2026’da bir parola kaç karakter olmalı?

Bu yazı 2026’da parolanın ne kadar uzun olması gerektiğini yanıtlar. Dayanağı güncel NIST SP 800-63-4 / SP 800-63B doğrulayıcı kuralları ve CISA’nın kamuya açık öğüdüdür. Tam bir siber güvenlik kılavuzu değildir.

Peki parolam kaç karakter olmalı?

Bir parola yöneticisi saklayabiliyorsa 16 veya daha fazla karakterlik benzersiz rastgele parola üretin. Hizmet izin verdiğinde daha uzun rastgele dizi kullanın. Ezberlemek zorundaysanız uzun bir parola öbeği, zorla değiştirilmiş kısa diziden çoğu zaman daha pratiktir. 16 kırılmaz değildir; 15 güvence değildir.

NIST 2026’da ne istiyor?

NIST SP 800-63-4 doğrulayıcılara ne istemeleri gerektiğini söyler—kişisel bir slogan değildir. Tek faktörlü parola en az 15 karakter olmalıdır. Yalnızca MFA’nın parçasıysa daha kısa olabilir ama taban yine 8’dir. Doğrulayıcılar SHOULD en az 64 karakter kabul etmelidir. SHALL NOT karakter türlerinin zorla karışımını istememeli ve SHALL NOT ihlal kanıtı olmadan periyodik değişim dayatmamalıdır. Yaygın veya sızmış parolalar engellenmelidir.

CISA ne öneriyor?

CISA’nın Secure Our World rehberi daha yalındır: en az 16 karakter, rastgele ve benzersiz, artı bir parola yöneticisi. Bu NIST ile çelişmez. 15 tek faktör için doğrulayıcı şartıdır; 16+ CISA’nın kamuya açık önerisidir.

8’e karşı 12’ye karşı 16 karakter: uzunluk gerçekten önemli mi?

Uzunluk önemlidir; yayımlanmış «tahmin süresi» rakamları değildir. O rakamlar donanıma, özet işleve, rastgeleliğe, saldırı modeline ve parolanın nasıl saklandığına göre değişir.

Uzunluk	Pratik bakış
8	Yeni tek faktörlü parola için genel öneri olarak çok kısa. NIST 8’e yalnızca parola MFA’nın parçası olduğunda taban olarak izin verir.
12	Kısa eski parolalardan iyidir ama NIST’in güncel tek faktör tabanı olan 15’in altındadır.
15	NIST’in doğrulayıcılar için güncel tek faktör tabanı.
16+	CISA’nın yalın kamuya açık önerisiyle örtüşür ve üretilmiş parolalar için makul bir başlangıçtır.

Uzunluk karmaşıklıktan daha mı önemli?

Güncel rehber, tahmin edilebilir bileşim kurallarından çok yeterli uzunluğu ve iyi seçimi yeğler. Yaygın bir sözcük artı «1!» gibi bir örüntü, türler karışsa bile tahmin edilebilir kalabilir. Özel karakterler işe yaramaz değildir: rastgele üretilmiş parolada daha geniş küme birleşimleri artırır. Öz rastgelelik, uzunluk ve benzersizliktir.

Uzun bir parola yine de zayıf olabilir

Uzun bir değer tahmin edilebilirse, yaygın bir öbekse, yeniden kullanılıyorsa veya kişisel bilgiye dayanıyorsa zayıf kalır. Aynı karakteri birçok kez yinelemek uzundur, güçlü değildir. Herkesin zaten bildiği bir öbeği yeniden kullanmayın.

Her hesabın farklı parolası neden olmalı

Bir hizmet parola sızdırır ve siz onu yeniden kullandıysanız, aynı değeri paylaşan diğer hesaplar riske girer. Her hesabın kendi parolası gerekir. Sızan çiftleri başka sitelerde denemek yaygındır. Benzersiz parolalar o zararı sınırlar.

Parola yöneticisi kullanmalı mısınız?

NIST doğrulayıcılardan parola yöneticilerine ve otomatik doldurmaya izin vermelerini ister. CISA da bir yönetici önerir. Her site için benzersiz rastgele parolayı ezberlemek zorunda değilsiniz. Bu yazı belirli bir ürün önermez.

Parola mı, parola öbeği mi?

Yönetici değeri saklıyorsa üretilmiş rastgele parola rahattır. Hatırlamak zorundaysanız birkaç sözcüklük uzun bir parola öbeği daha pratik olabilir. Ünlü alıntılardan, şarkı sözlerinden, sıradan cümlelerden ve kişisel ayrıntılardan kaçının. Bu kısa bir nottur, tam bir parola öbeği kılavuzu değildir.

Parolalarda büyük harf, sayı ve simge şart mı?

NIST doğrulayıcıların SHALL NOT karakter türü karışımı istememesini söyler. Bir büyük harf, bir sayı ve bir simge dayatan site o yönden sapar. Rastgele üreteç geniş küme kullanabilir; bu sorun değildir. Simgeler parolaları zayıflatmaz.

Parolaları her 90 günde bir değiştirmeli misiniz?

