Більшість порад про паролі, які ви чули за останні двадцять років, застаріли. Вимога міняти пароль щоквартально, обов'язкові спецсимволи, велика літера й цифра, усе це офіційно визнано неефективним. Інститут стандартів NIST, чиї рекомендації лежать в основі політик безпеки по всьому світу, переписав свої настанови. Нова редакція SP 800-63B прямо скасовує те, чого нас вчили роками.

Люди думають, що акаунти зламують підбором пароля, і тому намагаються придумати щось хитріше. Насправді основним способом захоплення акаунтів залишається credential stuffing. Схема виглядає так: зловмисники беруть пари логін-пароль, які витекли з одного зламаного сервісу, і автоматично пробують їх на сотнях інших сайтів. Ніхто нічого не підбирає, просто перевіряють, чи ви використали той самий пароль ще десь. Звідси випливає єдина найважливіша річ у всій темі. Не важливо, наскільки складний ваш пароль, якщо він однаковий на кількох сервісах. Один витік, і всі акаунти відкриті. Середня людина має понад сто онлайн-акаунтів. Запам'ятати унікальний надійний пароль для кожного фізично неможливо, і це не ваша особиста проблема, а недолік самої системи.

Довжина працює краще за складність

Стара порада вимагала великих літер, цифр і символів, через що люди створювали щось на кшталт P@ssw0rd! і вважали це безпечним. NIST скасував ці вимоги, визнавши, що правила складності призводять до передбачуваних шаблонів. Людина, від якої вимагають символ, ставить знак оклику в кінці. Людина, від якої вимагають цифру, дописує одиницю або рік народження. Логіка за новим підходом така: час на злам зростає експоненційно зі збільшенням довжини і лише лінійно зі збільшенням складності. Кожен доданий символ дає більше, ніж заміна літери на символ.

Тому фраза на кшталт «синій чайник впав з полиці» надійніша за P@ssw0rd! і при цьому легша для запам'ятовування. Актуальні орієнтири: мінімум 15 символів, якщо пароль є єдиним захистом акаунта, і від 8 символів, якщо додатково увімкнена двофакторна автентифікація. Для важливих акаунтів на кшталт пошти й банку варто брати 20 і більше.

Міняти пароль за розкладом більше не треба

NIST прямо зазначає, що паролі не слід змінювати за довільним графіком. Міняти їх потрібно лише тоді, коли є свідчення компрометації. Причина проста. Примусова зміна щокварталу призводить до того, що люди роблять мінімальні модифікації старого пароля, дописуючи цифру в кінець. Безпека від цього не зростає, а незручність зростає. Якщо ваш роботодавець досі вимагає міняти пароль кожні 90 днів, це застаріла політика.

Менеджер паролів вирішує основну проблему

Оскільки запам'ятати сотню унікальних паролів неможливо, потрібен інструмент, який робить це за вас. Менеджер паролів генерує випадкові паролі для кожного сайту, зберігає їх у зашифрованому сховищі й підставляє автоматично. Вам треба запам'ятати лише один майстер-пароль, і саме він має бути довгим. Впровадження менеджера паролів залишається найефективнішим одиничним покращенням, яке більшість людей може зробити для своєї безпеки. Типове заперечення звучить так: а якщо зламають сам менеджер? Ризик існує, але порівнювати треба з реальною альтернативою, а вона полягає в тому, що ви використовуєте три паролі на сто сайтів. Другий сценарій програє з великим відривом. Що точно не підходить для зберігання паролів: нотатки в телефоні без пароля, файл на робочому столі, папірець під клавіатурою, повідомлення самому собі в месенджері.

Passkeys, або життя без паролів

Технологія замінює пароль парою криптографічних ключів. Приватний ключ зберігається на вашому пристрої й ніколи його не залишає, а сервіс отримує лише публічний. Вхід підтверджується відбитком пальця, обличчям або PIN-кодом пристрою. Головна перевага полягає в тому, що красти нічого. Немає пароля, який може витекти при зламі сервісу. Немає пароля, який можна виманити фішинговою сторінкою, бо ключ прив'язаний до конкретного домену й на підробленому сайті просто не спрацює. Станом на 2026 рік технологію підтримують Google, Apple, Microsoft, GitHub, Amazon, PayPal і багато інших сервісів. Якщо сервіс пропонує таку опцію, вмикайте її, бо вона одночасно безпечніша й зручніша за пароль. Паролі поки що не зникли, бо підтримка є не всюди, тому менеджер паролів усе одно знадобиться.

