设备与系统问题
2026年密码该设多长？单因素最少15个字符
NIST 现要求单因素密码至少 15 个字符。CISA 建议 16 个以上、随机且不重复使用。看看 2026 年该用多长。
今天新设的密码，长度、随机性和不复用都重要。NIST SP 800-63-4 要求单因素密码至少 15 个字符。若只作为 MFA 的一部分使用，可以更短，NIST 下限仍是 8。
CISA 面向公众的指引建议密码至少 16 个字符，并且随机、每个账户各不相同。服务允许时，随机生成 16 个以上字符，是扎实的起点。
更长可能有帮助，但单靠长度，并不能让可预测或复用的密码变得安全。15 或 16 个字符都不是安全保障。
本文回答 2026 年密码该设多长。依据现行 NIST SP 800-63-4 / SP 800-63B 对验证方的规则，以及 CISA 的公开建议。这不是完整的网络安全手册。
那我的密码到底该多长
若密码管理器能保存，就生成一串不重复的随机密码，16 个字符以上。服务允许时可以用更长的随机串。必须自己记时，长密码短语往往比短串加强制替换更实用。16 并非攻不破，15 也不是保证。
2026 年 NIST 要求什么
NIST SP 800-63-4 告诉验证方该要求什么，不是个人口号。单因素密码必须至少 15 个字符。若只作为 MFA 的一部分使用，可以更短，但下限仍是 8。验证方 SHOULD 至少接受 64 个字符。SHALL NOT 强制混合字符种类，也 SHALL NOT 在没有泄露证据时强迫定期更换。常见或已泄露的密码应被拦截。
CISA 建议什么
CISA 的 Secure Our World 指引更直白：至少 16 个字符、随机、不重复，并使用密码管理器。这与 NIST 并不矛盾。15 是单因素验证方要求；16 以上是 CISA 对公众的建议。
8、12、16 个字符：长度真的重要吗
长度重要，但不要采信公开的「破解时间」。那些时间会随硬件、哈希、随机性、攻击模型和存储方式变化。
| 长度 | 实务看法 |
|---|---|
| 8 | 作为新单因素密码的一般建议太短。NIST 允许 8，仅作为密码只用于 MFA 一部分时的下限。 |
| 12 | 比过短的旧密码好，但仍低于现行 NIST 单因素下限 15。 |
| 15 | 现行 NIST 对验证方的单因素下限。 |
| 16+ | 与 CISA 简洁的公开建议一致，也是生成密码的合理起点。 |
长度比复杂度更重要吗
现行指引更看重足够的长度和良好选取，而不是可预测的拼写规则。常见词再加「1!」这类套路，即使混了类型仍可能被猜到。特殊字符并非没用：随机生成时，更大的字符集会增加组合。核心仍是随机、够长、不复用。
长密码仍可能很弱
值再长，只要可预测、是套话、被复用，或基于个人信息，就仍然弱。把同一个字符重复很多次只是长，并不强。不要复用人人都知道的句子。
为什么每个账户都该用不同密码
若一个服务泄露了密码而你复用了它，共用该值的其他账户也会受影响。每个账户都需要自己的密码。拿泄露的账号密码去试其他站点（credential stuffing）很常见。不重复的密码能限制这种损害。
该不该用密码管理器
NIST 要求验证方允许密码管理器和自动填充。CISA 也建议使用管理器。你不必把每个站点的随机密码都背下来。本文不推荐具体产品。
用密码还是密码短语
若管理器保存该值，随机生成的密码更省事。必须自己记时，由几个词组成的长密码短语往往更实用。避开名言、歌词、套话和个人信息。这只是短注，不是完整的密码短语指南。
密码必须有大写、数字和符号吗
NIST 规定验证方 SHALL NOT 强制混合字符种类。网站若强迫一个大写、一个数字、一个符号，就与这一方向不符。随机生成器仍可用较宽的集合，这没问题。符号不会让密码变弱。
该每 90 天改一次密码吗
NIST 规定，没有泄露证据时，验证方 SHALL NOT 要求随意的定期更换。密码已泄露、账户被入侵，或服务要求你改时，再改。这不是「永远不要改密码」。
有了 MFA，密码长度就不重要了吗
不是。MFA 增加一层保护，并不让密码习惯变成可选项。密码只作为 MFA 一部分使用时，NIST 可以允许下限 8 个字符。那不是普遍建议使用 8 个字符的密码。
长度挡不住什么
再长的密码也挡不住每一种攻击。单靠长度挡不住钓鱼、恶意软件或键盘记录、社会工程，也挡不住已被入侵的设备。MFA、软件更新和对钓鱼的警觉仍然重要。本文只谈密码长度。
强密码要长、随机、且不复用。能用密码管理器就用，能开 MFA 就开。
一份简单的密码长度决策步骤
需要新的账户密码？密码管理器能保存时，生成一串不重复的随机密码——16 个字符以上是实用起点，服务支持就再长一些。必须自己记时，用长且不重复的密码短语，避开套话。然后在可用时启用 MFA。
- 需要新的账户密码？
- 密码管理器能保存吗？
- 能 → 不重复的随机密码，16 以上（允许则更长）
- 不能 → 长且不重复的密码短语；避开套话
- 可用时启用 MFA
在浏览器里生成长而随机的密码
NEXNARA 密码生成器 可以生成密码、密码短语或 PIN。本文谈的是账户密码。PIN 是更短、不同的秘密，不是同一套建议。
密码模式：长度 4–128，默认 16。可选字符类，排除易混字符，或排除自定义字符。一次生成 1、5、10 或 20 个值，再复制或下载 TXT 文件。
密码短语模式使用 EFF 大型英语词表（7776 个词）：3–8 个词，默认 5 个，可选分隔符、大小写和附加数字。
生成使用浏览器的密码学安全随机数发生器（crypto.getRandomValues），配合 32 位拒绝采样和安全乱序。不用 Math.random。显示的熵是按字符集与长度（或词表大小与词数）估算的，不是对人设密码的实测，也不是防猜测的承诺。
生成本身在你的浏览器里完成。这个工具不会把值发到 NEXNARA 服务器。广告和站点其他功能仍会使用网络。
需要一串 16 个字符的随机密码当起点？打开 密码生成器，生成一串你会保存、不会复用的值。
FAQ
2026 年密码该设多长？
NIST 要求单因素密码至少 15 个字符。CISA 建议至少 16 个、随机且不重复。服务允许时，生成 16 个以上字符是扎实的实务起点。那不是保证。
12 个字符的密码够长吗？
比过短的旧密码好，但低于现行 NIST 单因素下限 15 个字符。能用时优先 16 个以上。
16 个字符的密码安全吗？
16 个随机且不重复的字符是合理起点。它不会自动变得安全。可预测或复用的 16 字符值仍然弱。
更长的密码一定更好吗？
更长、随机、不重复的密码通常会增加组合。更长但可预测或复用的值，不会自动更好。
密码里必须有数字和特殊字符吗？
NIST 告诉服务不要强制混合。随机生成器仍可以包含它们。符号不是「强」的必要条件，也不是没用。
我该每 90 天改一次密码吗？
NIST 表示，没有泄露证据就不要要求随意的定期更换。泄露、入侵或服务通知之后再改——不要按空白的 90 天日历改。