รหัสผ่านนี้แข็งแรงแค่ไหน

ความยาวสำคัญกว่าความซับซ้อน แนวทางล่าสุดของ NIST (SP 800-63B-4, ก.ค. 2025) กำหนดว่ารหัสผ่านที่ใช้ลำพังโดยไม่มีปัจจัยอื่นควรยาวอย่างน้อย 15 ตัวอักษร และห้ามระบบบังคับกฎผสมตัวใหญ่ ตัวเล็ก ตัวเลข หรือสัญลักษณ์ เพราะกฎพวกนั้นทำให้คนตั้งรหัสเป็นแบบแผนที่เดาง่าย เช่น เปลี่ยน o เป็น 0 หรือเติม ! ท้ายคำ ซึ่งคนร้ายรู้ทริกนี้อยู่แล้ว

ไม่ต้องเปลี่ยนรหัสตามรอบเวลา แนวทางเดียวกันห้ามบังคับให้เปลี่ยนรหัสผ่านทุก 90 วัน เพราะคนมักเปลี่ยนแค่ตัวท้าย ให้เปลี่ยนเมื่อมีสัญญาณว่ารหัสหลุด เช่น มีแจ้งเตือนล็อกอินแปลก หรือบริการที่ใช้ประกาศว่าข้อมูลรั่ว และที่สำคัญกว่าคือต้องไม่ใช้รหัสเดิมซ้ำกับบัญชีอื่น เพราะรหัสที่หลุดจากเว็บเล็ก ๆ จะถูกนำไปลองกับอีเมลและธนาคารของคุณทันที

เครื่องมือช่วยจำมีอยู่แล้ว ตัวจัดการรหัสผ่าน (password manager) สร้างและจำรหัสยาว ๆ ที่ไม่ซ้ำกันให้ทุกเว็บ และจะกรอกให้เฉพาะเว็บที่ถูกต้อง จึงช่วยกันเว็บปลอมไปในตัว ส่วน passkey คือการล็อกอินด้วยลายนิ้วมือหรือใบหน้าบนเครื่องของคุณเอง ไม่มีรหัสให้จำและไม่มีรหัสให้ถูกหลอกเอาไป ถ้าบริการไหนมีให้ใช้ ให้เลือกเป็นอันดับแรก

• ยาวไว้ก่อน ตั้งเป้า 15 ตัวอักษรขึ้นไปสำหรับบัญชีสำคัญ ระบบส่วนใหญ่รับได้ถึง 64 ตัว
• ใช้วลีรหัสผ่าน คำที่ไม่เกี่ยวกัน 3–4 คำต่อกัน เช่น สามคำสุ่มที่คุณนึกภาพออก จำง่ายกว่าและยาวกว่ารหัสสั้น ๆ ที่ยุ่งเหยิง
• หนึ่งบัญชี หนึ่งรหัส อีเมลหลักและแอปธนาคารต้องมีรหัสที่ไม่ซ้ำกับที่ไหนเลย เพราะอีเมลคือกุญแจกู้คืนทุกบัญชี
• ให้ตัวจัดการรหัสผ่านจำแทน ใช้ของเบราว์เซอร์หรือระบบปฏิบัติการก็ได้ แล้วเปิดการยืนยันสองขั้นให้ตัวมันเอง การจดลงกระดาษแล้วเก็บไว้ที่บ้านก็ยอมรับได้ถ้าไม่มีใครเข้าถึง
• เปิด MFA หรือ passkey ทุกบัญชีที่ทำได้ เลือก passkey หรือแอปสร้างรหัสก่อน SMS ควรเป็นทางเลือกสุดท้าย และไม่กดยืนยันการล็อกอินที่คุณไม่ได้ทำเอง ไม่ว่าใครจะโทรมาขอ