強いパスワードの条件とは？満たすべき5つの要件と確認方法

強いパスワードとは、「推測」でも「総当たり」でも現実的な時間で破れないパスワードを指します。世の中には複雑な条件が語られがちですが、本当に効く条件は限られています。この記事では、強いパスワードが満たすべき要件を重要な順に整理し、逆に効果が薄い・かえって逆効果になる古いルールも示します。自分のパスワードが条件を満たすか、生成ツールで作り直しながら確認してみてください。

強いパスワードの5つの条件

まず全体像を、満たすべき順に一覧にします。

条件1：長さが最優先である理由

パスワードの強さは、理論上の総当たりに必要な試行回数で決まります。この試行回数は文字数が増えるほど指数的に増えます。たとえば使える文字の種類が同じでも、1文字増えるだけで組み合わせは文字種の数だけ倍増します。一方、8文字のまま記号を足して文字種を増やしても、増え方は掛け算1回分にとどまります。

この差は具体的な数値で見ると明確です。英大小・数字・記号を使った8文字は総当たりで短時間に破られる水準ですが、同じ文字種でも12文字にすれば桁違いに強くなります。定量的な比較はエントロピー・強度の測り方にまとめました。結論として、複雑さより長さが基本方針です。

条件2：ランダムで予測できないこと

長くても規則的では意味がありません。攻撃者は単純な総当たりの前に、次のような「当たりやすい候補」から試します。

• 辞書の単語、人名、地名、製品名。
• キーボードの並び（qwerty、asdfghなど）。
• 単語の末尾に数字や記号を付けただけの形（例：sakura2024!）。
• l33t変換（aを@、oを0など）。攻撃ツールは変換規則を織り込み済みです。

これらを避ける最も簡単な方法は、人が考えず生成ツールに乱数で作らせることです。暗記が必要な場合は、無関係な単語をランダムに並べるパスフレーズにします。

条件3・4：流出していない・使い回していない

どれだけ複雑でも、過去の漏洩で流出済みのパスワードは「既知の候補」として真っ先に試されます。漏洩確認サービスで、自分のパスワードやメールアドレスが流出データに含まれていないか点検できます。含まれていたら、そのパスワードは強度に関係なく使うべきではありません。

さらに、同じパスワードを複数サイトで使い回していると、1か所の漏洩が芋づる式に他サイトの乗っ取りへつながります。これは使い回しが危険な理由で詳しく説明します。強いパスワードの条件には「そのサイト専用であること」も含まれます。

いまは推奨されない古いルール

かつて常識とされたルールの一部は、現在の公的ガイドラインでは推奨されなくなっています。

これらは、米国のNISTガイドライン（SP 800-63B）や日本の公的サイトでも見直されてきた方針です。強いパスワードの条件は「複雑にする」ことではなく、「長く・ランダムで・使い回さない」に集約されると理解しておくと、迷いません。

条件を満たしているか確認する

1. 長さは12文字以上か。暗記用ならパスフレーズで語数を確保しているか。
2. 単語・日付・並び順など、予測できる要素を含んでいないか。
3. 漏洩確認サービスでヒットしないか。
4. そのサイト専用で、他と使い回していないか。

1つでも欠けていたら、生成ツールで作り直し、パスワードマネージャーに保存するのが最短の対処です。