Tech Help
Hvor langt bør et passord være i 2026?
NIST krever nå 15 tegn for et passord som eneste faktor. CISA anbefaler 16 tegn eller mer som er tilfeldige og unike. Se hvilken lengde som passer i 2026.
Når du lager et passord i dag, teller lengde, tilfeldighet og unikhet alle. NIST SP 800-63-4 krever at et passord som eneste faktor er minst 15 tegn. Brukes det bare som del av MFA, kan det være kortere, med et NIST-minimum på 8.
CISA sin forbrukerveiledning anbefaler passord på minst 16 tegn, tilfeldige og unike. Et tilfeldig generert passord på 16+ tegn er et sterkt utgangspunkt når tjenesten tillater det.
Lengre kan hjelpe, men lengde alene gjør ikke et forutsigbart eller gjenbrukt passord trygt. 15 eller 16 tegn er ingen sikkerhetsgaranti.
Denne artikkelen svarer på hvor langt et passord bør være i 2026. Den bruker gjeldende verifier-regler i NIST SP 800-63-4 / SP 800-63B og CISA sine offentlige råd. Det er ikke en fullstendig cybersikkerhetsguide.
Så hvor langt bør passordet mitt være?
Hvis en passordbehandler kan lagre det, generer et unikt tilfeldig passord på 16+ tegn. Bruk en lengre tilfeldig streng når tjenesten tillater det. Må du huske det, er en lang passordfrase ofte mer praktisk enn en kort streng med påtvungne bytter. 16 er ingen garanti, og 15 er det heller ikke.
Hva krever NIST i 2026?
NIST SP 800-63-4 forteller verifiers hva de skal kreve—ikke et personlig slagord. Et passord som eneste faktor må være minst 15 tegn. Brukes det bare som del av MFA, kan det være kortere, men minimum er fortsatt 8. Verifiers SHOULD godta minst 64 tegn. De SHALL NOT kreve en påtvunget blanding av tegntyper, og SHALL NOT tvinge periodiske bytter uten holdepunkt for kompromittering. Vanlige eller lekket passord bør blokkeres.
Hva anbefaler CISA?
CISA sin veiledning Secure Our World er enklere: minst 16 tegn, tilfeldige og unike, pluss en passordbehandler. Det motsier ikke NIST. 15 er et verifier-krav for eneste faktor; 16+ er CISA sin offentlige anbefaling.
8 mot 12 mot 16 tegn: betyr lengden virkelig noe?
Lengde betyr noe, men publiserte tidsanslag for gjetting gjør det ikke. De tallene endrer seg med maskinvare, hash, tilfeldighet, angrepsmodell og hvordan passordet lagres.
| Lengde | Praktisk syn |
|---|---|
| 8 | For kort som generell anbefaling for et nytt passord som eneste faktor. NIST tillater 8 bare som minimum når passordet brukes kun som del av MFA. |
| 12 | Bedre enn korte eldre passord, men under NIST sitt nåværende minimum på 15 for eneste faktor. |
| 15 | Nåværende NIST-minimum for verifiers ved eneste faktor. |
| 16+ | Treffer CISA sin enkle offentlige anbefaling og er et fornuftig startpunkt for genererte passord. |
Er lengde viktigere enn kompleksitet?
Gjeldende veiledning foretrekker nok lengde og et godt valg framfor forutsigbare sammensetningsregler. Et mønster som et vanlig ord pluss «1!» kan fortsatt være til å gjette, selv med blandede typer. Spesialtegn er ikke nytteløse: i et tilfeldig generert passord kan et større tegnsett gi flere kombinasjoner. Kjernen er tilfeldighet, lengde og unikhet.
Et langt passord kan likevel være svakt
En lang verdi kan fortsatt være svak hvis den er forutsigbar, en vanlig frase, gjenbrukt eller basert på personopplysninger. Å gjenta det samme tegnet mange ganger er langt, ikke sterkt. Ikke gjenbruk en frase alle allerede kjenner.
Hvorfor hver konto bør ha et annet passord
Hvis en tjeneste lekker et passord du har gjenbrukt, er andre kontoer som deler det i fare. Hver konto trenger sitt eget. Å prøve lekket par på andre steder er vanlig. Unike passord begrenser den skaden.
Bør du bruke en passordbehandler?
NIST ber verifiers om å tillate passordbehandlere og autofyll. CISA anbefaler også en behandler. Du trenger ikke å huske et unikt tilfeldig passord for hvert sted. Denne artikkelen anbefaler ikke et bestemt produkt.
Passord eller passordfrase?
Hvis en behandler lagrer verdien, er et tilfeldig generert passord praktisk. Må du huske det, kan en lang passordfrase av flere ord være mer praktisk. Unngå kjente sitater, sangtekster, vanlige setninger og personopplysninger. Dette er et kort notat, ikke en full guide til passordfraser.
Trenger passord store bokstaver, tall og symboler?
