Technische hulp
Hoe lang moet een wachtwoord zijn in 2026?
NIST eist nu 15 tekens voor een single-factor wachtwoord. CISA beveelt 16+ aan, willekeurig en uniek. Zie welke lengte je in 2026 gebruikt.
Voor een wachtwoord dat je vandaag maakt, tellen lengte, willekeur en uniciteit. NIST SP 800-63-4 eist dat een single-factor wachtwoord minstens 15 tekens heeft. Alleen als deel van MFA mag het korter zijn, met een NIST-minimum van 8.
Het consumentenadvies van CISA beveelt wachtwoorden van minstens 16 tekens aan, willekeurig en uniek. Voor praktisch persoonlijk gebruik is een willekeurig gegenereerd wachtwoord van 16 tekens of meer een sterk startpunt als de dienst dat toestaat.
Langer kan helpen, maar lengte alleen maakt een voorspelbaar of hergebruikt wachtwoord niet veilig. 15 of 16 tekens is geen beveiligingsgarantie.
Dit artikel beantwoordt hoe lang een wachtwoord in 2026 moet zijn. Het gebruikt de huidige verifier-regels van NIST SP 800-63-4 / SP 800-63B en het publieke advies van CISA. Het is geen volledige cybersecuritygids.
Hoe lang moet mijn wachtwoord dus zijn?
Als een password manager het kan opslaan, genereer een uniek willekeurig wachtwoord van 16+ tekens. Gebruik een langere willekeurige string als de dienst dat toestaat. Moet je het onthouden, dan is een lange passphrase vaak praktischer dan een korte string met gedwongen vervangingen. 16 is niet onbreekbaar, en 15 is geen garantie.
Wat eist NIST in 2026?
NIST SP 800-63-4 zegt verifiers wat ze moeten eisen — geen persoonlijke slogan. Een single-factor wachtwoord moet minstens 15 tekens hebben. Wordt het alleen als deel van MFA gebruikt, dan mag het korter zijn, maar het minimum blijft 8. Verifiers SHOULD minstens 64 tekens accepteren. Ze SHALL NOT een gedwongen mix van tekentypen eisen, en SHALL NOT periodieke wijzigingen afdwingen zonder aanwijzing van compromittering. Veelvoorkomende of gelekte wachtwoorden moeten worden geblokkeerd.
Wat beveelt CISA aan?
De Secure Our World-gids van CISA is eenvoudiger voor mensen: maak wachtwoorden lang (minstens 16 tekens), willekeurig en uniek, en gebruik een password manager. Dat spreekt NIST niet tegen. Het getal 15 van NIST is een single-factor-eis voor verifiers. Het 16+ van CISA is een praktische publieke aanbeveling.
8 vs 12 vs 16 tekens: doet lengte er echt toe?
Lengte doet ertoe, gepubliceerde «kraaktijden» niet. Die tijden veranderen met hardware, de hash, willekeur, het aanvalsmodel en hoe het wachtwoord wordt opgeslagen.
| Lengte | Praktische kijk |
|---|---|
| 8 | Te kort als algemene aanbeveling voor een nieuw single-factor wachtwoord. NIST staat 8 alleen toe als minimum wanneer het wachtwoord uitsluitend als deel van MFA wordt gebruikt. |
| 12 | Beter dan korte legacy-wachtwoorden, maar onder het huidige NIST-single-factor-minimum van 15. |
| 15 | Huidig NIST-single-factor-minimum voor verifiers. |
| 16+ | Sluit aan bij de eenvoudige publieke aanbeveling van CISA en is een verstandig startpunt voor gegenereerde wachtwoorden. |
Is lengte belangrijker dan complexiteit?
Huidige richtlijnen geven de voorkeur aan genoeg lengte en een goede keuze boven voorspelbare samenstellingsregels. Een patroon zoals een gewoon woord plus «1!» kan raadbaar blijven, ook met gemengde typen. Speciale tekens zijn niet nutteloos: in een willekeurig gegenereerd wachtwoord kan een grotere tekenset combinaties toevoegen. De kern is willekeur, lengte en uniciteit.
Een lang wachtwoord kan nog steeds zwak zijn
Een lange waarde kan nog steeds zwak zijn als die voorspelbaar is, een bekende zin, hergebruikt of gebaseerd op persoonlijke informatie. Dezelfde teken vele keren herhalen is lang, niet sterk. Hergebruik geen zin die iedereen al kent.
Waarom elk account een ander wachtwoord moet hebben
Als één dienst een wachtwoord lekt en je het hebt hergebruikt, lopen andere accounts die het delen risico. Elk account heeft een eigen wachtwoord nodig. Gelekte paren op andere sites proberen (credential stuffing) is gebruikelijk. Unieke wachtwoorden beperken die schade.
Moet je een password manager gebruiken?
NIST vraagt verifiers om password managers en automatisch invullen toe te staan. CISA beveelt ook een manager aan. Je hoeft niet voor elke site een uniek willekeurig wachtwoord te onthouden. Dit artikel beveelt geen specifiek product aan.
Password of passphrase?
Als een manager de waarde opslaat, is een willekeurig gegenereerd wachtwoord handig. Moet je het onthouden, dan kan een lange passphrase van meerdere woorden praktischer zijn. Vermijd beroemde citaten, songteksten, gewone zinnen en persoonlijke details. Dit is een korte noot, geen volledige passphrase-gids.
Hebben wachtwoorden hoofdletters, cijfers en symbolen nodig?
