ช่วยแก้ปัญหา
ปี 2026 รหัสผ่านควรยาวแค่ไหน
NIST กำหนดให้รหัสผ่านปัจจัยเดียวยาวอย่างน้อย 15 ตัวอักษร CISA แนะนำ 16 ตัวขึ้นไป ที่สุ่มและไม่ซ้ำ ดูความยาวที่ควรใช้ในปี 2026
รหัสผ่านที่คุณสร้างวันนี้ ความยาว ความสุ่ม และการไม่ใช้ซ้ำล้วนสำคัญ NIST SP 800-63-4 กำหนดให้รหัสผ่านปัจจัยเดียวยาวอย่างน้อย 15 ตัวอักษร ถ้าใช้เป็นเพียงส่วนหนึ่งของ MFA จะสั้นกว่าได้ โดยขั้นต่ำของ NIST คือ 8
แนวทางสำหรับผู้ใช้ของ CISA แนะนำรหัสผ่านอย่างน้อย 16 ตัวอักษร สุ่ม และไม่ซ้ำกัน รหัสผ่านที่สุ่มมา 16 ตัวขึ้นไปเป็นจุดตั้งต้นที่แน่น เมื่อบริการอนุญาต
ยาวขึ้นอาจช่วยได้ แต่ความยาวอย่างเดียวทำให้รหัสที่เดาง่ายหรือใช้ซ้ำปลอดภัยไม่ได้ 15 หรือ 16 ตัวอักษรไม่ใช่การรับประกันความปลอดภัย
บทความนี้ตอบว่ารหัสผ่านควรยาวแค่ไหนในปี 2026 โดยใช้กฎฝั่งตรวจสอบปัจจุบันของ NIST SP 800-63-4 / SP 800-63B และคำแนะนำสาธารณะของ CISA ไม่ใช่คู่มือความมั่นคงไซเบอร์ฉบับเต็ม
แล้วรหัสผ่านของฉันควรยาวเท่าไร
ถ้าตัวจัดการรหัสผ่านเก็บได้ ให้สร้างรหัสสุ่มที่ไม่ซ้ำยาว 16 ตัวขึ้นไป ใช้สตริงสุ่มที่ยาวกว่าเมื่อบริการอนุญาต ถ้าต้องจำเอง วลีรหัสผ่านยาวมักใช้ได้จริงกว่าสตริงสั้นที่ถูกบังคับแทนที่ 16 ไม่ใช่ทะลุไม่ได้ และ 15 ไม่ใช่การรับประกัน
NIST กำหนดอะไรในปี 2026
NIST SP 800-63-4 บอกฝั่งตรวจสอบว่าต้องกำหนดอะไร ไม่ใช่สโลแกนส่วนตัว รหัสผ่านปัจจัยเดียวต้องยาวอย่างน้อย 15 ตัวอักษร ถ้าใช้เป็นเพียงส่วนหนึ่งของ MFA จะสั้นกว่าได้ แต่ขั้นต่ำยังเป็น 8 ฝั่งตรวจสอบ SHOULD รับอย่างน้อย 64 ตัวอักษร SHALL NOT บังคับผสมชนิดอักขระ และ SHALL NOT บังคับเปลี่ยนเป็นระยะโดยไม่มีหลักฐานว่าถูกเจาะ รหัสที่พบบ่อยหรือรั่วแล้วควรถูกบล็อก
CISA แนะนำอะไร
แนวทาง Secure Our World ของ CISA เรียบง่ายกว่า: อย่างน้อย 16 ตัวอักษร สุ่ม และไม่ซ้ำ พร้อมตัวจัดการรหัสผ่าน สิ่งนี้ไม่ขัดกับ NIST 15 คือข้อกำหนดฝั่งตรวจสอบสำหรับปัจจัยเดียว 16+ คือคำแนะนำสาธารณะของ CISA
