当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
パスワードが推測されたり、漏洩した情報を利用されたりすると、正規の利用者としてログインされるおそれがある。
多要素認証などを併用する場合でも、パスワード自体を堅牢に設定することが基本となるため、十分な強度を持つ文字列を使用し、その強度を維持して運用する。
堅牢なパスワードの条件
パスワードは、十分な長さがあり、他人から予測しにくく、サービスごとに異なる文字列を使用する。
大文字・小文字・数字・記号を組み合わせていても、人が考えた規則性のある文字列は推測されやすいので、次のようなパスワードは避ける。
Tokyo2026!
Company123!
Passw0rd
会社名、氏名、生年月日、電話番号、サービス名などから作った文字列や、一般的な単語に数字や記号を加えただけのものも使用しない。
一方、ランダムに生成された次のような文字列は規則性がないため推測される余地はまず無い。
v7#Qm2!xP9@kL4rT8$Nf
パスワードは長いほど総当たりによる解析が困難になる。現在では15〜16文字以上を基準とするガイドラインもあり、サービス側が対応している範囲で十分な長さを確保する。
パスワードをランダムに生成する
堅牢なパスワードは、自分で考えて頭で記憶するのではなく、パスワードジェネレータを利用してランダムに生成しパスワードマネージャーに保管する。
パスワードマネージャには、パスワードの保存だけでなく生成機能も用意されている。専用サービスに限らず、OSやブラウザに標準搭載された無料の機能からでも良いので、まずはパスワードマネージャを利用し、生成した文字列を保存する運用へ移行する。
サービス側で使用できる文字数や記号に制限がある場合は、その条件に合わせて生成する。設定可能であれば必要以上に短くせず、十分な長さを確保する。
パスワードを使い回さない
一つのサービスからメールアドレスとパスワードが漏洩すると、その組み合わせを別のサービスへのログインに試す攻撃に利用されることがある。
サービスごとに異なるランダムなパスワードを設定しておけば、一つのパスワードが漏洩しても、そのまま他のサービスへのログインには利用できない。
パスワードマネージャを利用すれば、それぞれの文字列を自分で記憶することなく、サービスごとに異なるパスワードを維持できる。
パスワードを変更するタイミング
漏洩が確認された場合だけでなく、フィッシングサイトへ入力した、不審なログインがあった、第三者へパスワードを知らせたなど、漏洩が疑われる場合も速やかに変更する。
一定期間ごとの変更を利用者へ一律に強制すると、覚えやすい文字列への変更や、末尾の数字だけを変えるような規則的な変更を招くことがある。このため、現在では理由のない定期変更を一律に求める運用は推奨されていない。
一方、パスワードマネージャで新しいランダムな文字列を生成・保存できる場合は、変更によって強度が低下する懸念は小さい。情報が漏洩してから発覚・公表されるまでに時間差が生じる場合もあるため、必要に応じて自発的に変更することまで避ける必要はない。
変更する場合は、以前のパスワードの一部だけを変えて再利用せず、同等以上の強度を持つ新しいランダムな文字列へ置き換える。
他の認証対策との併用
パスワードを堅牢にしても、フィッシングなどによって文字列そのものを取得されれば、不正ログインに利用される可能性がある。
パスワードだけに依存せず、利用できるサービスではMFAなどの認証対策も併用する。