan keselamatan.
Rencana ini menjawab berapa panjang kata laluan yang sesuai pada 2026. Ia menggunakan peraturan penentusah semasa NIST SP 800-63-4 / SP 800-63B dan nasihat awam CISA. Ini bukan panduan siber yang lengkap.
Jadi, berapa panjang kata laluan saya sepatutnya?
Jika pengurus kata laluan dapat menyimpannya, jana kata laluan rawak yang unik sepanjang 16 aksara atau lebih. Guna rentetan rawak yang lebih panjang apabila perkhidmatan membenarkan. Jika anda mesti menghafalnya, frasa laluan yang panjang sering lebih praktikal daripada rentetan pendek dengan penggantian paksa. 16 bukan tidak boleh ditembusi, dan 15 bukan jaminan.
Apa yang disyaratkan NIST pada 2026?
NIST SP 800-63-4 memberitahu penentusah apa yang perlu disyaratkan—bukan slogan peribadi. Kata laluan faktor tunggal mesti sekurang-kurangnya 15 aksara. Jika digunakan hanya sebagai sebahagian daripada MFA, ia boleh lebih pendek, tetapi minimum kekal 8. Penentusah SHOULD menerima sekurang-kurangnya 64 aksara. Mereka SHALL NOT mewajibkan campuran paksa jenis aksara, dan SHALL NOT memaksa perubahan berkala tanpa bukti kompromi. Kata laluan yang lazim atau sudah bocor patut disekat.
Apa yang disyorkan CISA?
Panduan Secure Our World CISA lebih ringkas: sekurang-kurangnya 16 aksara, rawak dan unik, serta pengurus kata laluan. Itu tidak bercanggah dengan NIST. 15 ialah keperluan penentusah faktor tunggal; 16+ ialah syor awam CISA.
8 vs 12 vs 16 aksara: adakah panjang benar-benar penting?
Panjang itu penting, tetapi “masa retak” yang diterbitkan tidak. Masa itu berubah dengan perkakasan, cincang, kerawakan, model serangan dan cara kata laluan disimpan.
| Panjang | Pandangan praktikal |
|---|---|
| 8 | Terlalu pendek sebagai syor umum untuk kata laluan faktor tunggal baharu. NIST membenarkan 8 hanya sebagai minimum apabila kata laluan digunakan hanya sebagai sebahagian daripada MFA. |
| 12 | Lebih baik daripada kata laluan lama yang pendek, tetapi di bawah minimum faktor tunggal NIST semasa iaitu 15. |
| 15 | Minimum faktor tunggal NIST semasa untuk penentusah. |
| 16+ | Selari dengan syor awam CISA yang ringkas dan merupakan titik mula yang munasabah untuk kata laluan yang dijana. |
Adakah panjang lebih penting daripada kerumitan?
Panduan semasa mengutamakan panjang yang mencukupi dan pemilihan yang baik berbanding peraturan komposisi yang mudah diramal. Corak seperti perkataan lazim ditambah “1!” masih boleh diteka walaupun jenisnya dicampur. Aksara khas bukan sia-sia: dalam kata laluan rawak, set aksara yang lebih luas boleh menambah kombinasi. Terasnya ialah kerawakan, panjang dan keunikan.
Kata laluan panjang masih boleh lemah
Nilai yang panjang masih lemah jika mudah diramal, frasa lazim, diguna semula, atau berasaskan maklumat peribadi. Mengulang aksara yang sama berkali-kali itu panjang, bukan kuat. Jangan guna semula frasa yang semua orang sudah tahu.
Mengapa setiap akaun patut ada kata laluan berbeza
Jika satu perkhidmatan membocorkan kata laluan dan anda menggunakannya semula, akaun lain yang berkongsi nilai itu turut berisiko. Setiap akaun memerlukan kata laluan sendiri. Mencuba pasangan yang bocor di laman lain (credential stuffing) adalah lazim. Kata laluan unik mengehadkan kerosakan itu.
Patutkah anda menggunakan pengurus kata laluan?
NIST meminta penentusah membenarkan pengurus kata laluan dan isi automatik. CISA juga mengesyorkan pengurus. Anda tidak perlu menghafal kata laluan rawak yang unik untuk setiap laman. Rencana ini tidak mengesyorkan produk tertentu.
Kata laluan atau frasa laluan?
Jika pengurus menyimpan nilai itu, kata laluan rawak yang dijana adalah mudah. Jika anda mesti mengingatinya, frasa laluan panjang daripada beberapa perkataan boleh lebih praktikal. Elakkan petikan terkenal, lirik lagu, ayat lazim dan butiran peribadi. Ini nota ringkas, bukan panduan frasa laluan yang lengkap.
Adakah kata laluan perlu huruf besar, nombor dan simbol?
NIST menyatakan penentusah SHALL NOT mewajibkan campuran jenis aksara. Laman yang memaksa satu huruf besar, satu nombor dan satu simbol tidak selari dengan arah itu. Penjana rawak masih boleh menggunakan set yang luas, dan itu tidak mengapa. Simbol tidak melemahkan kata laluan.
Patutkah anda menukar kata laluan setiap 90 hari?