8 กับ 12 กับ 16 ตัวอักษร: ความยาวสำคัญจริงหรือ
ความยาวสำคัญ แต่ “เวลาถอดรหัส” ที่เผยแพร่ไม่ใช่ เวลานั้นเปลี่ยนตามฮาร์ดแวร์ แฮช ความสุ่ม โมเดลการโจมตี และวิธีเก็บรหัสผ่าน
| ความยาว | มุมมองที่ใช้จริง |
|---|---|
| 8 | สั้นเกินไปสำหรับคำแนะนำทั่วไปของรหัสผ่านปัจจัยเดียวใหม่ NIST อนุญาต 8 เฉพาะเป็นขั้นต่ำเมื่อรหัสผ่านใช้เป็นเพียงส่วนหนึ่งของ MFA |
| 12 | ดีกว่ารหัสเก่าที่สั้น แต่ต่ำกว่าขั้นต่ำปัจจัยเดียวปัจจุบันของ NIST ซึ่งคือ 15 |
| 15 | ขั้นต่ำปัจจัยเดียวปัจจุบันของ NIST สำหรับฝั่งตรวจสอบ |
| 16+ | สอดคล้องกับคำแนะนำสาธารณะแบบเรียบง่ายของ CISA และเป็นจุดตั้งต้นที่สมเหตุสมผลสำหรับรหัสที่สร้างขึ้น |
ความยาวสำคัญกว่าความซับซ้อนหรือไม่
แนวทางปัจจุบันให้ความสำคัญกับความยาวที่พอและความเลือกที่ดี มากกว่ากฎการประกอบที่เดาได้ รูปแบบอย่างคำทั่วไปบวก “1!” ยังเดาได้แม้ผสมชนิดแล้ว อักขระพิเศษไม่ได้ไร้ประโยชน์: ในรหัสที่สุ่มมา ชุดอักขระที่กว้างกว่าเพิ่มการจัดหมู่ได้ แกนคือความสุ่ม ความยาว และการไม่ใช้ซ้ำ
รหัสผ่านยาวยังอ่อนแอได้
ค่าที่ยาวยังอ่อนถ้าเดาง่าย เป็นวลีที่พบบ่อย ถูกใช้ซ้ำ หรืออิงข้อมูลส่วนตัว การซ้ำอักขระเดียวกันหลายครั้งนั้นยาว ไม่ใช่แข็งแรง อย่าใช้ซ้ำประโยคที่ทุกคนรู้แล้ว
ทำไมแต่ละบัญชีควรมีรหัสผ่านต่างกัน
ถ้าบริการหนึ่งรั่วรหัสผ่านแล้วคุณใช้ซ้ำ บัญชีอื่นที่ใช้ค่าเดียวกันก็เสี่ยง แต่ละบัญชีต้องการรหัสของตนเอง การเอาคู่ที่รั่วไปลองไซต์อื่น (credential stuffing) เป็นเรื่องปกติ รหัสที่ไม่ซ้ำจำกัดความเสียหายนั้น
ควรใช้ตัวจัดการรหัสผ่านหรือไม่
NIST ให้ฝั่งตรวจสอบอนุญาตตัวจัดการรหัสผ่านและการเติมอัตโนมัติ CISA ก็แนะนำตัวจัดการเช่นกัน คุณไม่ต้องจำรหัสสุ่มที่ไม่ซ้ำสำหรับทุกไซต์ บทความนี้ไม่แนะนำผลิตภัณฑ์ใดเป็นพิเศษ