NIST zegt dat verifiers SHALL NOT een mix van tekentypen mogen eisen. Een site die één hoofdletter, één cijfer en één symbool afdwingt, volgt die richting niet. Een willekeurige generator mag nog steeds een brede set gebruiken, en dat is prima. Symbolen maken wachtwoorden niet zwakker.
Moet je wachtwoorden elke 90 dagen wijzigen?
NIST zegt dat verifiers SHALL NOT willekeurige periodieke wijzigingen mogen eisen tenzij er aanwijzing van compromittering is. Wijzig het wachtwoord als het is gelekt, het account is gecompromitteerd of de dienst het vraagt. Dat is niet «nooit wachtwoorden wijzigen».
Maakt MFA wachtwoordlengte onbelangrijk?
Nee. MFA voegt bescherming toe. Het maakt wachtwoordhygiëne niet optioneel. NIST mag een minimum van 8 tekens toestaan wanneer het wachtwoord alleen als deel van MFA wordt gebruikt. Dat is geen algemene aanbeveling om wachtwoorden van 8 tekens te gebruiken.
Wat lengte niet kan stoppen
Een heel lang wachtwoord stopt niet elke aanval. Lengte alleen stopt geen phishing, malware of keylogging, social engineering of een gecompromitteerd apparaat. MFA, software-updates en phishingbewustzijn blijven belangrijk. Dit artikel blijft bij wachtwoordlengte.
Een sterk wachtwoord is lang, willekeurig en uniek. Gebruik een password manager wanneer je kunt, en schakel MFA in wanneer het beschikbaar is.
Een eenvoudige beslissingsgids voor wachtwoordlengte
Nieuw accountwachtwoord nodig? Als een password manager het kan opslaan, genereer een uniek willekeurig wachtwoord — 16+ tekens is een praktisch begin, langer als dat wordt ondersteund. Moet je het onthouden, gebruik dan een lange unieke passphrase en vermijd gewone zinnen. Schakel daarna MFA in wanneer beschikbaar.
- Nieuw accountwachtwoord nodig?
- Kan een password manager het opslaan?
- Ja → uniek willekeurig wachtwoord, 16+ (langer indien toegestaan)
- Nee → lange unieke passphrase; vermijd gewone zinnen
- Schakel MFA in wanneer beschikbaar
Genereer een lang, willekeurig wachtwoord in je browser
NEXNARA Wachtwoordgenerator kan een wachtwoord, een passphrase of een PIN maken. Dit artikel gaat over accountwachtwoorden, niet over apparaat-PINs. Een PIN is een ander, korter geheim en is niet dezelfde aanbeveling.
Wachtwoordmodus: lengte 4–128, standaard 16. Kies tekenklassen, sluit dubbelzinnige tekens uit of sluit eigen tekens uit. Genereer 1, 5, 10 of 20 waarden en kopieer of download een TXT-bestand.
De passphrase-modus gebruikt de grote Engelse woordenlijst van EFF (7776 woorden): 3–8 woorden, standaard 5, met scheidingsteken, hoofdletters en een optioneel cijfer.
Generatie gebruikt de cryptografisch veilige toevalsgenerator van de browser (crypto.getRandomValues), met 32-bits rejection sampling en een veilige shuffle. Math.random wordt niet gebruikt. De getoonde entropie is een schatting uit tekenset en lengte (of woordenlijstgrootte en aantal woorden), geen meting van menselijke wachtwoorden en geen belofte dat niets te raden valt.
De generatie zelf gebeurt in je browser. Waarden worden voor deze tool niet naar een NEXNARA-server gestuurd. Advertenties en andere sitefuncties gebruiken nog steeds het netwerk.
Een willekeurig wachtwoord van 16 tekens nodig om te beginnen? Open Wachtwoordgenerator en genereer er een die je opslaat, niet hergebruikt.
FAQ
Hoe lang moet een wachtwoord zijn in 2026?
NIST eist minstens 15 tekens voor een single-factor wachtwoord. CISA beveelt minstens 16 aan die willekeurig en uniek zijn. 16+ gegenereerde tekens is een sterk praktisch begin als de dienst dat toestaat. Dat is geen garantie.
Is een wachtwoord van 12 tekens lang genoeg?
Het is beter dan een kort legacy-wachtwoord, maar het ligt onder het huidige 15-tekens-single-factor-minimum van NIST. Kies 16+ als je kunt.
Is een wachtwoord van 16 tekens veilig?
16 willekeurige unieke tekens is een verstandig begin. Het is niet automatisch veilig. Voorspelbare of hergebruikte waarden van 16 tekens blijven zwak.
Zijn langere wachtwoorden altijd beter?
Langere willekeurige unieke wachtwoorden voegen meestal combinaties toe. Een langere voorspelbare of hergebruikte waarde is niet automatisch beter.
Heb ik cijfers en speciale tekens nodig in mijn wachtwoord?
NIST zegt diensten dat ze geen gedwongen mix mogen eisen. Een willekeurige generator mag ze toch opnemen. Symbolen zijn niet vereist om «sterk» te zijn, en ze zijn niet nutteloos.
Moet ik mijn wachtwoord elke 90 dagen wijzigen?
NIST zegt geen willekeurige periodieke wijzigingen te eisen zonder aanwijzing van compromittering. Wijzig het na een lek, een compromittering of een dienstwaarschuwing — niet volgens een lege 90-dagenkalender.