NIST doğrulayıcıların SHALL NOT ihlal kanıtı olmadıkça keyfi periyodik değişim dayatmamasını söyler. Sızdıysa, hesap ele geçirildiyse veya hizmet söylediyse değiştirin. Bu «parolaları asla değiştirmeyin» değildir.

MFA parola uzunluğunu önemsiz mi kılar?

Hayır. MFA koruma ekler. Parola bakımını isteğe bağlı yapmaz. NIST, parola yalnızca MFA’nın parçasıysa 8 karakterlik tabana izin verebilir. Bu 8 karakterlik parola kullanmaya dair genel bir öneri değildir.

Uzunluğun durduramayacağı şeyler

Çok uzun bir parola her saldırıyı durdurmaz. Uzunluk tek başına oltalamayı, kötü amaçlı yazılımı veya tuş kaydını, sosyal mühendisliği ya da ele geçirilmiş aygıtı durdurmaz. MFA, yazılım güncellemeleri ve oltalama farkındalığı hâlâ önemlidir. Bu yazı parola uzunluğunda kalır.

Parola uzunluğu için yalın bir karar rehberi

Yeni hesap parolası mı gerekiyor? Parola yöneticisi saklayabiliyorsa benzersiz rastgele parola üretin—16+ karakter pratik bir başlangıçtır, desteklenirse daha uzun. Ezberlemek zorundaysanız uzun benzersiz bir parola öbeği kullanın ve sıradan öbeklerden kaçının. Sonra MFA varsa açın.

• Yeni hesap parolası mı gerekiyor?
• ↓
• Bir parola yöneticisi onu saklayabilir mi?
• Evet → benzersiz rastgele parola, 16+ (izin varsa daha uzun)
• Hayır → uzun benzersiz parola öbeği; sıradan öbeklerden kaçının
• ↓
• MFA varsa açın

Tarayıcınızda uzun, rastgele bir parola üretin

NEXNARA Şifre Oluşturucu parola, parola öbeği veya PIN üretebilir. Bu yazı hesap parolaları hakkındadır. PIN daha kısa, farklı bir sırdır—aynı öneri değildir.

Parola kipi: uzunluk 4–128, varsayılan 16. Karakter sınıflarını seçin, belirsiz karakterleri çıkarın veya özel karakterleri dışlayın. 1, 5, 10 veya 20 değer üretin, sonra kopyalayın ya da TXT dosyası indirin.

Parola öbeği kipi EFF’nin büyük İngilizce sözcük listesini kullanır (7776 sözcük): 3–8 sözcük, varsayılan 5, ayırıcı, büyük harf ve isteğe bağlı sayı seçenekleriyle.

Üretim tarayıcının kriptografik olarak güvenli rastgele sayı üretecini (crypto.getRandomValues) kullanır; 32 bitlik reddetmeli örnekleme ve güvenli karıştırma vardır. Math.random kullanılmaz. Gösterilen entropi karakter kümesi ve uzunluktan (veya sözcük listesi boyutu ve sözcük sayısından) bir tahmindir; insan parolası ölçümü veya tahmin edilemezlik vaadi değildir.

Üretimin kendisi tarayıcınızda olur. Bu araç için değerler bir NEXNARA sunucusuna gönderilmez. Reklamlar ve sitenin diğer özellikleri yine ağı kullanır.

Başlamak için 16 karakterlik rastgele bir parola mı lazım? Şifre Oluşturucu uygulamasını açın ve saklayacağınız, yeniden kullanmayacağınız bir tane üretin.

FAQ

2026’da bir parola kaç karakter olmalı?

NIST tek faktörlü parola için en az 15 karakter ister. CISA rastgele ve benzersiz en az 16 karakter önerir. Hizmet izin verdiğinde üretilmiş 16+ karakter sağlam pratik bir başlangıçtır. Güvence değildir.

12 karakterlik parola yeterince uzun mu?

Kısa eski paroladan iyidir ama NIST’in güncel 15 karakterlik tek faktör tabanının altındadır. Yapabildiğinizde 16+ yeğleyin.

16 karakterlik parola güvenli midir?

16 rastgele benzersiz karakter makul bir başlangıçtır. Kendiliğinden güvenli değildir. Tahmin edilebilir veya yeniden kullanılan 16 karakterlik değerler zayıf kalır.

Daha uzun parolalar her zaman daha mı iyidir?

Daha uzun rastgele benzersiz parolalar genellikle birleşim ekler. Daha uzun ama tahmin edilebilir veya yeniden kullanılan bir değer kendiliğinden daha iyi değildir.

Parolamda sayı ve özel karakter olmalı mı?

NIST hizmetlere zorla karışım istememelerini söyler. Rastgele üreteç yine de onları ekleyebilir. Simgeler «güçlü» olmak için şart değildir ve işe yaramaz da değildir.

Parolamı her 90 günde bir değiştirmeli miyim?

NIST ihlal kanıtı olmadan keyfi periyodik değişim dayatılmamasını söyler. Sızıntı, ele geçirme veya hizmet uyarısından sonra değiştirin—boş bir 90 günlük takvime göre değil.