安全なパスワードの作り方｜長さ・文字種の考え方と管理のコツ
「記号を混ぜれば安全」と思われがちですが、パスワードの強さを決める最大の要素は文字種ではなく長さです。組み合わせ数の実際、避けるべき作り方、そして作ったあとの管理方法までをまとめます。
強さを決めるのは文字種より「長さ」
総当たり攻撃で試される組み合わせの数は「文字種の数 の 文字数乗」です。文字種を増やすと底が大きくなりますが、長さを増やすと指数が大きくなります。指数のほうが効き方が圧倒的に強い、というのがポイントです。
| 文字の種類 | 8文字 | 12文字 | 16文字 |
|---|---|---|---|
| 英小文字のみ（26種） | 約 2×10^11 | 約 9×10^16 | 約 4×10^22 |
| 英大小＋数字（62種） | 約 2×10^14 | 約 3×10^21 | 約 5×10^28 |
| 英大小＋数字＋記号（94種） | 約 6×10^15 | 約 5×10^23 | 約 4×10^31 |
表を横に見ると、8文字から12文字に伸ばすだけで組み合わせ数が7桁前後増えることが分かります。一方、縦に見た「記号を足す」効果は2桁程度です。記号を足して覚えにくくするより、4文字伸ばすほうが効率が良いということになります。
避けるべきパスワードの作り方
攻撃側は完全なランダム総当たりだけを行うわけではありません。人間が作りがちなパターンを先に試すため、以下のような作り方は長さのわりに弱くなります。
- 辞書に載っている単語をそのまま使う（Password、baseball など）
- 文字を記号に置き換えただけの変形（p@ssw0rd など）。この置換ルールは攻撃ツールに組み込み済みです
- 誕生日、電話番号、社名、ペットの名前などSNSから推測できる情報
- キーボードの並び（qwerty、1qaz2wsx など）
- サービス名を末尾に付けただけの使い回し（同じ土台 + amazon / + google など）
- 末尾の数字だけを変える定期変更（Spring2025! → Summer2025!）
特に危険なのは最後の2つ、つまり「使い回し」です。どこか1つのサービスから漏れたパスワードを、他のサービスで順に試す攻撃（パスワードリスト攻撃）が実際に行われています。パスワード自体がどれだけ強くても、使い回していれば一箇所の漏洩で連鎖的に破られます。
用途別のおすすめ設定
| 用途 | 長さの目安 | 文字種 | 備考 |
|---|---|---|---|
| メール・クラウド・金融 | 16〜20文字 | 英大小＋数字＋記号 | 最優先で二要素認証も設定 |
| 一般的なWebサービス | 12〜16文字 | 英大小＋数字 | 記号を弾く仕様のサイトも多い |
| 記号が使えないサイト | 16文字以上 | 英大小＋数字 | 文字種が減る分、長さで補う |
| PIN・暗証番号 | 6桁以上 | 数字のみ | 誕生日や連番は避ける |
| APIキー・トークン用途 | 32文字 | HEX（0-9a-f） | システム側の仕様に合わせる |
「記号が使えない」「16文字までしか入らない」といった制限は今も珍しくありません。文字種が制限されたときは、使える範囲で長さを最大にするのが基本方針です。
自分で考えず、生成してしまう
人間が考えたパスワードは、本人が思うほどランダムではありません。母音と子音を交互に置く、覚えやすい語呂にする、といった無意識の癖が入るためです。強度を確保したいなら、生成ツールに任せて記憶は管理アプリに預けるのが現実的です。
- 1
用途に合ったプリセットを選ぶ
「強力」「英数字」「PIN」「HEX」など、登録先の仕様に合うものを選びます。記号NGのサイトなら英数字プリセットが確実です。
- 2
長さを調整する
サイトの上限まで伸ばすのが基本です。上限がなければ16〜20文字を目安にします。
- 3
候補をまとめて生成して1つ選ぶ
複数の候補から選ぶと、紛らわしい文字（Il1、O0）が少ないものを避けて選べます。
- 4
パスワード管理アプリに保存する
生成した直後に保存するのが鉄則です。ブラウザ内蔵の保存機能でも、専用の管理アプリでも構いません。「あとで覚える」は失敗します。
作ったあとの管理と二要素認証
強いパスワードを作っても、管理方法が弱ければ意味がありません。運用面では次の3点を押さえておけば十分です。
- サービスごとに違うパスワードを使う。これが最も効果の大きい対策です
- パスワード管理アプリを使い、マスターパスワードだけを記憶する
- 重要なアカウントには二要素認証（認証アプリまたはパスキー）を設定する
なお「定期的な変更」は、かつて広く推奨されていましたが、現在は主要なガイドラインでも積極的には推奨されていません。定期変更を強制すると、末尾の数字だけを変えるような弱いパターンに流れやすいためです。変更が必要なのは、漏洩の兆候があったときと、使い回していたパスワードを整理するときです。
よくある質問
- パスワードは何文字にすればよいですか？
- 一般的なサービスでは12文字以上、メールやクラウドストレージ、金融系など重要なアカウントでは16文字以上を目安にしてください。記号が使えないサイトでは、その分長さを伸ばして補います。
- 記号を混ぜれば短くても大丈夫ですか？
- おすすめしません。記号を加えて文字種を62種から94種に増やす効果は、組み合わせ数にして2桁程度です。一方、8文字を12文字に伸ばすと7桁前後増えます。長さを優先するほうが効率的です。
- パスワードを定期的に変更する必要はありますか？
- 漏洩の兆候がない限り、定期変更は必須ではありません。強制的な定期変更はかえって単純なパターンを招くため、現在の主要なガイドラインでも推奨されていません。それより、使い回しをやめることのほうが重要です。
- 生成したパスワードはどう保存すればよいですか？
- パスワード管理アプリ、またはブラウザの保存機能に登録するのが現実的です。生成した直後に保存し、紙やテキストファイルに平文で残さないようにしてください。
この記事で紹介したツール
あわせて読みたい
パスワードの使い回しはなぜ危険？｜被害の広がり方と対策の優先順位
パスワードを使い回していると、1つのサービスから漏れただけで他のアカウントまで芋づる式に乗っ取られます。攻撃がどう成立するのか、どのアカウントから直すべきか、そして全部を一度に変えなくても被害を止められる現実的な手順を整理しました。
記事を読む →回文の作り方｜逆さ読みで言葉遊びを楽しむコツ
「上から読んでも下から読んでも同じ」になる回文は、ひらめきだけで作るものではありません。かなの数え方、真ん中から組み立てるコツ、濁点や小書き文字の扱いを押さえると、自力で作れる確率がぐっと上がります。逆さ読みツールで確認しながら作る手順とあわせて解説します。
記事を読む →画像の容量を減らす方法｜アップロード制限に引っかかるときの対処
「ファイルサイズが大きすぎます」で提出できない、メールに添付できない。そんなときに効くのは、形式の変更と品質設定の2つです。どちらをどれだけ下げれば何MBになるのか、見た目を落とさずに減らす順番を、ブラウザだけで完結する手順とあわせて解説します。
記事を読む →