รหัสผ่านหรือวลีรหัสผ่าน
ถ้าตัวจัดการเก็บค่าไว้ รหัสสุ่มที่สร้างขึ้นสะดวก ถ้าต้องจำเอง วลีรหัสผ่านยาวจากหลายคำอาจใช้ได้จริงกว่า หลีกเลี่ยงคำคมดัง เนื้อเพลง ประโยคทั่วไป และรายละเอียดส่วนตัว นี่เป็นบันทึกสั้น ไม่ใช่คู่มือวลีรหัสผ่านฉบับเต็ม
รหัสผ่านต้องมีตัวพิมพ์ใหญ่ ตัวเลข และสัญลักษณ์หรือไม่
NIST ระบุว่าฝั่งตรวจสอบ SHALL NOT บังคับผสมชนิดอักขระ ไซต์ที่บังคับตัวพิมพ์ใหญ่หนึ่งตัว ตัวเลขหนึ่งตัว และสัญลักษณ์หนึ่งตัว ไม่สอดคล้องกับทิศนั้น ตัวสร้างแบบสุ่มยังใช้ชุดกว้างได้ และนั่นใช้ได้ สัญลักษณ์ไม่ได้ทำรหัสให้อ่อนลง
ควรเปลี่ยนรหัสผ่านทุก 90 วันหรือไม่
NIST ระบุว่าฝั่งตรวจสอบ SHALL NOT บังคับการเปลี่ยนเป็นระยะโดยไม่มีเหตุ เว้นแต่มีหลักฐานว่าถูกเจาะ เปลี่ยนรหัสถ้ามันรั่ว บัญชีถูกเจาะ หรือบริการบอกให้เปลี่ยน นั่นไม่ใช่ “อย่าเปลี่ยนรหัสเลย”
MFA ทำให้ความยาวรหัสผ่านไม่สำคัญหรือไม่
ไม่ MFA เพิ่มการป้องกัน MFA ไม่ทำให้สุขลักษณะรหัสผ่านเป็นทางเลือก NIST อาจอนุญาตขั้นต่ำ 8 ตัวอักษรเมื่อรหัสผ่านใช้เป็นเพียงส่วนหนึ่งของ MFA นั่นไม่ใช่คำแนะนำทั่วไปให้ใช้รหัส 8 ตัวอักษร
สิ่งที่ความยาวหยุดไม่ได้
รหัสที่ยาวมากไม่หยุดการโจมตีทุกแบบ ความยาวอย่างเดียวไม่หยุดฟิชชิง มัลแวร์หรือคีย์ล็อก วิศวกรรมสังคม หรืออุปกรณ์ที่ถูกเจาะแล้ว MFA การอัปเดตซอฟต์แวร์ และความตระหนักเรื่องฟิชชิงยังสำคัญ บทความนี้จำกัดที่ความยาวรหัสผ่าน
รหัสที่แข็งแรงต้องยาว สุ่ม และไม่ซ้ำ ใช้ตัวจัดการรหัสผ่านเมื่อทำได้ และเปิด MFA เมื่อมี
แนวทางตัดสินความยาวรหัสผ่านแบบง่าย
ต้องการรหัสผ่านบัญชีใหม่? ถ้าตัวจัดการรหัสผ่านเก็บได้ ให้สร้างรหัสสุ่มที่ไม่ซ้ำ—16 ตัวขึ้นไปเป็นจุดตั้งต้นที่ใช้ได้จริง ยาวกว่าถ้าสนับสนุน ถ้าต้องจำเอง ใช้วลีรหัสผ่านที่ยาวและไม่ซ้ำ หลีกเลี่ยงวลีทั่วไป แล้วเปิด MFA เมื่อมี
- ต้องการรหัสผ่านบัญชีใหม่?
- ตัวจัดการรหัสผ่านเก็บได้ไหม?
