文 ハル · 更新日 · 2026-09-07
パスワードの作り方｜覚えられて破られにくい形
パスワードを推測しにくくするものは、実のところ長さだけです。人が覚えている規則のほとんどは別のことを言っています。大文字小文字、記号一つ、末尾の数字——ああいう条件があるのは、登録画面が機械的に確かめやすいからであって、そこに難しさがあるからではありません。
計算は身も蓋もありません。一文字増えるごとに、使っている文字の種類の分だけ手間が掛け算されます。小文字を四文字足せば約四十五万倍です。a をアットマークに替えるのは、せいぜい二倍——その置き換えは、どの推測プログラムも最初に試す規則の一つだからです。
ここから先は、実際に覚えられる形の作り方と、自分の情報のうち何を外すべきかと、考え出さなければならないパスワードが思ったよりずっと少ない理由です。
効くのは長さで、残りは端数
小文字だけの十二文字は、記号を全部使った八文字より推測しにくいです。意外に思われますが、僅差ですらありません。長いほうが千倍単位で勝ちます。
助言は退屈になります。十六文字以上まで伸ばせば、ほかの問いはたいてい意味を失います。単語をつないだ形なら苦もなくそこへ届く——それがこの形を勧める理由の全部です。
このサイトの強度チェッカーは同じ計算を逆から見せます。あと一文字でどれだけ時間が伸びるかを数字で出し、その数字はたいてい議論を終わらせるくらい大きいです。
使える二つの方法と、それぞれの落とし穴
一つ目は、無関係な単語を四つか五つ、区切り記号でつなぐ形です。効いているのは「無関係」のほうです。りんご・ばなな・みかん・ぶどうは一つの分類で、分類を知っている推測プログラムは探す範囲がぐっと狭くなります。生活の別々の隅から単語を拾い、文章にしようとしないでください。
二つ目は、自分しか言わない一文の各単語の頭文字を並べる形です。家族が言い間違えたままの歌詞、覚えてしまった低評価のレビューの一文、同僚の妙な一言。頭文字を取って句読点を残せば、思い出すのではなく組み立て直せる密な文字列になります。
一つ目は単語が同じ主題から出ると崩れます。二つ目は文が有名だと崩れます——引用句はすでに一覧に載っています。それ以外なら両方とも十分で、どちらも習慣で足しがちな置き換えを必要としません。
自分の情報は入れない
他人が十分で調べられることは、どれだけ個人的に感じても無作為ではありません。名前、誕生日、子どもの名前、結婚した年、応援している球団、写真を上げている犬——全部同じ分類で、狙った推測はそこから始まります。
厄介なのは、そういう情報ほど覚えやすく感じることです。だからいちばん大事な口座にこそ使われます。ある言葉が自分の人生について何かを意味しているなら、それは日記に書くものであってパスワードに入れるものではありません。
使える試し方があります。公開している投稿を数分さかのぼれば誰かが組み立て直せますか。できるなら替えてください。大事な口座から先に替えてください。
使い回すと強さが消える
見事なパスワード一つを十か所で使うのは弱い配置です。そのうち一か所が漏れた瞬間、強さは意味を失うからです。攻撃側は漏れた組み合わせをほかのサービスへ自動で当てていきます。ふつうの口座が落ちる最も多い経路がこれです。
サイトごとに少し変える方法があまり効かないのも同じ理由です。末尾にサイト名を足すと規則ができ、漏れた集合の中で規則を見つけて広げるのは造作もありません。
目標は「すごいパスワードを一つ」ではありません。口座ごとに違うパスワード——別の問題であり、解き方も別です。
手で考えるのは三つか四つでいい
ほとんどのパスワードは長く、無作為で、覚えられないものでかまいません。管理ソフトが代わりに打つからです。本当に覚えなければならないのは、残り全部を守る数個だけ——管理ソフト自身のパスワード、端末の解錠、そしてほかの全部を再設定できるメールの口座です。
その三つを前の節の方法で作り、それぞれ別のものにして、守っている管理ソフトの中には入れないでください。あとは生成して忘れてかまいません。
作業量が変わるのはここです。覚えられるパスワードを四十個考えるのは無理で、三つ考えるのは午後一回分です。
定期的に変えるのは古い助言
九十日ごとの強制変更は長く標準でしたが、元々それを勧めていた側——多くの職場規則が写した米国の標準化機関、NIST を含みます——が撤回しました。現行版の SP 800-63B-4 は、定期的な変更を求めないこと、そして同じ理由で文字種の組み合わせ規則も避けることを明記しています。パスワードが悪くなったからです。人は末尾の数字を一つ回すだけになり、その規則性は置き換えられた元のパスワードより読みやすかったのです。
変えるのは理由があるときです。サービスが漏洩を告知した、身に覚えのないログインに気づいた、いま怪しいと思うページに入力してしまった、誰かに教えた。その瞬間であって、暦の上ではありません。
一つだけ残る例外は、何年も前に使い回したまま直していない口座です。それはどんな方針とも関係なく期限切れです。
出典 NIST SP 800-63B（Digital Identity Guidelines）
よくある質問
単語をつないだ形は、短くて複雑なパスワードより本当に安全ですか。
はい、しかも僅差ではありません。無関係な単語四つは打つ手間が増えるだけで、推測の手間は単語ごとに膨らみます。記号を詰めた短いパスワードは、記号を予期しているプログラムに解かれます。短いほうが勝つのは、サイトが文字数に上限を設けている場合だけです。登録時に見ておく価値があります。
パスワード管理ソフトは必ず使わないといけませんか。
必ずではありませんが、使わない場合は無関係なパスワードを何十個も覚えることになります。誰にもできないので、結局は使い回しになります。入れたくないなら、端末とは別の物理的に安全な場所に紙で控えるのが次善です。流行らない助言ですが、使い回しよりはるかにましです。
管理ソフトが作るパスワードは自分で考えたものより良いですか。
記憶で打たなければならない三つ四つを除けば、良いです。生成器は構造のまったくない文字列を作りますが、それは人間が安定して作れないものです。手作りは、選べない口座のために取っておいてください。
強度チェッカーにパスワードを入れても安全ですか。
そのページ次第なので、正直な答えは「本物ではなく同じ形のものを入れる」です。ここのものはブラウザーの中で計算し何も送りませんし、通信タブで自分で確かめられます。ただしその習慣はどこでも保っておく価値があります。
下にある秘密の質問はどうすればいいですか。
たいてい口座のいちばん弱い部分です。本当の答えは推測でき、しばしば公開されているからです。追加のパスワードとして扱ってください——無作為な文字を入れ、その文字をパスワードと一緒に保管し、正直に答えないことです。
自分のパスワードがすでに漏れているか、どう知ればいいですか。
多くの管理ソフトと一部のブラウザーが既知の流出一覧と照合します。すでにパスワードを預けている先なので、そこでやるのが筋です。私たちがその照合を提供しないのは意図的で、関わらせる必要のないサーバーへ何かを送ることになるからです。