裝置與系統問題
2026 年密碼要多長才夠？建議從 16 個字元的隨機密碼開始
NIST 現在要求單因素密碼至少 15 個字元。CISA 建議 16 個以上、隨機且不重用。看看 2026 年該用多長。
今天新設的密碼，長度、隨機性與不重用都重要。NIST SP 800-63-4 要求單因素密碼至少 15 個字元。若只作為 MFA 的一部分使用，可以更短，NIST 下限仍是 8。
CISA 給一般使用者的指引建議密碼至少 16 個字元，並且隨機、每個帳號各不相同。服務允許時，隨機產生 16 個以上字元，是穩當的起點。
更長可能有幫助，但單靠長度，並不能讓可預測或重用的密碼變得安全。15 或 16 個字元都不是安全保障。
本文回答 2026 年密碼該設多長。依據現行 NIST SP 800-63-4 / SP 800-63B 對驗證端的規則，以及 CISA 的公開建議。這不是完整的資安手冊。
那麼，我的密碼到底該多長
若密碼管理程式能儲存，就產生一組不重複的隨機密碼，16 個字元以上。服務允許時可以用更長的隨機字串。必須自己記時，長密語往往比短字串加強制替換更實用。16 並非攻不破，15 也不是保證。
2026 年 NIST 要求什麼
NIST SP 800-63-4 告訴驗證端該要求什麼，不是個人口號。單因素密碼必須至少 15 個字元。若只作為 MFA 的一部分使用，可以更短，但下限仍是 8。驗證端 SHOULD 至少接受 64 個字元。SHALL NOT 強制混合字元種類，也 SHALL NOT 在沒有外洩證據時強迫定期更換。常見或已外洩的密碼應被擋下。
CISA 建議什麼
CISA 的 Secure Our World 指引更直白：至少 16 個字元、隨機、不重用，並使用密碼管理程式。這與 NIST 並不矛盾。15 是單因素驗證端要求；16 以上是 CISA 對公眾的建議。
8、12、16 個字元：長度真的重要嗎
長度重要，但不要採信公開的「破解時間」。那些時間會隨硬體、雜湊、隨機性、攻擊模型與儲存方式變化。
| 長度 | 實務看法 |
|---|---|
| 8 | 作為新單因素密碼的一般建議太短。NIST 允許 8，僅作為密碼只用於 MFA 一部分時的下限。 |
| 12 | 比過短的舊密碼好，但仍低於現行 NIST 單因素下限 15。 |
| 15 | 現行 NIST 對驗證端的單因素下限。 |
| 16+ | 與 CISA 簡潔的公開建議一致，也是產生密碼的合理起點。 |
長度比複雜度更重要嗎
現行指引更看重足夠的長度與良好選取，而不是可預測的組成規則。常見詞再加「1!」這類套路，即使混了類型仍可能被猜到。特殊字元並非沒用：隨機產生時，更大的字元集會增加組合。核心仍是隨機、夠長、不重用。
長密碼仍可能很弱
值再長，只要可預測、是套話、被重用，或基於個人資訊，就仍然弱。把同一個字元重複很多次只是長，並不強。不要重用人人都知道的句子。
為什麼每個帳號都該用不同密碼
若一個服務外洩了密碼而你重用了它，共用該值的其他帳號也會受影響。每個帳號都需要自己的密碼。拿外洩的帳密去試其他網站（credential stuffing）很常見。不重複的密碼能限制這種損害。
該不該用密碼管理程式
NIST 要求驗證端允許密碼管理程式與自動填入。CISA 也建議使用管理程式。你不必把每個網站的隨機密碼都背下來。本文不推薦特定產品。
用密碼還是密語
若管理程式儲存該值，隨機產生的密碼更省事。必須自己記時，由幾個詞組成的長密語往往更實用。避開名言、歌詞、套話與個人細節。這只是短註，不是完整的密語指南。