NIST sier at verifiers SHALL NOT kreve en blanding av tegntyper. Et sted som tvinger én stor bokstav, ett tall og ett symbol, følger ikke den retningen. En tilfeldig generator kan likevel bruke et bredt sett, og det er greit. Symboler gjør ikke passord svakere.
Bør du bytte passord hver 90. dag?
NIST sier at verifiers SHALL NOT kreve vilkårlige periodiske bytter med mindre det finnes holdepunkt for kompromittering. Bytt passordet hvis det har lekket, kontoen er kompromittert, eller tjenesten ber deg. Det er ikke «bytt aldri passord».
Gjør MFA at passordlengde slutter å bety noe?
Nei. MFA gir ekstra vern. Det gjør ikke passordhygiene valgfri. NIST kan tillate et minimum på 8 tegn når passordet brukes bare som del av MFA. Det er ikke en generell anbefaling om å bruke passord på 8 tegn.
Hva lengde ikke kan stanse
Et svært langt passord stanser ikke alle angrep. Lengde alene stanser ikke nettfisking, skadevare eller tastetrykklogging, sosial manipulering eller en kompromittert enhet. MFA, programvareoppdateringer og bevissthet om nettfisking betyr fortsatt noe. Denne artikkelen holder seg til passordlengde.
Et sterkt passord er langt, tilfeldig og unikt. Bruk en passordbehandler når du kan, og slå på MFA når det finnes.
En enkel beslutningsguide for passordlengde
Trenger du et nytt kontopassord? Hvis en passordbehandler kan lagre det, generer et unikt tilfeldig passord—16+ tegn er en praktisk start, lengre hvis det støttes. Må du huske det, bruk en lang unik passordfrase og unngå vanlige fraser. Slå deretter på MFA når det finnes.
- Trenger du et nytt kontopassord?
- Kan en passordbehandler lagre det?
- Ja → unikt tilfeldig passord, 16+ (lengre hvis tillatt)
- Nei → lang unik passordfrase; unngå vanlige fraser
- Slå på MFA når det finnes
Generer et langt, tilfeldig passord i nettleseren
NEXNARA Passordgenerator kan lage et passord, en passordfrase eller en PIN. Denne artikkelen handler om kontopassord. En PIN er en kortere, annen hemmelighet—ikke den samme anbefalingen.
Passordmodus: lengde 4–128, standard 16. Velg tegnklasser, utelat tvetydige tegn, eller utelat egne tegn. Generer 1, 5, 10 eller 20 verdier, og kopier eller last ned en TXT-fil.
Passordfrasemodus bruker EFF sin store engelske ordliste (7776 ord): 3–8 ord, standard 5, med skilletegn, store bokstaver og valgfritt tall.
Genereringen bruker nettleserens kryptografisk sikre tilfeldighetsgenerator (crypto.getRandomValues), med 32-biters rejection sampling og en sikker blanding. Math.random brukes ikke. Den viste entropien er et anslag fra tegnsett og lengde (eller ordlistens størrelse og antall ord), ikke en måling av menneskelige passord eller et løfte mot gjetting.
Selve genereringen skjer i nettleseren din. Verdier sendes ikke til en NEXNARA-server for dette verktøyet. Annonser og andre funksjoner på nettstedet bruker fortsatt nettverket.
Trenger du et tilfeldig passord på 16 tegn å starte med? Åpne Passordgenerator og generer ett som du lagrer, ikke gjenbruker.
FAQ
Hvor langt bør et passord være i 2026?
NIST krever minst 15 tegn for et passord som eneste faktor. CISA anbefaler minst 16 som er tilfeldige og unike. 16+ genererte tegn er et sterkt praktisk utgangspunkt når tjenesten tillater det. Det er ingen garanti.
Er et passord på 12 tegn langt nok?
Det er bedre enn et kort eldre passord, men det ligger under NIST sitt nåværende minimum på 15 tegn for eneste faktor. Foretrekk 16+ når du kan.
Er et passord på 16 tegn trygt?
16 tilfeldige unike tegn er et fornuftig utgangspunkt. Det er ikke automatisk trygt. Forutsigbare eller gjenbrukte verdier på 16 tegn forblir svake.
Er lengre passord alltid bedre?
Lengre tilfeldige unike passord gir vanligvis flere kombinasjoner. En lengre forutsigbar eller gjenbrukt verdi er ikke automatisk bedre.
Trenger jeg tall og spesialtegn i passordet?
NIST sier til tjenester at de ikke skal kreve en påtvunget blanding. En tilfeldig generator kan likevel ta dem med. Symboler er ikke påkrevd for å være «sterkt», og de er ikke nytteløse.
Bør jeg bytte passord hver 90. dag?
NIST sier at man ikke skal kreve vilkårlige periodiske bytter uten holdepunkt for kompromittering. Bytt etter et lekkasje, en kompromittering eller et varsel fra tjenesten—ikke etter en tom 90-dagerskalender.