--- title: "パスワードは8文字で足りるのか現行基準で考える安全な見直し方" description: "8文字のパスワードをそのまま使ってよいか、NISTとCISAの現行基準から判断します。長さ、使い回し、多要素認証をどの順で見直し、重要なアカウントを安全に変更するかを解説します。" date: 2026-08-01 category: セキュリティ tags: [パスワード, アカウント] related_links: [pw] draft: false --- 新しく設定するパスワードを8文字に留める理由はありません。パスワードだけでログインするなら15文字以上を一つの基準にし、可能であれば16文字以上の固有パスワードを使った方が良いです。 ただし、長いパスワードを一つ作って使い回すのは避けます。長さ、サービスごとの固有性、多要素認証を組み合わせて考えてください。 ## 8文字の最低条件と安全性は別に考える サービスが「8文字以上」と表示していても、それは入力を受け付ける最低条件であり、安全を保証する文字数ではありません。名前や単語、年号を組み合わせた8文字は、条件を満たしても推測されやすい場合があります。 NIST SP 800-63Bは、パスワードを単独の認証要素として使う場合に最低15文字を求めています。多要素認証の一部として使う場合は最低8文字を許容しますが、8文字を十分な強度と認定しているわけではありません。現行の要件は[NISTのパスワード基準](https://pages.nist.gov/800-63-4/sp800-63b.html)で確認できます。 [CISAのパスワードに関する案内](https://www.cisa.gov/sites/default/files/2024-09/Secure-Our-World-Passwords-Tip-Sheet.pdf)は、利用者向けに16文字以上を推奨しています。新しく作るなら、15文字と16文字の差で迷うより、サービスが許す範囲で16文字以上にする方が分かりやすいかと思います。 ## 記号を増やすより長さと固有性を優先する 8文字へ複数の文字種を詰め込んでも、よくある置き換え方なら推測される可能性があります。`Password`の一部を数字や記号へ変える方法や、末尾の年だけ毎年変える方法は避けます。 パスワードマネージャーを使えるなら、[パスワード生成ツール](/pw/)で16文字以上のランダムな文字列を作り、サービスごとに別の値を保存します。自分で覚える必要があるものは、複数の無関係な単語を組み合わせた長いパスフレーズも選択肢です。 重要なのは、同じ長いパスワードを別のサービスへ使わないことです。一つのサービスから認証情報が漏れた場合に、他のアカウントまで試される可能性があります。 ## 重要なアカウントから順に変更する すべてを一度に変えると、保存漏れや回復手段の不足で自分がログインできなくなることがあります。影響が大きいものから、一つずつ変更した方が安全です。 1. メールアカウントとパスワードマネージャーを変更する 2. 銀行、決済、仕事の管理者アカウントを変更する 3. 同じ8文字を使い回しているサービスを変更する 4. その他のサービスを順に変更する 変更する前に、回復用メールと多要素認証へアクセスできることを確認します。新しいパスワードで一度ログインし、保存できたことを確かめてから次へ進んでください。 ## 8文字しか設定できない場合は別の対策を足す 古いサービスでは、最大8文字など短い上限が残っている場合があります。その場合は、使える文字の範囲でランダムな固有パスワードを作り、他のサービスへ使い回しません。 多要素認証を利用できるなら必ず追加します。それでも重要情報を扱うサービスとして十分かは別の判断です。代替サービスがあるなら移行も検討してください。 | 現在の状態 | 先に行うこと | |---|---| | 8文字を複数サービスで使っている | メールなど重要なものから別々の長い値へ変える | | 8文字だが多要素認証を使っている | 多要素認証を残したまま、可能ならパスワードも長くする | | サービスが8文字までしか許さない | 固有のランダム値と多要素認証を使い、移行先も検討する | | すでに漏えいの通知がある | 文字数にかかわらず直ちに変更し、使い回し先も確認する | 多要素認証の選び方は[二段階認証の設定方法](/article/two-factor-auth-guide)、長い値を管理する方法は[パスワードマネージャーの選び方](/article/password-manager-guide)で確認できます。 まず、最も重要なメールアカウントを一つ選んでください。回復手段を確認したうえで、16文字以上の固有パスワードへ変更し、パスワードマネージャーへ保存するところから始めます。