Hasła i konta

Jak stworzyć silne hasło (i nie zapomnieć go)

10 lipca 2026 · 5 min czytania · zaktualizowano 29 września 2026

Większość włamań na konta to nie „hakowanie” z filmów, tylko wykorzystanie słabych albo powtarzanych haseł. Dobra wiadomość: kilka prostych zasad wystarczy, żeby radykalnie podnieść bezpieczeństwo. Poniżej wyjaśniamy, co naprawdę czyni hasło silnym, jak zapamiętać dziesiątki haseł i czym zastąpić samo hasło tam, gdzie się da.

Długość ważniejsza niż znaki specjalne

Wbrew popularnemu mitowi P@ssw0rd! nie jest bezpieczne. Zamiana liter na podobne znaki i wykrzyknik na końcu to pierwsze, co sprawdzają programy do łamania haseł.

Siłę losowego hasła mierzy się w bitach: każdy dodatkowy bit podwaja liczbę prób potrzebnych do odgadnięcia. Dla porównania:

Najważniejsze słowo w tej tabeli to losowe. Rachunek działa tylko wtedy, gdy znaki lub słowa wybrał generator. Fraza z kilku losowych słów jest silna i dużo łatwiejsza do zapamiętania niż ciąg przypadkowych znaków. Fraza wymyślona samodzielnie („mojpiesburek2020”) już nie, bo ludzie wybierają przewidywalnie. Siła frazy zależy też od wielkości listy słów: im mniejsza lista, tym więcej słów potrzeba.

Losowe hasło albo frazę z listy 7776 słów (tej samej co w tabeli) wygenerujesz w naszym generatorze haseł. Frazy tworzą też menedżery haseł, np. Bitwarden czy KeePassXC.

Nie używaj przykładów z tego artykułu jako swoich haseł. Każde hasło opublikowane w internecie trafia na listy, od których zaczynają się ataki.

Ile znaków wystarczy? CERT Polska zaleca, żeby serwisy wymagały co najmniej 14 znaków, a amerykański NIST - co najmniej 15, gdy hasło jest jedynym zabezpieczeniem. Oba zalecenia odradzają przy tym wymuszanie cyfr, wielkich liter i znaków specjalnych.

Zasada numer jeden: unikalne hasło do każdego konta

Nawet najlepsze hasło traci sens, gdy używasz go w wielu miejscach. Atakujący biorą pary e-mail i hasło z wycieku jednego serwisu i automatycznie próbują zalogować się nimi w setkach innych serwisów. Jeden wyciek z mało ważnego forum otwiera wtedy pocztę, sklepy i media społecznościowe. Dlatego każde konto powinno mieć własne, inne hasło.

Sprawdź też, czy Twoje obecne hasła nie są już w bazach wycieków. Zrobisz to bezpiecznie w testerze wycieków, a co zrobić, gdy wynik jest zły, opisujemy w poradniku czy Twoje hasło wyciekło.

Jak to wszystko zapamiętać: menedżer haseł

Nikt nie zapamięta kilkudziesięciu losowych haseł i nie musi. Menedżer haseł zapamiętuje je za Ciebie, generuje nowe i sam wpisuje je na właściwych stronach. Ty pamiętasz jedno hasło główne - najlepiej długą, losową frazę - i zabezpieczasz konto menedżera drugim składnikiem.

Menedżer może być wbudowany w system lub przeglądarkę (np. aplikacja Hasła w iOS i macOS, Menedżer haseł Google) albo być osobną aplikacją. Dodatkowa zaleta: menedżer nie podpowie hasła na fałszywej stronie o innym adresie, co chroni przed phishingiem.

Czy zapisywać hasła w przeglądarce? Na własnym urządzeniu z blokadą ekranu i kontem chronionym 2FA - tak, to dużo lepsze niż jedno hasło do wszystkiego. Na komputerze współdzielonym lub służbowym - nie.

Uwierzytelnianie dwuskładnikowe: które metody są najlepsze

Drugi składnik sprawia, że samo hasło nie wystarczy do zalogowania. Nie każda metoda chroni jednak tak samo:

1. Klucz dostępu (passkey) lub klucz sprzętowy - najbezpieczniejsze. Działają tylko na prawdziwej stronie serwisu, więc fałszywa strona logowania ich nie przechwyci.
2. Aplikacja uwierzytelniająca (kody jednorazowe albo potwierdzenie w aplikacji) - bardzo dobra. Kod z aplikacji da się jednak wpisać na fałszywej stronie, więc nadal sprawdzaj adres.
3. Kod SMS - lepszy niż nic, ale podatny na przejęcie numeru (duplikat karty SIM) i na fałszywe strony.

Zacznij od poczty e-mail, bo przez nią można zresetować hasła do innych kont, i od bankowości. Zapisz też kody zapasowe, które serwis daje przy włączaniu 2FA, i przechowuj je w bezpiecznym miejscu.

Klucze dostępu (passkeys), czyli logowanie bez hasła

Coraz więcej serwisów, m.in. Google, Apple i Microsoft, pozwala logować się kluczem dostępu zamiast hasła. Klucz jest zapisany na Twoim urządzeniu lub w menedżerze haseł, a odblokowujesz go odciskiem palca, twarzą albo kodem blokady telefonu.

Przewaga nad hasłem jest duża: kluczy nie da się odgadnąć, nie da się ich wpisać na fałszywej stronie, a z wycieku bazy serwisu nic nie wynika, bo serwis przechowuje tylko część publiczną klucza. Jeśli serwis oferuje klucz dostępu, warto go włączyć.

Najczęstsze pytania

Czy trzeba zmieniać hasła co kilka miesięcy?

Nie, jeśli hasło jest długie, unikalne i nie wyciekło. NIST i CERT Polska odradzają wymuszanie okresowych zmian, bo prowadzą one do przewidywalnych haseł typu „Haslo2025!” → „Haslo2026!”. Zmień hasło, gdy wycieknie; sprawdzisz to w testerze wycieków.

Czy hasło z polskimi znakami jest bezpieczniejsze?

Niewiele, a część serwisów i klawiatur źle je obsługuje. Lepiej dodać jedno słowo więcej niż ryzykować, że nie zalogujesz się z innego urządzenia.

Co jest ważniejsze: silne hasło czy 2FA?

Jedno i drugie. Silne, unikalne hasło chroni przed odgadnięciem i skutkami wycieków, a 2FA - przed sytuacją, w której hasło i tak wpadnie w niepowołane ręce.

Źródła

• CERT Polska - Polityka haseł (baza wiedzy)
• NIST SP 800-63B-4 - Digital Identity Guidelines
• EFF - Dice-Generated Passphrases (listy słów)
• FIDO Alliance - Passkeys