パスワードを作るとき、自分の名前のうしろに「123」をつけたりしていませんか？ 記号をたくさん入れれば強くなる、と思っていませんか？
じつは、強いパスワードでいちばん大事なのは「長さ」です。この記事では、日本の総務省とアメリカのNIST（国立標準技術研究所）のガイドラインをもとに、強いパスワードの作り方と、長くても覚えやすい「合言葉」のコツをまとめます。
同じ内容を、YouTubeの動画でも紹介しています。
こんなパスワードはあぶない
- 名前・誕生日・電話番号など、自分に関係する情報
- IDと同じパスワード
- 「123456」「password」や、キーボードの並びの「qwerty」
- 辞書にある単語1つだけ
- 短すぎるもの
こういうパスワードは世界中でよく使われているので、悪い人はいちばん最初にためします。「名前＋123」のように、うしろに数字をつけるのも、よくある手です。
いちばん大事なのは「長さ」
記号を入れるのも役に立ちますが、それより効くのが長さです。1文字増えるたびに、組み合わせの数が何十倍にも増えます。
たとえば、数字4けたの暗証番号は1万通りしかありません。1万回ためせば開いてしまいます。短いパスワードは、どんなに工夫しても弱いのです。
何文字あればいい？ ガイドラインの目安
| 日本（総務省） | アメリカ（NIST） | |
|---|---|---|
| 長さ | 最低でも10文字以上 | パスワードだけでログインするなら15文字以上（2段階認証と組み合わせるなら8文字以上） |
| 記号・数字 | 数字・記号・英字（大文字・小文字）を混ぜるのが好ましい | 「記号を入れなさい」という決まりを、サービス側が押しつけない |
| 定期的な変更 | 不要（漏れたときは変える） | 求めない（漏れた証拠があれば変える） |
NISTは、64文字くらいまで使えるようにすることも、サービス側に求めています。そんなに長いと自分で打つのは大変なので、パスワード管理ソフトに入れてもらうのが楽です（あとで説明します）。
長くて覚えやすい「合言葉」の作り方
「長いと覚えられない」というときは、合言葉にします。総務省も紹介している方法です。
- おたがいに関係のない単語を、4つくらい選びます（例：みかん・えんぴつ・くじら・ゆうやけ）
- ローマ字にしてつなげます。それだけで20文字以上になります
- 単語のあいだに数字やハイフンをはさむと、もっと強くなります
この例は、ここに書いた時点でもう使えません。自分で考えた単語で作ってください。
サイトによっては「記号を1つ以上入れてください」という決まりがあります。そのときは、合言葉に記号を足せば大丈夫です。
使い回さない。作るのは管理ソフトに任せる
どんなに強いパスワードでも、全部のサービスで同じだと、1つ漏れただけでほかも全部開けられてしまいます。1本の鍵で、家も車も金庫も開くようなものです。
全部ちがうパスワードを覚えるのは大変なので、パスワード管理ソフトに作ってもらって、覚えるのもソフトに任せるのがおすすめです。自分で覚えるのは、管理ソフトを開くためのマスターパスワード1つだけ。そこに、この記事の合言葉を使ってください。
私も、これから作るパスワードは、基本的に自動で作って、あとはパスワード管理ソフトに覚えさせるだけにしていきます。どのソフトを選べばいいかは、パスワード管理ソフトはどれがいい？Bitwarden・1Password・KeePassXCを比べてみたで比べています。
パスワードを変えるのは「漏れたとき」
「パスワードは毎月変えたほうがいい」と聞いたことがあるかもしれません。でも、総務省もNISTも、定期的に変えなくていいとしています。
毎回変えさせると、覚えられなくなって「最後の数字だけ変える」ようなパターンになったり、使い回したりしてしまうからです。
ただし、漏れたかもしれないときは、すぐに変えます。サービスから「情報が漏れました」というお知らせが来たときなどです。漏れていないかの調べ方は、パスワードが漏れていないか調べる方法にまとめています。
まとめ
- 名前・誕生日・「123456」のような、よくあるものは使わない
- いちばん大事なのは長さ。総務省は10文字以上、NISTは15文字以上
- 覚えるなら、関係のない単語を4つくらいつなげた合言葉
- 使い回さない。作るのも覚えるのも、パスワード管理ソフトに任せる
- 変えるのは漏れたとき。定期的に変えなくていい
あわせて読みたい
- パスワード管理ソフトはどれがいい？Bitwarden・1Password・KeePassXCを比べてみた
- パスワードが漏れていないか調べる方法｜Googleパスワードチェックアップ・iPhone・Have I Been Pwned
- Googleアカウントの2段階認証の設定のしかた｜まず守るのはメールのアカウント
この記事は、2026年10月時点の情報をもとにしています。参考：総務省「国民のためのサイバーセキュリティサイト」推測できる簡単なパスワードを利用しないようにしよう、NIST SP 800-63B（Digital Identity Guidelines: Authentication and Authenticator Management）。
コメント