Надёжные пароли и менеджеры паролей: практическое руководство

Создание надёжных паролей — один из самых дешёвых и эффективных способов защитить аккаунты. Но большинство из нас всё ещё использует одни и те же несколько паролей на десятках сайтов. Это руководство объясняет, каким должен быть хороший пароль, почему каждому аккаунту нужен свой и как менеджер паролей избавляет вашу память от лишней нагрузки.

Что делает пароль надёжным?

Надёжный пароль трудно угадать, его не используют нигде больше и никому не передают. Самый важный фактор — не сложность, а длина. Пароль вроде «P@ssw0rd!» выглядит сложным, но он короткий и следует известным всем шаблонам. Длинная фраза из несвязанных слов и безопаснее, и легче запоминается.

Практическое правило:

• Делайте его длинным. Стремитесь к 14–16 символам и более для важных аккаунтов.
• Делайте его случайным. Не используйте даты рождения, клички питомцев, названия команд или номера телефонов: всё, что могут угадать близкие люди.
• Делайте его уникальным. У каждого аккаунта должен быть пароль, полностью отличающийся от остальных.
• Избегайте предсказуемых трюков. Добавление «1» в конце, замена букв цифрами или последовательности вроде «123456» никого не обманут.

Метод парольной фразы

Для нескольких паролей, которые нужно запомнить (например, мастер-пароль менеджера и пароль от почты), хорошо работает парольная фраза из четырёх–пяти случайных слов. Слова выбирайте действительно случайно, а не из стихотворения или песни. Если можно, используйте кубик или генератор, встроенный в менеджер паролей. Достаточно добавить разделитель и одну-две цифры.

Почему не стоит повторно использовать пароли

Самый большой риск с паролями — не слабость, а повторное использование. Когда сервис страдает от утечки данных, утёкшие пары «e-mail и пароль» пробуют на других сайтах. Если вы использовали один пароль в нескольких местах, одна утечка ставит под угрозу их все. Поэтому у соцсетей, почты, банка и магазинов должны быть свои пароли.

Почтовый аккаунт — самый критичный, потому что большинство сервисов отправляют на него ссылку «забыли пароль». Тот, кто получит доступ к вашей почте, часто может найти путь и к другим аккаунтам. Дайте почте уникальный длинный пароль и включите двухэтапную проверку.

Что такое менеджер паролей и зачем он нужен?

Менеджер паролей хранит все ваши пароли в зашифрованном хранилище и подставляет их, когда это нужно. Вы помните один надёжный мастер-пароль, а хранилище делает всё остальное. Что вы получаете:

1. Генерация уникальных паролей. Он создаёт длинный случайный пароль для каждого аккаунта, и вам не нужно его запоминать.
2. Автозаполнение. Пароли подставляются только на правильном адресе, что также служит предупреждением против поддельных страниц входа. Если менеджер не предлагает заполнить пароль, это красный флаг.
3. Синхронизация. Вы получаете доступ к одному и тому же хранилищу на телефоне, планшете и компьютере.
4. Отчёты о слабых и повторяющихся паролях. Многие менеджеры отмечают слабые, старые или дублирующиеся пароли.
5. Защищённые заметки. Коды восстановления, личные заметки и данные карт могут храниться в том же хранилище.

Какой тип выбрать?

| Вариант | Плюсы | На что обратить внимание |
|---|---|---|
| Встроенный менеджер браузера | Не требует отдельной настройки, удобен | Сильно зависит от безопасности устройства и аккаунта; перенос данных между браузерами может быть ограничен |
| Отдельный менеджер паролей | Работает на разных платформах, есть дополнительные функции | Нельзя забывать мастер-пароль; нужно настроить варианты восстановления |
| Офлайн-хранилище (локальное) | Данные остаются только на вашем устройстве | Резервные копии и синхронизация — ваша ответственность |

Что бы вы ни выбрали, проверьте, что продукт регулярно обновляется и объясняет, как устроено шифрование.

Переход на менеджер паролей по шагам

Не нужно менять все пароли за один день. Попробуйте такой порядок:

1. Выберите менеджер паролей и задайте длинный уникальный мастер-пароль. Никогда не используйте его для чего-либо ещё.
2. Запишите данные для восстановления (ключ или код восстановления) на бумаге и храните их в надёжном месте. Если вы забудете мастер-пароль, большинство менеджеров не смогут помочь.
3. Включите двухэтапную проверку для самого менеджера. Чтобы сравнить варианты, смотрите нашу статью о способах двухэтапной проверки.
4. Замените пароли сгенерированными, начиная с почты, затем банка, соцсетей и магазинов.
5. Постепенно займитесь старыми аккаунтами. Удаление аккаунтов, которыми вы больше не пользуетесь, тоже уменьшает риск.

Типичные ошибки

• Хранение паролей в заметках браузера, телефона или в текстовом файле. Если устройство скомпрометировано, всё становится доступным.
• Отправка паролей самому себе по почте или в мессенджере. Такие сообщения могут годами лежать в архиве.
• Смена пароля добавлением одной цифры в конце.
• Использование словарных паролей из одного слова.
• Ответы на контрольные вопросы настоящими данными. Такие сведения, как девичья фамилия матери, часто можно найти в соцсетях. Используйте случайные ответы, которые храните в хранилище.
• Сохранение паролей на общем устройстве. Не выбирайте «запомнить меня» на общественных компьютерах.

Одного пароля недостаточно

Даже лучший пароль может однажды утечь. Поэтому добавьте второй уровень защиты: двухэтапную проверку. SMS-код лучше, чем ничего, но приложение-аутентификатор или ключ безопасности надёжнее. Passkey, позволяющие входить без пароля, тоже становятся всё более распространёнными.

Если вы регистрируетесь в сервисе просто чтобы попробовать или для разовой регистрации, вам не обязательно давать свой настоящий номер. Виртуальный номер позволяет получить код подтверждения, не раскрывая свой. Учтите, что виртуальные номера одноразовые, поэтому если вы планируете сохранить аккаунт, добавьте менеджер паролей, адрес для восстановления и двухэтапную проверку. Некоторые платформы могут ограничивать виртуальные номера, и вам всегда нужно соблюдать условия использования каждой платформы. Актуальные варианты смотрите на нашей странице цен.

Часто задаваемые вопросы

Не является ли менеджер паролей единой точкой отказа?

Это справедливое опасение. Поэтому держите мастер-пароль длинным, включите двухэтапную проверку и храните данные восстановления офлайн. Обычно это намного безопаснее, чем полагаться на повторно используемые слабые пароли.

Как часто нужно менять пароли?

Менять все пароли по расписанию не нужно. Сильный уникальный пароль не обязан меняться, пока у вас нет подозрений на утечку. Меняйте его сразу, если сервис сообщает о взломе или вы замечаете необычную активность.

Безопасно ли записывать пароли в блокнот?

Бумажный блокнот, который хранится дома под замком, недоступен для большинства онлайн-атак, но его можно потерять. Хранить на бумаге несколько критически важных данных, например мастер-пароль и ключ восстановления, разумно. Хранить там все пароли непрактично.

Достаточно ли сохранять пароли в браузере?

Это лучше, чем не сохранять их вовсе, но многое зависит от безопасности устройства и аккаунта браузера. Установите блокировку экрана и включите двухэтапную проверку для аккаунта. Если нужны дополнительные функции, подумайте об отдельном менеджере паролей.