Hỗ trợ kỹ thuật
Năm 2026 mật khẩu nên dài bao nhiêu?
NIST hiện yêu cầu mật khẩu đơn yếu tố dài ít nhất 15 ký tự. CISA khuyến nghị 16 trở lên, ngẫu nhiên và không trùng. Xem độ dài nên dùng năm 2026.
Với mật khẩu bạn tạo hôm nay, độ dài, tính ngẫu nhiên và tính duy nhất đều quan trọng. NIST SP 800-63-4 yêu cầu mật khẩu đơn yếu tố dài ít nhất 15 ký tự. Nếu chỉ dùng như một phần của MFA, có thể ngắn hơn, với mức tối thiểu NIST là 8.
Hướng dẫn dành cho người dùng của CISA khuyến nghị mật khẩu dài ít nhất 16 ký tự, ngẫu nhiên và duy nhất. Mật khẩu sinh ngẫu nhiên từ 16 ký tự trở lên là điểm khởi đầu vững khi dịch vụ cho phép.
Dài hơn có thể giúp, nhưng chỉ độ dài không làm mật khẩu dễ đoán hoặc dùng lại trở nên an toàn. 15 hay 16 ký tự không phải bảo đảm bảo mật.
Bài này trả lời mật khẩu nên dài bao nhiêu năm 2026. Bài dùng quy tắc verifier hiện hành của NIST SP 800-63-4 / SP 800-63B và lời khuyên công khai của CISA. Đây không phải cẩm nang an ninh mạng đầy đủ.
Vậy mật khẩu của tôi nên dài bao nhiêu?
Nếu trình quản lý mật khẩu lưu được, hãy sinh một mật khẩu ngẫu nhiên, duy nhất dài 16 ký tự trở lên. Dùng chuỗi ngẫu nhiên dài hơn khi dịch vụ cho phép. Nếu phải nhớ, cụm mật khẩu dài thường thực tế hơn chuỗi ngắn bị ép thay ký tự. 16 không phải không phá được, và 15 không phải bảo đảm.
NIST yêu cầu gì năm 2026?
NIST SP 800-63-4 nói verifier phải yêu cầu gì—không phải khẩu hiệu cá nhân. Mật khẩu đơn yếu tố phải dài ít nhất 15 ký tự. Nếu chỉ dùng như một phần của MFA, có thể ngắn hơn, nhưng mức tối thiểu vẫn là 8. Verifier SHOULD chấp nhận ít nhất 64 ký tự. Họ SHALL NOT bắt buộc trộn loại ký tự, và SHALL NOT ép đổi định kỳ khi không có bằng chứng xâm phạm. Nên chặn mật khẩu phổ biến hoặc đã lộ.
CISA khuyến nghị gì?
Hướng dẫn Secure Our World của CISA đơn giản hơn: ít nhất 16 ký tự, ngẫu nhiên và duy nhất, cộng trình quản lý mật khẩu. Điều đó không mâu thuẫn với NIST. 15 là yêu cầu verifier cho đơn yếu tố; 16+ là khuyến nghị công khai của CISA.
8 so với 12 so với 16 ký tự: độ dài có thực sự quan trọng?
Độ dài quan trọng, nhưng các “thời gian phá” được công bố thì không. Những con số đó đổi theo phần cứng, hàm băm, tính ngẫu nhiên, mô hình tấn công và cách lưu mật khẩu.
| Độ dài | Góc nhìn thực tế |
|---|---|
| 8 | Quá ngắn để làm khuyến nghị chung cho mật khẩu đơn yếu tố mới. NIST chỉ cho phép 8 làm mức tối thiểu khi mật khẩu chỉ dùng như một phần của MFA. |
| 12 | Tốt hơn mật khẩu cũ ngắn, nhưng thấp hơn mức tối thiểu đơn yếu tố hiện nay của NIST là 15. |
| 15 | Mức tối thiểu đơn yếu tố hiện nay của NIST dành cho verifier. |
| 16+ | Khớp khuyến nghị công khai đơn giản của CISA và là điểm khởi đầu hợp lý cho mật khẩu được sinh. |
Độ dài có quan trọng hơn độ phức tạp?
