安全なパスワードの作り方と管理のコツ
パスワードの安全性は「複雑さ」より「長さ」と「使い回さないこと」で決まります。 破られにくいパスワードの条件と、無理なく管理する方法を順番に説明します。
強いパスワードの条件
- 長さが12文字以上：総当たり攻撃にかかる時間は文字数が増えるほど急激に伸びます。10文字より14文字のほうが桁違いに安全です。
- 推測できる要素を含まない：名前、誕生日、電話番号、
password、123456、キーボードの並び（qwerty）は最初に試されます。 - 辞書に載っている単語そのものを避ける：単語1つだけは弱い。複数の無関係な単語をつなげます。
- サービスごとに違うものにする：これが最重要です（次項）。
記号や数字を混ぜること自体は有効ですが、Password1! のような「単語＋数字＋記号」の
定番パターンは攻撃側も想定済みです。混ぜ方より長さを優先してください。
使い回しがいちばん危険な理由
どこか1つのサービスから流出したメールアドレスとパスワードの組み合わせは、 攻撃者が他のサービスのログイン画面で片っ端から試します（パスワードリスト攻撃）。 強いパスワードでも、複数サイトで同じものを使っていれば、1か所漏れた時点で全滅します。 「強くする」より先に「全サービスで別々にする」が効きます。
覚えやすく強い「パスフレーズ」
パスフレーズは、無関係な単語を4つほどつなげた合言葉です。例：らっこ-灯台-木曜-7個。
長いので総当たりに強く、意味のイメージで覚えられます。ポイントは次の3つです。
- 単語どうしに関連がないこと（「赤い-りんご-果物」はダメ）
- ことわざや歌詞など、既存のフレーズを使わないこと
- 区切り文字（
-や数字）を混ぜて全体で16文字以上にすること
機械的にランダムな文字列がよければ、 パスワード生成で長さと文字種を指定してまとめて作れます。 生成はすべてブラウザ内で行われ、作った文字列がどこかに送信されることはありません。
現実的な管理方法
- パスワード管理ツールを使う：ブラウザ内蔵の保存機能や専用アプリに、 サービスごとのランダムなパスワードを生成・保存させます。覚えるのは管理ツールのマスターパスワード1つだけです。
- マスターパスワードだけは長いパスフレーズにする：ここが全体の要なので、20文字前後を目安に。
- 重要なアカウントは二段階認証（2FA）を有効にする：メール、ネット銀行、SNSなど。 パスワードが漏れても、スマホの確認コードがないとログインできなくなります。
- 流出チェックを時々見る：自分のメールアドレスが過去の漏洩に含まれていないか調べられるサービスがあります。 該当したらそのサイトのパスワードを最優先で変更します。
やらなくていいこと
- 定期的な変更の強制：以前は推奨されていましたが、現在の指針では 「漏洩の兆候がない限り、強いパスワードを頻繁に変える必要はない」とされています。 変更を強いると、かえって弱く・似たものになりがちです。
- 紙に貼って画面の近くに置く：家族以外の出入りがある場所では避けます。手元のメモ帳にしまう程度なら現実的な選択です。
まとめ
- 安全性は「長さ」と「使い回さないこと」で決まる。複雑さは二の次。
- 覚える用はパスフレーズ、保存できるものは管理ツール＋ランダム生成。
- 重要アカウントは二段階認証を必ず有効にする。
ランダムなパスワードは パスワード生成 で作れます。 作った値をQRコードにして別端末へ渡したいときは QRコード作成 もどうぞ。