安全なパスワードの作り方｜長さ・ランダム性・使い回さないの3原則

安全なパスワードとは、他人に推測されず、総当たりでも現実的な時間で破られないパスワードのことです。これを実現する条件は突き詰めると3つだけです。十分に長いこと、ランダムで規則性がないこと、そしてサイトごとに使い回さないこと。この記事では、この3原則を満たすパスワードを実際に作る手順と、作った後の管理までを通しで解説します。手早く作るならパスワード生成ツールを使うのが確実ですが、なぜそれが安全なのかを理解しておくと応用が利きます。

安全なパスワードの3原則

細かいルールの前に、優先順位を押さえます。重要度は上から順です。

「記号を必ず入れる」「大文字と数字を混ぜる」といった複雑さのルールは、じつは長さほど効果的ではありません。詳しくはエントロピーで強度を測るで数値的に説明していますが、8文字に記号を詰め込むより、12文字以上にするほうがはるかに強くなります。

作り方1：生成ツールでランダムに作る（推奨）

もっとも確実なのは、人が考えず、ツールに乱数で作らせる方法です。人間が「ランダムに」考えた文字列には必ず癖が出て、攻撃者はその癖を突いてきます。

1. パスワード生成ツールを開きます。
2. 文字数を12〜16文字に設定します。長くできる場面では長いほど安全です。
3. 英大文字・小文字・数字・記号をすべて有効にします。
4. 生成された文字列をそのままコピーし、パスワードマネージャーに保存します。

ブラウザやOSにも安全なパスワードを自動生成する機能があり、これらは暗号学的に安全な乱数を使っています。生成したパスワードは覚えようとせず、マネージャーに預けるのが前提です。

作り方2：覚える必要があるならパスフレーズ

マスターパスワードなど、どうしても暗記が必要なものは、無関係な単語を4語以上つないだパスフレーズにします。たとえば意味のつながらない単語をランダムに選んで並べる方式です。長くできるうえ人間が覚えやすく、単純な単語1語より格段に強くなります。作り方と強さの理由はパスフレーズとパスワードの違いで詳しく扱います。

注意点は、有名なことわざ・歌詞・定型句を使わないことです。これらは攻撃者の辞書に載っているため、長くても弱くなります。あくまで単語をランダムに選ぶのがポイントです。

やってはいけないパスワードの作り方

次のような作り方は、長さがあっても危険です。

とくに最後の「基本形＋サイト名」は、使い回しを避けたつもりでも規則が単純だと見破られます。使い回しの本当の怖さは使い回しが危険な理由で解説しています。

作った後が本番：管理と多要素認証

強いパスワードを大量に作っても、覚えられなければ使い回しに逆戻りします。そこでパスワードマネージャーで一元管理します。覚えるのはマネージャーを開くマスターパスワード1つだけにし、それを最も強いパスフレーズにするのが基本戦略です。

• 各サイトのパスワードはマネージャーに生成・保存させ、自分では覚えない。
• 重要なアカウントには、パスワードに加えて二要素認証（2FA）や、より安全なパスキーを設定する。
• 過去に使い回していたパスワードは、漏洩確認サービスで点検し、順次作り直す。

なお、以前よく言われた「パスワードを定期的に変更する」は、現在は推奨されていません。無理な定期変更はかえって弱いパスワードや使い回しを招くため、変更するのは漏洩の疑いがあるときだけで十分です。

用途別の使い分けとまとめ

• 普段のWebサービス：ツールで12〜16文字をランダム生成し、マネージャーに保存。
• マスターパスワード：暗記できる長いパスフレーズ。使い回し厳禁。
• 重要アカウント（メール・銀行）：強いパスワード＋2FA／パスキーを併用。

結局のところ、安全なパスワードづくりは「長く・ランダムに・使い回さない」を守り、面倒な部分は生成ツールとマネージャーに任せることに尽きます。まずは1つ、いちばん大切なアカウントから作り直してみてください。