パスワードは何桁が安全？桁数別の強度目安を解説

結論から言うと、パスワードは何桁が安全かを一言でまとめると「英大文字・小文字・数字・記号を混ぜて最低12桁、できれば16桁」です。桁数が1つ増えるごとに、試すべき組み合わせは文字種の数だけ倍々に増えていきます。この記事では8・10・12・16桁それぞれの強度を、文字種数と桁数だけから計算できるエントロピー（ビット数）で比較し、推奨される最低桁数を示します。数字はすべて計算で求めた値のみを使い、実際の生成はパスワード生成ツールで行えます。

パスワードの強度は「桁数」と「文字種」で決まる

パスワードの理論的な強さは、エントロピー（bit）という指標で表せます。計算式はとてもシンプルで、エントロピー = 桁数 × log2(文字種の数) です。たとえば英小文字だけなら文字種は26、英数字なら62、記号まで含めた一般的なASCII印字可能文字なら95種類になります。ビット数が大きいほど、総当たりで試すべき組み合わせが多くなり、破られにくくなります。エントロピーの考え方をより詳しく知りたい方はパスワードのエントロピーと強度の関係も参照してください。

• 英小文字のみ：文字種26
• 英大文字・小文字・数字：文字種62
• 記号を含む印字可能文字：文字種95

桁数別のエントロピー早見表

「パスワード 何桁」で迷ったときは、まず下の数値を目安にしてください。いずれも 桁数 × log2(文字種) で計算した値です。

• 8桁：英小文字のみ 37.6bit / 英数字 47.6bit / 記号込み 52.6bit
• 10桁：英小文字のみ 47.0bit / 英数字 59.5bit / 記号込み 65.7bit
• 12桁：英小文字のみ 56.4bit / 英数字 71.5bit / 記号込み 78.8bit
• 16桁：英小文字のみ 75.2bit / 英数字 95.3bit / 記号込み 105.1bit

同じ8桁でも、英小文字だけの37.6bitと記号込みの52.6bitでは15bit（約3万倍の組み合わせ）もの差があります。桁数を伸ばすだけでなく、文字種を増やすことも同じくらい効果的だとわかります。

8桁・10桁ではもう足りない理由

かつて標準とされた8桁は、英数字混在でも47.6bit、組み合わせ数にすると約10の14.3乗にとどまります。現在の計算機の総当たり能力を考えると、この規模は十分な安全域とは言えません。10桁の英数字でも59.5bit（約10の18乗未満）で、単体では推奨ラインに届きません。パスワードは何桁必要かと問われれば、8桁・10桁は「最低限」ではなく「もう不足」と捉えるべき水準です。文字種や桁数以外に守るべき条件は強力なパスワードの要件にまとめています。

推奨は12桁以上、理想は16桁

実用的な推奨ラインは、英数字混在で最低12桁です。12桁の英数字は71.5bit、記号込みなら78.8bitに達し、組み合わせ数は約10の21.5乗（記号込みで約10の23.7乗）まで跳ね上がります。さらに16桁にすると英数字で95.3bit、記号込みで105.1bit、組み合わせは約10の28.7乗〜31.6乗となり、当面のあいだ総当たりで破ることは現実的でなくなります。

• 最低ライン：英数字12桁（71.5bit）
• 推奨ライン：記号込み12桁（78.8bit）
• 理想ライン：記号込み16桁（105.1bit）

重要なアカウントほど16桁を基準にすると安心です。人が覚える必要はないので、桁数を惜しむ理由はありません。

長くて安全なパスワードを実際に作る

桁数を増やすほど強くなる一方で、手で考えたパスワードは無意識に規則性が入り、実効的なエントロピーが計算値より下がりがちです。そこで役立つのが自動生成です。パスワード生成ツールなら、文字種と桁数を指定するだけで計算どおりの強度を持つランダムな文字列を作れます。作ったパスワードはパスワードマネージャーに保存し、使い回しを避けることが大切です。

• 桁数は最低12、可能なら16以上に設定する
• 英大文字・小文字・数字・記号をすべて有効にする
• サービスごとに別々のパスワードを使う