NIST menyatakan penentusah SHALL NOT mewajibkan perubahan berkala sewenang-wenangnya kecuali ada bukti kompromi. Tukar kata laluan jika ia bocor, akaun dikompromi, atau perkhidmatan menyuruh anda menukar. Itu bukan “jangan sekali-kali tukar kata laluan.”
Adakah MFA menjadikan panjang kata laluan tidak penting?
Tidak. MFA menambah perlindungan. MFA tidak menjadikan kebersihan kata laluan sebagai pilihan. NIST boleh membenarkan minimum 8 aksara apabila kata laluan digunakan hanya sebagai sebahagian daripada MFA. Itu bukan syor umum untuk menggunakan kata laluan 8 aksara.
Apa yang panjang tidak dapat hentikan
Kata laluan yang sangat panjang tidak menghentikan setiap serangan. Panjang sahaja tidak menghentikan pancingan data, perisian hasad atau rakaman papan kekunci, kejuruteraan sosial, atau peranti yang sudah dikompromi. MFA, kemas kini perisian dan kesedaran pancingan data masih penting. Rencana ini kekal pada panjang kata laluan.
Kata laluan yang kuat itu panjang, rawak dan unik. Guna pengurus kata laluan apabila boleh, dan dayakan MFA apabila tersedia.
Panduan keputusan panjang kata laluan yang ringkas
Perlukan kata laluan akaun baharu? Jika pengurus kata laluan dapat menyimpannya, jana kata laluan rawak yang unik—16 aksara atau lebih ialah permulaan praktikal, lebih panjang jika disokong. Jika anda mesti menghafalnya, guna frasa laluan yang panjang dan unik serta elakkan frasa lazim. Kemudian dayakan MFA apabila tersedia.
- Perlukan kata laluan akaun baharu?
- Bolehkah pengurus kata laluan menyimpannya?
- Ya → kata laluan rawak unik, 16+ (lebih panjang jika dibenarkan)
- Tidak → frasa laluan panjang dan unik; elakkan frasa lazim
- Dayakan MFA apabila tersedia
Jana kata laluan panjang dan rawak dalam pelayar anda
NEXNARA Penjana Kata Laluan boleh mencipta kata laluan, frasa laluan atau PIN. Rencana ini mengenai kata laluan akaun. PIN ialah rahsia yang lebih pendek dan berbeza—bukan syor yang sama.
Mod kata laluan: panjang 4–128, lalai 16. Pilih kelas aksara, kecualikan aksara yang mengelirukan, atau kecualikan aksara tersuai. Jana 1, 5, 10 atau 20 nilai, kemudian salin atau muat turun fail TXT.
Mod frasa laluan menggunakan senarai perkataan Inggeris besar EFF (7776 perkataan): 3–8 perkataan, lalai 5, dengan pemisah, huruf besar dan pilihan nombor pilihan.
Penjanaan menggunakan penjana nombor rawak selamat secara kriptografi pelayar (crypto.getRandomValues), dengan pensampelan penolakan 32-bit dan campuran selamat. Math.random tidak digunakan. Entropi yang dipaparkan ialah anggaran daripada set aksara dan panjang (atau saiz senarai perkataan dan bilangan perkataan), bukan pengukuran kata laluan manusia atau janji anti-tekaan.
Penjanaan itu sendiri berlaku dalam pelayar anda. Nilai tidak dihantar ke pelayan NEXNARA untuk alat ini. Iklan dan ciri laman lain masih menggunakan rangkaian.
Perlukan kata laluan rawak 16 aksara sebagai titik mula? Buka Penjana Kata Laluan dan jana satu yang akan anda simpan, bukan guna semula.
FAQ
Berapa panjang kata laluan yang sesuai pada 2026?
NIST mensyaratkan sekurang-kurangnya 15 aksara untuk kata laluan faktor tunggal. CISA mengesyorkan sekurang-kurangnya 16 yang rawak dan unik. 16+ aksara yang dijana ialah permulaan praktikal yang kukuh apabila perkhidmatan membenarkan. Itu bukan jaminan.
Adakah kata laluan 12 aksara cukup panjang?
Lebih baik daripada kata laluan lama yang pendek, tetapi di bawah minimum faktor tunggal NIST semasa iaitu 15 aksara. Utamakan 16+ apabila boleh.
Adakah kata laluan 16 aksara selamat?
16 aksara rawak dan unik ialah permulaan yang munasabah. Ia tidak automatik selamat. Nilai 16 aksara yang mudah diramal atau diguna semula kekal lemah.
Adakah kata laluan yang lebih panjang sentiasa lebih baik?
Kata laluan yang lebih panjang, rawak dan unik biasanya menambah kombinasi. Nilai yang lebih panjang tetapi mudah diramal atau diguna semula tidak automatik lebih baik.
Perlukah nombor dan aksara khas dalam kata laluan saya?
NIST memberitahu perkhidmatan supaya tidak mewajibkan campuran paksa. Penjana rawak masih boleh memasukkannya. Simbol tidak wajib untuk menjadi “kuat,” dan tidak sia-sia.
Patutkah saya menukar kata laluan setiap 90 hari?
NIST menyatakan jangan mewajibkan perubahan berkala sewenang-wenangnya tanpa bukti kompromi. Tukar selepas bocor, kompromi atau amaran perkhidmatan—bukan menurut kalendar 90 hari yang kosong.