密碼必須有大寫、數字與符號嗎
NIST 規定驗證端 SHALL NOT 強制混合字元種類。網站若強迫一個大寫、一個數字、一個符號，就與這一方向不符。隨機產生器仍可用較寬的集合，這沒問題。符號不會讓密碼變弱。
該每 90 天改一次密碼嗎
NIST 規定，沒有外洩證據時，驗證端 SHALL NOT 要求任意的定期更換。密碼已外洩、帳號被入侵，或服務要求你改時，再改。這不是「永遠不要改密碼」。
有了 MFA，密碼長度就不重要了嗎
不是。MFA 增加一層保護，並不讓密碼習慣變成可選項。密碼只作為 MFA 一部分使用時，NIST 可以允許下限 8 個字元。那不是普遍建議使用 8 個字元的密碼。
長度擋不住什麼
再長的密碼也擋不住每一種攻擊。單靠長度擋不住釣魚、惡意軟體或鍵盤側錄、社交工程，也擋不住已被入侵的裝置。MFA、軟體更新與對釣魚的警覺仍然重要。本文只談密碼長度。
強密碼要長、隨機、且不重用。能用密碼管理程式就用，能開 MFA 就開。
一份簡單的密碼長度決策步驟
需要新的帳號密碼？密碼管理程式能儲存時，產生一組不重複的隨機密碼——16 個字元以上是實用起點，服務支援就再長一些。必須自己記時，用長且不重複的密語，避開套話。然後在可用時啟用 MFA。
- 需要新的帳號密碼？
- 密碼管理程式能儲存嗎？
- 能 → 不重複的隨機密碼，16 以上（允許則更長）
- 不能 → 長且不重複的密語；避開套話
- 可用時啟用 MFA
在瀏覽器裡產生長而隨機的密碼
NEXNARA 密碼產生器 可以產生密碼、密語或 PIN。本文談的是帳號密碼。PIN 是更短、不同的秘密，不是同一套建議。
密碼模式：長度 4–128，預設 16。可選字元類，排除易混字元，或排除自訂字元。一次產生 1、5、10 或 20 個值，再複製或下載 TXT 檔案。
密語模式使用 EFF 大型英語詞表（7776 個詞）：3–8 個詞，預設 5 個，可選分隔符、大小寫與附加數字。
產生使用瀏覽器的密碼學安全亂數產生器（crypto.getRandomValues），搭配 32 位元拒絕取樣與安全洗牌。不用 Math.random。顯示的熵是按字元集與長度（或詞表大小與詞數）估算的，不是對人設密碼的實測，也不是防猜測的承諾。
產生本身在你的瀏覽器裡完成。這個工具不會把值送到 NEXNARA 伺服器。廣告與站台其他功能仍會使用網路。
需要一組 16 個字元的隨機密碼當起點？開啟 密碼產生器，產生一組你會儲存、不會重用的值。
FAQ
2026 年密碼該設多長？
NIST 要求單因素密碼至少 15 個字元。CISA 建議至少 16 個、隨機且不重用。服務允許時，產生 16 個以上字元是穩當的實務起點。那不是保證。
12 個字元的密碼夠長嗎？
比過短的舊密碼好，但低於現行 NIST 單因素下限 15 個字元。能用時優先 16 個以上。
16 個字元的密碼安全嗎？
16 個隨機且不重複的字元是合理起點。它不會自動變得安全。可預測或重用的 16 字元值仍然弱。
更長的密碼一定更好嗎？
更長、隨機、不重用的密碼通常會增加組合。更長但可預測或重用的值，不會自動更好。
密碼裡必須有數字與特殊字元嗎？
NIST 告訴服務不要強制混合。隨機產生器仍可以包含它們。符號不是「強」的必要條件，也不是沒用。
我該每 90 天改一次密碼嗎？
NIST 表示，沒有外洩證據就不要要求任意的定期更換。外洩、入侵或服務通知之後再改——不要按空白的 90 天日曆改。