Tech Help
Hur långt bör ett lösenord vara 2026?
NIST kräver nu 15 tecken för ett lösenord som enda faktor. CISA rekommenderar 16+ som är slumpmässiga och unika. Se vilken längd som gäller 2026.
För ett lösenord du skapar i dag spelar längd, slumpmässighet och unikhet alla roll. NIST SP 800-63-4 kräver att ett lösenord som enda faktor är minst 15 tecken. Används det bara som en del av MFA får det vara kortare, med ett NIST-minimum på 8.
CISA:s vägledning för konsumenter rekommenderar lösenord som är minst 16 tecken, slumpmässiga och unika. Ett slumpmässigt genererat lösenord på 16+ tecken är en stark start när tjänsten tillåter det.
Längre kan hjälpa, men längd ensam gör inte ett förutsägbart eller återanvänt lösenord säkert. 15 eller 16 tecken är ingen säkerhetsgaranti.
Den här artikeln svarar på hur långt ett lösenord bör vara 2026. Den utgår från aktuella verifieringsregler i NIST SP 800-63-4 / SP 800-63B och CISA:s offentliga råd. Det är inte en komplett cybersäkerhetsguide.
Så hur långt bör mitt lösenord vara?
Om en lösenordshanterare kan spara det, generera ett unikt slumpmässigt lösenord på 16+ tecken. Använd en längre slumpmässig sträng när tjänsten tillåter det. Måste du memorera det är en lång lösenfras ofta mer praktisk än en kort sträng med påtvingade utbyten. 16 är ingen garanti, och 15 är det inte heller.
Vad kräver NIST 2026?
NIST SP 800-63-4 talar om för verifierare vad de ska kräva—inte ett personligt slogan. Ett lösenord som enda faktor måste vara minst 15 tecken. Används det bara som en del av MFA får det vara kortare, men minimum är fortfarande 8. Verifierare SHOULD acceptera minst 64 tecken. De SHALL NOT kräva en påtvingad blandning av teckentyper och SHALL NOT tvinga fram periodiska byten utan belägg för kompromettering. Vanliga eller läckta lösenord bör blockeras.
Vad rekommenderar CISA?
CISA:s vägledning Secure Our World är enklare: minst 16 tecken, slumpmässiga och unika, plus en lösenordshanterare. Det motsäger inte NIST. 15 är ett verifieringskrav för enda faktor; 16+ är CISA:s offentliga rekommendation.
8 mot 12 mot 16 tecken: spelar längden verkligen roll?
Längd spelar roll, men publicerade tidsangivelser för att gissa gör det inte. De siffrorna ändras med hårdvara, hash, slumpmässighet, attackmodell och hur lösenordet lagras.
| Längd | Praktisk syn |
|---|---|
| 8 | För kort som allmän rekommendation för ett nytt lösenord som enda faktor. NIST tillåter 8 bara som minimum när lösenordet används enbart som en del av MFA. |
| 12 | Bättre än korta äldre lösenord, men under NIST:s nuvarande minimum på 15 för enda faktor. |
| 15 | Nuvarande NIST-minimum för verifierare vid enda faktor. |
| 16+ | Stämmer med CISA:s enkla offentliga rekommendation och är en rimlig startpunkt för genererade lösenord. |
Är längd viktigare än komplexitet?
Aktuell vägledning föredrar tillräcklig längd och ett bra val framför förutsägbara sammansättningsregler. Ett mönster som ett vanligt ord plus «1!» kan fortfarande vara gissningsbart även med blandade typer. Specialtecken är inte meningslösa: i ett slumpmässigt genererat lösenord kan en större teckenuppsättning ge fler kombinationer. Kärnan är slumpmässighet, längd och unikhet.
Ett långt lösenord kan ändå vara svagt
Ett långt värde kan fortfarande vara svagt om det är förutsägbart, en vanlig fras, återanvänt eller baserat på personuppgifter. Att upprepa samma tecken många gånger är långt, inte starkt. Återanvänd inte en fras som alla redan känner till.
Varför varje konto bör ha ett annat lösenord
Om en tjänst läcker ett lösenord som du återanvänt är andra konton som delar det i fara. Varje konto behöver sitt eget lösenord. Att prova läckta par på andra sajter är vanligt. Unika lösenord begränsar den skadan.
Bör du använda en lösenordshanterare?
NIST ber verifierare att tillåta lösenordshanterare och autoufyllning. CISA rekommenderar också en hanterare. Du behöver inte memorera ett unikt slumpmässigt lösenord för varje sajt. Den här artikeln rekommenderar ingen specifik produkt.
Lösenord eller lösenfras?
Om en hanterare lagrar värdet är ett slumpmässigt genererat lösenord bekvämt. Måste du komma ihåg det kan en lång lösenfras av flera ord vara mer praktisk. Undvik kända citat, sångtexter, vanliga meningar och personliga uppgifter. Detta är en kort notis, inte en fullständig guide till lösenfraser.
