パスワードはどれくらいの長さにすべき？
長さはパスワードの最も重要な性質です。1文字追加するごとに可能な組み合わせの数は倍々に増えます。下の表は、それが解読時間に実際どう影響するかを示しています。
長さ×文字種ごとの解読時間
| 長さ | a–z (26) | a–z, A–Z (52) | + 0–9 (62) | + !@#… (95) |
|---|---|---|---|---|
| 6 | 即座に | 即座に | 即座に | 即座に |
| 8 | 即座に | 27 秒 | 109 秒 | 55 分 |
| 10 | 71 秒 | 20 時間 | 5 日 | 346 日 |
| 12 | 13 時間 | 6 年 | 51 年 | 8,561 年 |
| 14 | 373 日 | 16,746 年 | 196,494 年 | 7727万 年 |
| 16 | 691 年 | 4528万 年 | 8億 年 | 6973億 年 |
| 20 | 3億 年 | 331兆 年 | 1京 年 | 5680京 年 |
流出したパスワードハッシュへのオフライン攻撃（毎秒約1兆＝10¹²回試行）の平均時間。文字はランダムに選ばれた前提です。人が考えたパスワードははるかに速く破られます。
長さが複雑さに勝る理由
記号や数字は各位置の推測をわずかに難しくするだけですが、文字を1つ追加するとパスワード全体の難易度が掛け算で増えます。そのため、単純な12文字は「複雑な」8文字に勝ります。しかも長いパスワードは短くて暗号めいたものより覚えやすいのです。
推奨値
日常のアカウントにはフル文字種で12文字以上、メールや支払い情報を扱うものには16文字以上、パスワードマネージャーのマスターパスワードには20文字以上（または複数のランダムな単語のパスフレーズ）を使いましょう。メールは特に重要です。受信箱を握られると、他のほとんどのパスワードをリセットされてしまいます。
サービスの最低文字数は推奨値ではない
多くのサービスは今も6〜8文字を受け付けます。それはパスワードが拒否される下限であって、安全だという意味ではありません。表が示すとおり、8文字のパスワードは記号をいくつ含んでいてもオフライン攻撃にすぐ屈します。
セキュリティガイド
パスワードはどれくらいの長さにすべき？
パスワードの長さが解読時間に与える影響 — 長さと文字種ごとの実際の数字、アカウント・メール・マスターパスワードの推奨値。
ありがちなパスワードの間違い
攻撃者が毎日悪用する6つのパスワードの間違い — 使い回し、個人情報、キーボードパターン、l33t置換、短いパスワード、危険な保管 — と、代わりにすべきこと。
二要素認証（2FA）とは何か、なぜ重要か
二要素認証の仕組み、選ぶべき方法 — セキュリティキー、認証アプリ、SMS — と、主要サービスの対応状況。
パスワードマネージャーは必要か？
すべてのアカウントにユニークでランダムなパスワードを持つ唯一現実的な方法がパスワードマネージャーである理由と、保管庫自体の守り方。
データ漏洩：サービスがハッキングされたとき、あなたのパスワードはどうなるか
侵害・スクレイピング・クレデンシャルスタッフィングの違い、それぞれがパスワードに意味すること、大手サービスの実例、そして起きたときの対処法。