パスワードの決め方 2026: 長さと使い回しとパスキー
複雑さの強制と定期変更は推奨されなくなりました。2026年時点のパスワードの決め方を、長さを優先する理由、使い回しが最大の弱点である理由、パスワードマネージャーとパスキーの使い方、自分で預かる側の保存方法に分けて説明します。
2026年の基準
パスワードの常識は変わりました。「8文字以上で大文字・小文字・数字・記号を混ぜ、90日ごとに変える」という規則は、米国 NIST の SP 800-63B が複雑さの強制と定期変更を推奨しない立場を明確にして以降、企業の社内規程からも消えつつあります。理由は単純で、複雑さを強制すると人は「Password1!」のような予測しやすい形に寄り、定期変更を強制すると末尾の数字を1つ増やすだけになるからです。
今の基準は3つにまとまります。長さを優先すること、サイトごとに別のものを使うこと、人間が覚える前提を捨てることです。
長さが最優先
攻撃者が試すのは「あらゆる組み合わせ」ではなく、漏えいした数十億件のパスワードとその変形です。辞書にある語を組み合わせたものや、キーボードの並びは、文字種を混ぜても短時間で当たります。
逆に、ランダムな文字列なら長さがそのまま強さになります。英数字と記号から無作為に選んだ12文字で、GPU による総当たりに対して現実的な時間では破れない水準に達し、16文字あれば十分な余裕があります。覚える必要があるもの(パソコンのログイン、パスワードマネージャーのマスターパスワード)は、無関係な単語を4〜5個つなげたパスフレーズにすると、長さを確保しながら記憶できます。
作ったパスワードの強さはパスワード強度チェックで確かめられます。このツールは入力をサーバーに送らず、ブラウザ内で推定解読時間を計算します。
使い回しが最大の弱点
どれほど強いパスワードでも、あるサービスから漏れれば、攻撃者はそれを他のサービスで試します(パスワードリスト攻撃)。不正ログイン被害の多くはこの手口で、パスワードが「弱かった」のではなく「同じだった」ことが原因です。したがって、サービスごとに別のパスワードを使うことは、強さより優先度が高い対策です。
人間が数十から数百の別々のパスワードを覚えることはできません。ここでパスワードマネージャーが必要になります。
パスワードマネージャー
パスワードマネージャーは、サイトごとにパスワード生成で作るようなランダムな文字列を保存し、ログイン時に自動入力するソフトウェアです。ブラウザや OS に組み込まれたもの(Google パスワードマネージャー、iCloud キーチェーン)と独立したアプリがあり、どれを選んでも「使い回しをやめる」目的は達成できます。
自動入力には副次的な効果があります。偽サイト(フィッシング)ではドメインが一致しないため自動入力が働かず、「いつもは入るのに入らない」ことで気づけます。
マスターパスワードだけは覚える必要があり、上で述べたパスフレーズを使い、二要素認証を必ず有効にしてください。
パスキー
パスキーは、パスワードの代わりに公開鍵暗号で本人を確認する仕組み(FIDO2 / WebAuthn)で、Google、Apple、Microsoft のアカウントをはじめ、国内の銀行や通販サイトでも対応が広がっています。端末に保存された秘密鍵とサービス側の公開鍵が対になっており、サービス側から漏れるのは公開鍵だけで、それでログインはできません。ドメインに結び付いているため、フィッシングサイトでは使えません。
対応しているサービスでは、パスワードよりパスキーを優先して設定してください。パスワードが残っている間は、そのパスワードも長くランダムなものにしておきます。
預かる側の責任
自分でサービスを運営してパスワードを預かる場合は、平文でも、MD5 や SHA-256 の単純なハッシュでも保存してはいけません。漏えい時に総当たりで元に戻せるためです。bcrypt、scrypt、Argon2 のような、意図的に計算を遅くした専用のアルゴリズムで、ソルトを付けて保存します。ハッシュ値計算で MD5 と SHA-256 が一瞬で計算できることを見ると、単純なハッシュが保存に向かない理由が実感できます。
確認に使えるツール
- パスワード生成: 長さと文字種を指定してランダムなパスワードを作ります
- パスワード強度チェック: 推定解読時間と弱いパターンを判定します
- ハッシュ値計算: ハッシュ関数の動作を確認します