Как создать надёжный пароль: пошаговое руководство

Больше половины утечек происходит из-за пароля вроде qwerty123 или собственной даты рождения, а вовсе не из-за хитрых атак. «Надёжный» и «сложный» пароль на практике одно и то же, оба слова описывают пароль, который долго перебирать. Разберём по шагам, что делает его таким, а что осталось мифом из старых корпоративных памяток.

Что делает пароль надёжным

Пароль ломают перебором, программа за секунды проверяет миллиарды комбинаций. Надёжность пароля и есть то, сколько времени займёт такой перебор, а зависит она от двух вещей.

• Длина. Каждый добавленный символ увеличивает число вариантов кратно, а не в полтора-два раза. Точное время перебора зависит ещё от алфавита и мощности атакующего, свой случай посчитайте в калькуляторе ниже.
• Алфавит. Строчные буквы, заглавные, цифры и символы вместе дают куда больше комбинаций на каждую позицию, чем один тип символов.

Отсюда практический вывод, который расходится с интуицией. Длина важнее хитрости. korrektnayaloshadbatareyaskrepka из четырёх случайных слов надёжнее, чем P@ssw0rd!, хотя второй выглядит «сложнее». Осмысленные замены букв на символы (o → 0, a → @) программы перебора проверяют в первую очередь.

Сколько именно займёт перебор, зависит от длины, алфавита и того, насколько быстро атакующий может проверять варианты. Подставьте свои значения:

Это не точный прогноз, а прикидка на глаз. Здесь считается, сколько в среднем займёт перебрать все комбинации подряд, без более быстрых способов взлома конкретного алгоритма хеширования. Реальная скорость атаки зависит от того, чем и как захешированы пароли на сервере, который вы не контролируете. Но масштаб понятен: лишний символ значит для времени перебора куда больше, чем ещё один тип символов в алфавите.

Пошаговое руководство

1. Берите не меньше 15 символов. Таков актуальный минимум стандарта NIST SP 800-63B (редакция 2025 года) для пароля как единственного фактора входа. Для важных аккаунтов вроде почты, банка и менеджера паролей берите от 20.

2. Смешивайте типы символов, но не потому что обязаны. Тот же стандарт прямо запрещает сервисам требовать обязательное смешение типов, длина значит больше. Но раз пароль всё равно генерируется, а не запоминается, лишним это не будет. Заглавные и строчные буквы, цифры, хотя бы один спецсимвол увеличивают алфавит без всяких усилий с вашей стороны.

3. Не используйте ничего личного и ничего из словаря. Имена, даты рождения, клички питомцев, названия городов программа подбора проверяет первыми, потому что такие данные утекают вместе с остальной перепиской в соцсетях. По той же причине не подходят цельные слова: dragon2024 перебирается по словарю быстрее, чем случайный набор символов той же длины.

4. Один пароль — один сайт. Если пароль от почты и от форума на одном и том же наборе символов, утечка из слабо защищённого форума открывает доступ и к почте. Придумывать уникальный пароль для каждого сайта в голове невозможно, тут и пригодится генератор.

5. Или используйте фразу из случайных слов. Если пароль всё же нужно запомнить и ввести руками, скажем на телевизоре или консоли, берите 4–5 случайных не связанных по смыслу слов через дефис или точку. ocean.thunder.crystal.forest держит длину и легко набирается, в отличие от X7$mK9#pL2!.

Как сгенерировать надёжный пароль автоматически

Придумывать случайный набор символов вручную — плохая идея. Человеческий мозг не умеет быть по-настоящему случайным, и в «случайных» паролях, которые люди придумывают сами, статистически повторяются одни и те же паттерны. Эту работу стоит отдать генератору паролей. Он собирает пароль из настоящих случайных чисел (crypto.getRandomValues), а не из паттернов в голове, и делает это прямо в браузере, не отправляя ничего на сервер.

В инструменте три режима под разные задачи: случайный набор символов заданной длины, «запоминающийся» пароль по шаблону вроде word-word-number и парольная фраза из нескольких слов, тот самый вариант из шага 5, только вводить его руками не придётся.

Если генерируете пароль на чужом или общедоступном компьютере, открывайте генератор в режиме инкогнито, то есть в приватном окне браузера. Так вкладка не попадёт в историю, браузер не предложит сохранить «пароль» в автозаполнение, а после закрытия окна не останется следов сессии, которые сможет прочитать следующий, кто сядет за этот компьютер.

Если нужна именно программа для компьютера, а не браузерный инструмент

Иногда вместо вкладки в браузере хочется постоянную программу на компьютере, чтобы генерировать пароли без интернета или встроить их в привычный рабочий процесс. Для этого есть подборка десктопных генераторов паролей для Windows.

Как проверить пароль на надёжность

Прежде чем вводить пароль на новом сайте, стоит прикинуть, достаточно ли он длинный и разнообразный по символам. Это и есть основной критерий, который проверяют счётчики надёжности. У генератора паролей на PixelTool такой индикатор встроен, силу пароля он показывает сразу при генерации.

Есть и обратная сторона. Никогда не вводите свой настоящий действующий пароль в сторонний «проверятель надёжности», вы не знаете, что происходит с данными на той стороне. Проверяйте на сгенерированном примере или на пароле, который всё равно собираетесь сменить.

Где хранить готовые пароли

Уникальный длинный пароль для каждого сайта невозможно удержать в голове, да и не нужно. Для этого существуют менеджеры паролей. Они хранят пароли в зашифрованном виде и сами подставляют нужный при входе, так что запомнить достаточно одного мастер-пароля. Встроенные менеджеры есть в браузерах и телефонах, для большинства задач их хватает, специально устанавливать что-то отдельное необязательно.

Коротко

• Надёжность пароля определяет прежде всего длина. Замены вроде a → @ почти ничего не дают, а разнообразие символов помогает, но обязательным требованием уже не считается.
• Минимум 15 символов по актуальному стандарту NIST SP 800-63B, для важных аккаунтов от 20.
• Никаких личных данных и цельных слов из словаря, их подбирают в первую очередь.
• Свой пароль на каждый сайт: доверьте генерацию инструменту, а не памяти.
• Генерируйте на чужом компьютере в режиме инкогнито, храните готовые пароли в менеджере паролей.