Behöver lösenord versaler, siffror och symboler?
NIST säger att verifierare SHALL NOT kräva en blandning av teckentyper. En sajt som tvingar fram en versal, en siffra och en symbol följer inte den riktningen. En slumpgenerator kan ändå använda en bred uppsättning, och det är i sin ordning. Symboler gör inte lösenord svagare.
Bör du byta lösenord var 90:e dag?
NIST säger att verifierare SHALL NOT kräva godtyckliga periodiska byten om det inte finns belägg för kompromettering. Byt lösenordet om det läckt, kontot komprometterats eller tjänsten ber dig. Det är inte «byt aldrig lösenord».
Gör MFA att lösenordslängd slutar spela roll?
Nej. MFA ger extra skydd. Det gör inte lösenordshygien valfri. NIST kan tillåta ett minimum på 8 tecken när lösenordet används enbart som en del av MFA. Det är inte en allmän rekommendation att använda lösenord på 8 tecken.
Vad längd inte kan stoppa
Ett mycket långt lösenord stoppar inte varje attack. Längd ensam stoppar inte nätfiske, skadlig kod eller tangentloggning, social manipulation eller en komprometterad enhet. MFA, programuppdateringar och medvetenhet om nätfiske spelar fortfarande roll. Den här artikeln stannar vid lösenordslängd.
Ett starkt lösenord är långt, slumpmässigt och unikt. Använd en lösenordshanterare när du kan, och aktivera MFA när det finns.
En enkel beslutsguide för lösenordslängd
Behöver du ett nytt kontolösenord? Om en lösenordshanterare kan spara det, generera ett unikt slumpmässigt lösenord—16+ tecken är en praktisk start, längre om det stöds. Måste du memorera det, använd en lång unik lösenfras och undvik vanliga fraser. Aktivera sedan MFA när det finns.
- Behöver du ett nytt kontolösenord?
- Kan en lösenordshanterare spara det?
- Ja → unikt slumpmässigt lösenord, 16+ (längre om det tillåts)
- Nej → lång unik lösenfras; undvik vanliga fraser
- Aktivera MFA när det finns
Generera ett långt, slumpmässigt lösenord i webbläsaren
NEXNARA Lösenordsgenerator kan skapa ett lösenord, en lösenfras eller en PIN. Den här artikeln handlar om kontolösenord. En PIN är en kortare, annan hemlighet—inte samma rekommendation.
Lösenordsläge: längd 4–128, standard 16. Välj teckenklasser, uteslut tvetydiga tecken eller uteslut egna tecken. Generera 1, 5, 10 eller 20 värden, kopiera sedan eller hämta en TXT-fil.
Lösenfrasläget använder EFF:s stora engelska ordlista (7776 ord): 3–8 ord, standard 5, med avgränsare, versaler och valfritt nummer.
Genereringen använder webbläsarens kryptografiskt säkra slumptalsgenerator (crypto.getRandomValues), med 32-bitars rejection sampling och en säker blandning. Math.random används inte. Den visade entropin är en uppskattning från teckenuppsättning och längd (eller ordlistans storlek och antal ord), inte en mätning av mänskliga lösenord eller ett löfte mot gissning.
Själva genereringen sker i din webbläsare. Värden skickas inte till en NEXNARA-server för det här verktyget. Annonser och andra sajtfunktioner använder fortfarande nätverket.
Behöver du ett slumpmässigt lösenord på 16 tecken att utgå från? Öppna Lösenordsgenerator och generera ett som du lagrar, inte återanvänder.
FAQ
Hur långt bör ett lösenord vara 2026?
NIST kräver minst 15 tecken för ett lösenord som enda faktor. CISA rekommenderar minst 16 som är slumpmässiga och unika. 16+ genererade tecken är en stark praktisk start när tjänsten tillåter det. Det är ingen garanti.
Räcker ett lösenord på 12 tecken?
Det är bättre än ett kort äldre lösenord, men det ligger under NIST:s nuvarande minimum på 15 tecken för enda faktor. Föredra 16+ när du kan.
Är ett lösenord på 16 tecken säkert?
16 slumpmässiga unika tecken är en rimlig start. Det är inte automatiskt säkert. Förutsägbara eller återanvända värden på 16 tecken förblir svaga.
Är längre lösenord alltid bättre?
Längre slumpmässiga unika lösenord ger oftast fler kombinationer. Ett längre förutsägbart eller återanvänt värde är inte automatiskt bättre.
Behöver jag siffror och specialtecken i lösenordet?
NIST säger till tjänster att inte kräva en påtvingad blandning. En slumpgenerator kan ändå ta med dem. Symboler krävs inte för att det ska vara «starkt», och de är inte meningslösa.
Bör jag byta lösenord var 90:e dag?
NIST säger att man inte ska kräva godtyckliga periodiska byten utan belägg för kompromettering. Byt efter en läcka, en kompromettering eller en tjänstevarning—inte efter en tom 90-dagarskalender.