- ได้ → รหัสสุ่มที่ไม่ซ้ำ 16+ (ยาวกว่าถ้าอนุญาต)
- ไม่ได้ → วลีรหัสผ่านยาวและไม่ซ้ำ หลีกเลี่ยงวลีทั่วไป
- เปิด MFA เมื่อมี
สร้างรหัสผ่านยาวและสุ่มในเบราว์เซอร์
NEXNARA ตัวสร้างรหัสผ่าน สร้างรหัสผ่าน วลีรหัสผ่าน หรือ PIN ได้ บทความนี้เกี่ยวกับรหัสผ่านบัญชี PIN เป็นความลับที่สั้นกว่าและต่างชนิด ไม่ใช่คำแนะนำเดียวกัน
โหมดรหัสผ่าน: ความยาว 4–128 ค่าเริ่มต้น 16 เลือกคลาสอักขระ ตัดอักขระที่สับสน หรือตัดอักขระที่กำหนดเอง สร้าง 1, 5, 10 หรือ 20 ค่า แล้วคัดลอกหรือดาวน์โหลดไฟล์ TXT
โหมดวลีรหัสผ่านใช้รายการคำภาษาอังกฤษขนาดใหญ่ของ EFF (7776 คำ): 3–8 คำ ค่าเริ่มต้น 5 มีตัวคั่น การใช้อักษรใหญ่ และตัวเลือกตัวเลขเสริม
การสร้างใช้ตัวสร้างเลขสุ่มที่ปลอดภัยเชิงรหัสลับของเบราว์เซอร์ (crypto.getRandomValues) พร้อมการสุ่มแบบปฏิเสธ 32 บิตและการสับที่ปลอดภัย ไม่ใช้ Math.random ค่าเอนโทรปีที่แสดงเป็นการประมาณจากชุดอักขระกับความยาว (หรือขนาดรายการคำกับจำนวนคำ) ไม่ใช่การวัดรหัสที่คนตั้ง และไม่ใช่คำสัญญาว่าทายไม่ได้
การสร้างเกิดขึ้นในเบราว์เซอร์ของคุณ ค่าไม่ถูกส่งไปยังเซิร์ฟเวอร์ NEXNARA สำหรับเครื่องมือนี้ โฆษณาและฟีเจอร์อื่นของไซต์ยังใช้เครือข่าย
ต้องการรหัสสุ่ม 16 ตัวอักษรเป็นจุดตั้งต้น? เปิด ตัวสร้างรหัสผ่าน แล้วสร้างค่าที่คุณจะเก็บ ไม่ใช้ซ้ำ
FAQ
ปี 2026 รหัสผ่านควรยาวแค่ไหน
NIST กำหนดอย่างน้อย 15 ตัวอักษรสำหรับรหัสผ่านปัจจัยเดียว CISA แนะนำอย่างน้อย 16 ที่สุ่มและไม่ซ้ำ 16+ ตัวที่สร้างขึ้นเป็นจุดตั้งต้นที่ใช้ได้จริงเมื่อบริการอนุญาต นั่นไม่ใช่การรับประกัน
รหัสผ่าน 12 ตัวอักษรยาวพอหรือยัง
ดีกว่ารหัสเก่าที่สั้น แต่ต่ำกว่าขั้นต่ำปัจจัยเดียวปัจจุบันของ NIST ที่ 15 ตัวอักษร เลือก 16+ เมื่อทำได้
รหัสผ่าน 16 ตัวอักษรปลอดภัยหรือไม่
16 ตัวอักษรที่สุ่มและไม่ซ้ำเป็นจุดตั้งต้นที่สมเหตุสมผล มันไม่ปลอดภัยโดยอัตโนมัติ ค่า 16 ตัวที่เดาง่ายหรือใช้ซ้ำยังอ่อน
รหัสที่ยาวกว่าดีกว่าเสมอหรือไม่
รหัสที่ยาวกว่า สุ่ม และไม่ซ้ำมักเพิ่มการจัดหมู่ ค่าที่ยาวกว่าแต่เดาง่ายหรือใช้ซ้ำไม่ดีขึ้นโดยอัตโนมัติ
ฉันต้องมีตัวเลขและอักขระพิเศษในรหัสผ่านหรือไม่
NIST บอกบริการไม่ให้บังคับผสม ตัวสร้างแบบสุ่มยังใส่ได้ สัญลักษณ์ไม่จำเป็นเพื่อให้ “แข็งแรง” และก็ไม่ได้ไร้ประโยชน์
ฉันควรเปลี่ยนรหัสผ่านทุก 90 วันหรือไม่
NIST บอกไม่ให้บังคับการเปลี่ยนเป็นระยะโดยไม่มีเหตุ หากไม่มีหลักฐานว่าถูกเจาะ เปลี่ยนหลังรั่ว ถูกเจาะ หรือมีแจ้งจากบริการ ไม่ใช่ตามปฏิทิน 90 วันที่ว่างเปล่า