Двофакторна автентифікація і чому не всі методи однакові

Другий фактор означає, що навіть з правильним паролем зловмисник не увійде без додаткового підтвердження. Вмикати його треба скрізь, де він є, але методи відрізняються за надійністю.

SMS-коди є найслабшим варіантом. Їх можна перехопити, а номер можна перевипустити через оператора за підробленими документами. При цьому SMS усе одно набагато краще, ніж нічого, тому якщо іншого варіанту немає, вмикайте його.

Застосунки-автентифікатори генерують коди локально на пристрої, без залучення мобільного оператора. Це помітно надійніше за SMS і доступно майже скрізь.

Апаратні ключі у вигляді USB-пристрою дають найвищий рівень захисту. Разом із passkeys вони єдині забезпечують справжню стійкість до фішингу, бо криптографічно прив'язані до конкретного сайту. Окремо варто пам'ятати про резервні коди. Сервіси видають їх при увімкненні двофакторної автентифікації, і зберігати їх треба поза телефоном, бо саме телефон ви можете втратити.

Пошта є ключем від усього

Про це рідко думають, але поштова скринька відкриває доступ до решти акаунтів через функцію відновлення пароля. Зловмисник, який отримав вашу пошту, послідовно скидає паролі до всіх сервісів, прив'язаних до неї. Соцмережі, банківські застосунки, робочі системи.

Тому пошта потребує найдовшого пароля, обов'язкової двофакторної автентифікації й регулярної перевірки списку активних сесій. Якщо ви бачите вхід із пристрою чи країни, яких не впізнаєте, завершуйте сесію й міняйте пароль.

Як дізнатися, чи ваші дані витекли

Існують сервіси, які перевіряють адресу пошти за базами відомих витоків. Найвідоміший з них Have I Been Pwned, і перевірка займає кілька секунд. Якщо ваша адреса знайшлася в базі, це означає, що пароль від того сервісу треба замінити скрізь, де ви його використовували. Багато менеджерів паролів роблять таку перевірку автоматично й попереджають, коли пароль потрапив у витік.

Якщо акаунт уже зламали

Спробуйте увійти й одразу змінити пароль. Якщо доступ уже втрачено, використовуйте функцію відновлення через прив'язану пошту або телефон. Після відновлення доступу перевірте налаштування, бо зловмисники зазвичай додають свою адресу для відновлення або переадресацію пошти. Ці зміни лишаються навіть після зміни пароля й дозволяють захопити акаунт повторно.

Завершіть усі активні сесії на всіх пристроях. Змініть паролі на інших сервісах, де використовувався той самий пароль. Попередьте контакти, бо зі зламаного акаунта зазвичай розсилають шахрайські повідомлення від вашого імені, і саме близькі люди стають наступними жертвами.

Якщо йдеться про фінансові втрати, звертайтеся до банку та кіберполіції. Детальніше про це в матеріалі про розпізнавання шахрайства.

Мінімальний план на сьогодні

Якщо робити все одразу немає сил, ось порядок за спаданням користі:

  1. Увімкнути двофакторну автентифікацію на пошті
  2. Поставити довгий унікальний пароль на пошту
  3. Встановити менеджер паролів
  4. Перевірити свою адресу на витоки
  5. Замінити паролі там, де вони повторюються
  6. Увімкнути passkeys на сервісах, де вони доступні
  7. Зберегти резервні коди в безпечному місці

Стара модель безпеки будувалася навколо складного пароля, який людина мала запам'ятати й регулярно міняти. Ця модель не працювала, бо суперечила тому, як влаштована пам'ять.

Довгі унікальні паролі генерує програма, людина запам'ятовує один майстер-пароль, а критичні акаунти додатково захищені другим фактором або взагалі не мають пароля завдяки passkeys. Унікальність важливіша за складність, а двофакторна автентифікація на пошті дає більше безпеки, ніж будь-які зусилля з придумування хитрих комбінацій.


Джерела: галузеві матеріали з безпеки автентифікації