Hướng dẫn hiện nay ưu tiên đủ dài và chọn tốt hơn các quy tắc ghép dễ đoán. Kiểu như một từ thông dụng cộng “1!” vẫn có thể bị đoán dù đã trộn loại. Ký tự đặc biệt không vô dụng: trong mật khẩu sinh ngẫu nhiên, tập ký tự lớn hơn có thể tăng tổ hợp. Cốt lõi là ngẫu nhiên, độ dài và duy nhất.
Mật khẩu dài vẫn có thể yếu
Giá trị dài vẫn yếu nếu dễ đoán, là cụm thông dụng, bị dùng lại, hoặc dựa trên thông tin cá nhân. Lặp cùng một ký tự nhiều lần thì dài chứ không mạnh. Đừng dùng lại câu mà ai cũng biết.
Vì sao mỗi tài khoản nên có mật khẩu khác
Nếu một dịch vụ lộ mật khẩu mà bạn đã dùng lại, các tài khoản khác dùng chung giá trị đó cũng gặp rủi ro. Mỗi tài khoản cần mật khẩu riêng. Thử cặp đã lộ trên trang khác (credential stuffing) rất phổ biến. Mật khẩu duy nhất giới hạn thiệt hại đó.
Bạn có nên dùng trình quản lý mật khẩu?
NIST yêu cầu verifier cho phép trình quản lý mật khẩu và tự điền. CISA cũng khuyến nghị dùng trình quản lý. Bạn không phải nhớ một mật khẩu ngẫu nhiên riêng cho mọi trang. Bài này không khuyến nghị một sản phẩm cụ thể.
Mật khẩu hay cụm mật khẩu?
Nếu trình quản lý lưu giá trị, mật khẩu sinh ngẫu nhiên tiện hơn. Nếu phải nhớ, cụm mật khẩu dài gồm vài từ có thể thực tế hơn. Tránh câu nói nổi tiếng, lời bài hát, câu thông dụng và chi tiết cá nhân. Đây là ghi chú ngắn, không phải hướng dẫn cụm mật khẩu đầy đủ.
Mật khẩu có cần chữ hoa, số và ký hiệu?
NIST nói verifier SHALL NOT bắt buộc trộn loại ký tự. Trang ép một chữ hoa, một số và một ký hiệu là lệch hướng đó. Bộ sinh ngẫu nhiên vẫn có thể dùng tập rộng, và điều đó ổn. Ký hiệu không làm mật khẩu yếu hơn.
Bạn có nên đổi mật khẩu mỗi 90 ngày?
NIST nói verifier SHALL NOT bắt đổi định kỳ tùy tiện trừ khi có bằng chứng xâm phạm. Đổi mật khẩu nếu bị lộ, tài khoản bị xâm phạm, hoặc dịch vụ bảo bạn đổi. Đó không phải “đừng bao giờ đổi mật khẩu.”
MFA có làm độ dài mật khẩu hết quan trọng?
Không. MFA thêm lớp bảo vệ. MFA không biến vệ sinh mật khẩu thành tùy chọn. NIST có thể cho phép mức tối thiểu 8 ký tự khi mật khẩu chỉ dùng như một phần của MFA. Đó không phải khuyến nghị chung dùng mật khẩu 8 ký tự.
Độ dài không chặn được gì
Mật khẩu rất dài không chặn mọi cuộc tấn công. Chỉ độ dài không chặn phishing, phần mềm độc hại hay ghi phím, kỹ thuật xã hội, hoặc thiết bị đã bị xâm phạm. MFA, cập nhật phần mềm và cảnh giác phishing vẫn quan trọng. Bài này chỉ nói về độ dài mật khẩu.
Mật khẩu mạnh thì dài, ngẫu nhiên và duy nhất. Dùng trình quản lý mật khẩu khi được, và bật MFA khi có.
