Jak stworzyć silne hasło, które łatwo zapamiętać?

Najprościej stworzyć silne hasło, łącząc 4–5 losowych, niezwiązanych słów w krótką scenę, którą łatwo sobie wyobrazić. Celuj w co najmniej 14–15 znaków, nie używaj tego samego hasła w kilku serwisach i nie wzmacniaj go przewidywalnym „123” ani „!”.

Jak stworzyć silne hasło w 4 krokach

Metoda hasła-zdania działa bez konieczności zapamiętywania przypadkowego ciągu znaków. Wybierz 4–5 losowych, luźno powiązanych słów, a następnie połącz je w obraz lub absurdalną scenę, na przykład: „komoda telewizor rower kalafior”. To tylko przykład — nie używaj go jako własnego hasła, ponieważ został opublikowany.

1. Wybierz słowa, których nie da się łatwo połączyć z tobą

Nie sięgaj po imię, nazwisko, nazwę firmy, miejscowość, datę urodzenia ani imiona bliskich. Lepsze będą słowa niezwiązane z twoim życiem i wybrane bez przewidywalnego schematu. Ich kolejność powinna tworzyć dla ciebie obraz, ale nie oczywistą informację, którą ktoś może znaleźć w mediach społecznościowych.

2. Sprawdź długość i zapisz hasło bez schematów

Praktyczne minimum według CERT Polska to 14 znaków. NIST SP 800-63B-4 z 2025 roku wymaga 15 znaków, gdy hasło jest jedynym czynnikiem uwierzytelniania. Cztery lub pięć słów zwykle ułatwia przekroczenie tego progu, ale policz znaki przed zapisaniem hasła w serwisie.

3. Nie stosuj przewidywalnych ozdobników

Zamiana litery „a” na „@”, dopisanie cyfry „1” albo wykrzyknika na końcu nie tworzy istotnie lepszego hasła. Takie schematy są przewidywalne. Jeżeli znak specjalny lub cyfra wynikają naturalnie z wybranej sceny, mogą pozostać, ale nie dodawaj ich automatycznie tylko dlatego, że formularz tego wymaga.

4. Użyj innego hasła dla każdego konta

Silne hasło traci wartość, gdy powtarzasz je w poczcie, banku i sklepie internetowym. Jedno konto powinno mieć jedno hasło. Dzięki temu wyciek danych z jednego serwisu nie daje automatycznie dostępu do pozostałych kont.

Wskazówki dotyczące tworzenia bezpiecznych haseł zebrano w Bazie wiedzy portalu gov.pl.

Dlaczego długość jest ważniejsza niż przewidywalna złożoność

W pytaniu „jakie powinno być hasło?” często pojawia się odpowiedź oparta na obowiązkowej wielkiej literze, cyfrze i znaku specjalnym. Aktualny NIST wskazuje inne podejście: system nie powinien wymagać określonej kombinacji klas znaków. Ważniejsze są długość, nieprzewidywalność i unikalność.

Dłuższe i nieprzewidywalne hasło-zdanie może być łatwiejsze do zapamiętania niż krótki ciąg ze sztucznie dodanymi znakami. NIST SP 800-63B-4 wskazuje minimum 15 znaków dla hasła używanego jako pojedynczy czynnik oraz 8 znaków, jeśli jest ono stosowane wyłącznie w uwierzytelnianiu wieloskładnikowym. CERT Polska zaleca co najmniej 14 znaków.

System powinien obsługiwać co najmniej 64 znaki. Powinien także przyjmować drukowalne znaki ASCII, spację oraz znaki Unicode; każdy punkt kodowy Unicode liczy się jako 1 znak. Hasło nie powinno być po cichu obcinane przez formularz ani ograniczane do kilku przewidywalnych symboli.

Źródło	Minimalna długość	Zalecana maksymalna obsługiwana długość	Znaki i reguły	Blokowanie prób / haseł
NIST SP 800-63B-4, 2025	15 znaków dla pojedynczego czynnika; 8 znaków przy użyciu wyłącznie w MFA	Co najmniej 64 znaki	Drukowalne ASCII, spacja i Unicode; bez obowiązkowych klas znaków	Lista haseł popularnych, przewidywalnych i skompromitowanych; co do zasady najwyżej 100 kolejnych nieudanych prób
CERT Polska, zalecenia zaktualizowane w 2025 roku	14 znaków	Co najmniej 64 znaki	Bez obowiązkowej cyfry, wielkiej litery ani znaku specjalnego; nie obcinać hasła	Blokować hasła słabe, popularne, ujawnione w wyciekach oraz przewidywalne człony; nie wymuszać okresowej zmiany

Wartości dotyczą haseł użytkowników, nie kodów PIN ani jednorazowych kodów; limit 100 prób jest górną granicą opisaną przez NIST, a administrator może ustawić niższy limit.

