安全なパスワードの作り方｜長さ・文字種の考え方と管理のコツ
「記号を混ぜれば安全」と思われがちですが、パスワードの強さを決める最大の要素は文字種ではなく長さです。組み合わせ数の実際、避けるべき作り方、そして作ったあとの管理方法までをまとめます。
強さを決めるのは文字種より「長さ」
総当たり攻撃で試される組み合わせの数は「文字種の数 の 文字数乗」です。文字種を増やすと底が大きくなりますが、長さを増やすと指数が大きくなります。指数のほうが効き方が圧倒的に強い、というのがポイントです。
| 文字の種類 | 8文字 | 12文字 | 16文字 |
|---|---|---|---|
| 英小文字のみ（26種） | 約 2×10^11 | 約 9×10^16 | 約 4×10^22 |
| 英大小＋数字（62種） | 約 2×10^14 | 約 3×10^21 | 約 5×10^28 |
| 英大小＋数字＋記号（94種） | 約 6×10^15 | 約 5×10^23 | 約 4×10^31 |
表を横に見ると、8文字から12文字に伸ばすだけで組み合わせ数が7桁前後増えることが分かります。一方、縦に見た「記号を足す」効果は2桁程度です。記号を足して覚えにくくするより、4文字伸ばすほうが効率が良いということになります。
避けるべきパスワードの作り方
攻撃側は完全なランダム総当たりだけを行うわけではありません。人間が作りがちなパターンを先に試すため、以下のような作り方は長さのわりに弱くなります。
- 辞書に載っている単語をそのまま使う（Password、baseball など）
- 文字を記号に置き換えただけの変形（p@ssw0rd など）。この置換ルールは攻撃ツールに組み込み済みです
- 誕生日、電話番号、社名、ペットの名前などSNSから推測できる情報
- キーボードの並び（qwerty、1qaz2wsx など）
- サービス名を末尾に付けただけの使い回し（同じ土台 + amazon / + google など）
- 末尾の数字だけを変える定期変更（Spring2025! → Summer2025!）
特に危険なのは最後の2つ、つまり「使い回し」です。どこか1つのサービスから漏れたパスワードを、他のサービスで順に試す攻撃（パスワードリスト攻撃）が実際に行われています。パスワード自体がどれだけ強くても、使い回していれば一箇所の漏洩で連鎖的に破られます。
用途別のおすすめ設定
| 用途 | 長さの目安 | 文字種 | 備考 |
|---|---|---|---|
| メール・クラウド・金融 | 16〜20文字 | 英大小＋数字＋記号 | 最優先で二要素認証も設定 |
| 一般的なWebサービス | 12〜16文字 | 英大小＋数字 | 記号を弾く仕様のサイトも多い |
| 記号が使えないサイト | 16文字以上 | 英大小＋数字 | 文字種が減る分、長さで補う |
| PIN・暗証番号 | 6桁以上 | 数字のみ | 誕生日や連番は避ける |
| APIキー・トークン用途 | 32文字 | HEX（0-9a-f） | システム側の仕様に合わせる |
「記号が使えない」「16文字までしか入らない」といった制限は今も珍しくありません。文字種が制限されたときは、使える範囲で長さを最大にするのが基本方針です。
自分で考えず、生成してしまう
人間が考えたパスワードは、本人が思うほどランダムではありません。母音と子音を交互に置く、覚えやすい語呂にする、といった無意識の癖が入るためです。強度を確保したいなら、生成ツールに任せて記憶は管理アプリに預けるのが現実的です。
- 1
用途に合ったプリセットを選ぶ
「強力」「英数字」「PIN」「HEX」など、登録先の仕様に合うものを選びます。記号NGのサイトなら英数字プリセットが確実です。
- 2
長さを調整する
サイトの上限まで伸ばすのが基本です。上限がなければ16〜20文字を目安にします。
- 3
候補をまとめて生成して1つ選ぶ
複数の候補から選ぶと、紛らわしい文字（Il1、O0）が少ないものを避けて選べます。
- 4
パスワード管理アプリに保存する
生成した直後に保存するのが鉄則です。ブラウザ内蔵の保存機能でも、専用の管理アプリでも構いません。「あとで覚える」は失敗します。
作ったあとの管理と二要素認証
強いパスワードを作っても、管理方法が弱ければ意味がありません。運用面では次の3点を押さえておけば十分です。
- サービスごとに違うパスワードを使う。これが最も効果の大きい対策です
- パスワード管理アプリを使い、マスターパスワードだけを記憶する
- 重要なアカウントには二要素認証（認証アプリまたはパスキー）を設定する
なお「定期的な変更」は、かつて広く推奨されていましたが、現在は主要なガイドラインでも積極的には推奨されていません。定期変更を強制すると、末尾の数字だけを変えるような弱いパターンに流れやすいためです。変更が必要なのは、漏洩の兆候があったときと、使い回していたパスワードを整理するときです。
よくある質問
- パスワードは何文字にすればよいですか？
- 一般的なサービスでは12文字以上、メールやクラウドストレージ、金融系など重要なアカウントでは16文字以上を目安にしてください。記号が使えないサイトでは、その分長さを伸ばして補います。
- 記号を混ぜれば短くても大丈夫ですか？
- おすすめしません。記号を加えて文字種を62種から94種に増やす効果は、組み合わせ数にして2桁程度です。一方、8文字を12文字に伸ばすと7桁前後増えます。長さを優先するほうが効率的です。
- パスワードを定期的に変更する必要はありますか？
- 漏洩の兆候がない限り、定期変更は必須ではありません。強制的な定期変更はかえって単純なパターンを招くため、現在の主要なガイドラインでも推奨されていません。それより、使い回しをやめることのほうが重要です。
- 生成したパスワードはどう保存すればよいですか？
- パスワード管理アプリ、またはブラウザの保存機能に登録するのが現実的です。生成した直後に保存し、紙やテキストファイルに平文で残さないようにしてください。
この記事で紹介したツール
あわせて読みたい
パスワードの安全な共有方法｜メール・チャットを避ける理由と代替手段
業務の引き継ぎや家族での契約管理など、パスワードを人に渡す場面は避けられません。問題は、渡し方の多くが「渡したあともずっと残る」形になっていることです。この記事では、そもそも共有せずに済ませる方法、やむを得ず渡すときの手段の比較、渡したあとの後始末までを順にまとめます。
記事を読む →パスキーとは｜パスワードとの違いと設定・使い方の手順
ログイン画面で「パスキーを設定しますか」と聞かれて、そのまま閉じた人は多いはずです。この記事では、パスキーがパスワードと何が違うのか、なぜフィッシングに強いのか、設定手順と機種変更時の注意点までをまとめます。
記事を読む →パスフレーズとは｜覚えられて破られにくいパスワードの作り方
「英大小文字と数字と記号を混ぜて8文字以上」で作ったパスワードは、覚えにくいわりに強くありません。強さを決めているのは文字種の多さより長さです。この記事では、単語を並べて長さを稼ぐパスフレーズの作り方と、ランダム文字列と使い分ける基準をまとめます。
記事を読む →