Hướng dẫn quyết định độ dài mật khẩu đơn giản
Cần mật khẩu tài khoản mới? Nếu trình quản lý mật khẩu lưu được, hãy sinh mật khẩu ngẫu nhiên duy nhất—16 ký tự trở lên là khởi đầu thực tế, dài hơn nếu được hỗ trợ. Nếu phải nhớ, dùng cụm mật khẩu dài và duy nhất, tránh cụm thông dụng. Rồi bật MFA khi có.
- Cần mật khẩu tài khoản mới?
- Trình quản lý mật khẩu có lưu được không?
- Có → mật khẩu ngẫu nhiên duy nhất, 16+ (dài hơn nếu được phép)
- Không → cụm mật khẩu dài và duy nhất; tránh cụm thông dụng
- Bật MFA khi có
Sinh mật khẩu dài, ngẫu nhiên trong trình duyệt
NEXNARA Trình tạo mật khẩu có thể tạo mật khẩu, cụm mật khẩu hoặc PIN. Bài này nói về mật khẩu tài khoản. PIN là bí mật ngắn hơn và khác loại—không phải cùng một khuyến nghị.
Chế độ mật khẩu: độ dài 4–128, mặc định 16. Chọn lớp ký tự, loại ký tự dễ nhầm, hoặc loại ký tự tùy chỉnh. Sinh 1, 5, 10 hoặc 20 giá trị, rồi sao chép hoặc tải tệp TXT.
Chế độ cụm mật khẩu dùng danh sách từ tiếng Anh lớn của EFF (7776 từ): 3–8 từ, mặc định 5, có dấu phân cách, viết hoa và tùy chọn thêm số.
Việc sinh dùng bộ sinh số ngẫu nhiên an toàn mật mã của trình duyệt (crypto.getRandomValues), kèm lấy mẫu từ chối 32 bit và xáo trộn an toàn. Không dùng Math.random. Entropy hiện ra là ước lượng từ bộ ký tự và độ dài (hoặc kích thước danh sách từ và số từ), không phải đo mật khẩu do người đặt, cũng không phải lời hứa chống đoán.
Việc sinh diễn ra trong trình duyệt của bạn. Giá trị không được gửi tới máy chủ NEXNARA cho công cụ này. Quảng cáo và tính năng khác của trang vẫn dùng mạng.
Cần mật khẩu ngẫu nhiên 16 ký tự để bắt đầu? Mở Trình tạo mật khẩu và sinh một giá trị bạn sẽ lưu, không dùng lại.
FAQ
Năm 2026 mật khẩu nên dài bao nhiêu?
NIST yêu cầu ít nhất 15 ký tự cho mật khẩu đơn yếu tố. CISA khuyến nghị ít nhất 16 ký tự ngẫu nhiên và duy nhất. 16+ ký tự được sinh là khởi đầu thực tế vững khi dịch vụ cho phép. Đó không phải bảo đảm.
Mật khẩu 12 ký tự đã đủ dài chưa?
Tốt hơn mật khẩu cũ ngắn, nhưng thấp hơn mức tối thiểu đơn yếu tố hiện nay của NIST là 15 ký tự. Ưu tiên 16+ khi được.
Mật khẩu 16 ký tự có an toàn không?
16 ký tự ngẫu nhiên và duy nhất là khởi đầu hợp lý. Nó không tự động an toàn. Giá trị 16 ký tự dễ đoán hoặc dùng lại vẫn yếu.
Mật khẩu dài hơn có luôn tốt hơn không?
Mật khẩu dài hơn, ngẫu nhiên và duy nhất thường tăng tổ hợp. Giá trị dài hơn nhưng dễ đoán hoặc dùng lại không tự động tốt hơn.
Tôi có cần số và ký tự đặc biệt trong mật khẩu?
NIST bảo dịch vụ đừng bắt buộc trộn. Bộ sinh ngẫu nhiên vẫn có thể kèm chúng. Ký hiệu không bắt buộc để “mạnh,” và cũng không vô dụng.
Tôi có nên đổi mật khẩu mỗi 90 ngày?
NIST nói đừng bắt đổi định kỳ tùy tiện khi không có bằng chứng xâm phạm. Đổi sau khi lộ, bị xâm phạm, hoặc có cảnh báo từ dịch vụ—không theo lịch 90 ngày trống.