安全なパスワードは何文字？2026年の目安と作り方
多くのサイトはいまだに「大文字・数字・記号を含めて」と求めます。少しは役に立ちますが、本当に大切なのはもっと単純で、長さとランダムさです。
パスワードの強さを決めるもの
パスワードのデータベースを盗んだ攻撃者は、1秒間に数十億通りを試せます。守ってくれるのは、ありうるパスワードの数の多さです。ランダムな文字が1文字増えるたびに、その数は文字の種類の数だけ掛け算で増えます。
強さはエントロピー（ビット）で表され、1ビット増えるごとに推測の手間は約2倍です。英大小文字・数字・記号を使ったランダムな12文字は約79ビット、16文字なら約105ビットです。
おすすめの長さ
| 用途 | 目安 |
|---|---|
| メール、銀行、パスワード管理アプリ | 16文字以上（または長いパスフレーズ） |
| 管理アプリに保存する一般のアカウント | ランダムな16〜20文字 |
| Wi-Fi | 16文字以上、紛らわしい文字を除く |
大事なのはランダムであること。「Tokyo2026!」は11文字ですが、攻撃ツールが最初のほうに試すパターンです。
安全に作る
パスワード生成は、ブラウザの暗号用乱数生成器（crypto.getRandomValues）を使い、パスワードはページの外に出ません。送信も保存もされません。テレビやルーターに手入力するなら「紛らわしい文字を除く」をオンにしましょう。
長さだけでは足りない
- 使い回さない。一つのサイトから漏れると、ほかのサイトでも試されます。
- パスワード管理アプリを使えば、20文字でも手間はかかりません。
- メール、SNS、銀行では二段階認証を有効にしましょう。