Jak uniknąć haseł łatwych do odgadnięcia

Bezpieczne hasło nie powinno pochodzić z listy haseł popularnych, przewidywalnych ani ujawnionych w wycieku. Odrzuć hasła popularne, przewidywalne lub ujawnione w wycieku. Dodanie „123” do znanego słowa nadal pozostawia przewidywalny wzór.

Nie kopiuj gotowych przykładów z artykułów, nawet jeśli wyglądają na losowe. Opublikowane hasło przestaje być tajne. Przykład „komoda telewizor rower kalafior” pokazuje metodę 4–5 słów, ale nie nadaje się do logowania.

NIST zaleca, aby system obsługiwał co najmniej 64 znaki i nie wymagał określonych klas znaków.

Unikalność i ochrona przed wyciekiem

Najlepsze hasło nie ochroni wszystkich kont, jeśli jest używane ponownie. Utwórz osobne hasło do poczty, bankowości, zakupów i każdej ważnej usługi. Poczta zasługuje na szczególną uwagę, ponieważ często służy do resetowania dostępu do innych kont.

Po stronie serwisu bezpieczne uwierzytelnianie powinno obejmować sprawdzenie całego nowego hasła na liście haseł powszechnie używanych, przewidywalnych lub skompromitowanych. NIST nie ogranicza tego sprawdzenia do fragmentu: system powinien porównać całą wartość i odrzucić dopasowanie.

Włączenie uwierzytelniania wieloskładnikowego dodaje drugi element ochrony, ale nie usprawiedliwia prostego hasła. NIST podaje 8 znaków jako minimum, gdy hasło jest używane wyłącznie w MFA, natomiast dla hasła będącego jedynym czynnikiem wskazuje 15 znaków. W praktyce dłuższe, unikalne hasło nadal jest rozsądniejszym wyborem.

Bezpieczeństwo kont zależy także od serwisu: użytkownik nie może samodzielnie zagwarantować blokowania prób, sprawdzania wycieków ani bezpiecznego przechowywania haseł po stronie operatora.

Czy zmieniać hasło co kilka miesięcy?

Nie ma potrzeby wymuszać ani wykonywać okresowej zmiany hasła wyłącznie dlatego, że minęło kilka miesięcy. NIST i CERT Polska zalecają zmianę po potwierdzonym lub podejrzewanym przejęciu hasła albo po wycieku. Nie należy wymuszać okresowej zmiany hasła bez potwierdzonego lub podejrzewanego przejęcia albo wycieku.

Zareaguj natychmiast, gdy otrzymasz powiadomienie o wycieku, zauważysz nieznane logowanie albo dowiesz się, że hasło było używane ponownie w innym serwisie. Nowe hasło powinno być całkowicie unikalne, a nie tylko zmodyfikowane o jeden znak.

Ochronę logowania uzupełnia ograniczanie prób. Według NIST weryfikator musi stosować taki mechanizm, a liczba kolejnych nieudanych prób dla jednego konta co do zasady nie może przekraczać 100. To górna granica, nie docelowa liczba prób — administrator może zastosować niższy limit.

Najczęstsze pytania

Ile znaków powinno mieć silne hasło?

Praktycznym minimum jest 14 znaków według aktualnych zaleceń CERT Polska. NIST SP 800-63B-4 wymaga 15 znaków dla hasła będącego jedynym czynnikiem logowania; im dłuższe hasło, tym lepiej, o ile nie jest przewidywalne.

Czy hasło musi zawierać znaki specjalne?

Nie. Aktualny NIST odradza wymaganie konkretnych klas znaków. Ważniejsze są długość, losowość i unikalność; nie dopisuj jednak przewidywalnego „!” tylko po to, by spełnić schemat.

Jak zapamiętać długie hasło?

Utwórz krótką scenę z 4–5 niezwiązanych słów. Obraz lub absurdalne skojarzenie ułatwia przypomnienie, ale opublikowanego przykładu nie wolno używać jako własnego hasła.

Jak często zmieniać hasło?

Nie trzeba zmieniać go według kalendarza. Zmień je natychmiast, gdy mogło zostać ujawnione, użyto go ponownie w innym serwisie albo pojawiło się powiadomienie o wycieku.

Przeczytaj też, co piszemy o wyborze serwera dla firmy oraz o wyborze laptopa do pracy.

Źródła

• Digital Identity Guidelines: Authentication and Authenticator Management, NIST SP 800-63B-4 — National Institute of Standards and Technology, 2025, § 3.1.1.1–3.2.2
• Rekomendacje techniczne CERT Polska dla systemów uwierzytelniania — CERT Polska, 2025, aktualizacja rekomendacji, minimalna długość 14 znaków
• Jak tworzyć bezpieczne hasła i chronić swoje konta — CERT Polska, 2025, metoda hasła-zdania i zasada unikalności
• Polityka haseł — CERT Polska, 2025, zalecenia dotyczące długości, bloklist i zmian haseł

Tekst został utworzony przy pomocy sztucznej inteligencji (modeli językowych).