Jak nastavit bezpečné heslo

Jak nastavit bezpečné heslo, které si zapamatujete, ale útočník ho snadno neprolomí. Nejčastější chyby, správce hesel a dvoufázové ověření.

Heslo dnes potřebujeme skoro všude. Do e-mailu, banky, sociálních sítí, e-shopů, mobilu i různých úředních služeb. Jenže právě proto si mnoho lidí práci zjednodušuje. Použijí datum narození, jméno psa, oblíbené město nebo stejné heslo na více místech.

Na první pohled to vypadá prakticky. Člověk si heslo pamatuje a nemusí ho pořád hledat. Ve skutečnosti tím ale často vytvoří zámek, který sice vypadá jako zámek, ale jde otevřít šroubovákem.

Odborníci z amerického NIST upozorňují, že hesla patří mezi slabší způsoby ochrany. Útočník je může uhodnout, získat podvodem nebo najít v uniklých databázích. Ani dlouhé heslo nepomůže, pokud ho člověk sám zadá na falešné stránce.

Nejhorší heslo je takové, které dává smysl

Útočník nemusí být geniální hacker. Někdy mu stačí projít sociální sítě. Zjistí jméno psa, datum narozenin, oblíbenou chalupu nebo přezdívku vnuka. Pak zkouší jednoduché kombinace.

Špatná hesla často vypadají takto: Jana1958, Brno2024, Beruska123, Heslo123, 123456, qwerty nebo jméno doplněné vykřičníkem. Na papíře vypadají různě, ale pro útočníka patří do stejné skupiny. Jsou předvídatelná.

Ještě horší bývá heslo, které člověk jen mírně mění. Například Leto2024, Leto2025, Leto2026. Taková obměna sice splní požadavek webu, ale bezpečnost příliš nezlepší.

Krátké a složité heslo nemusí být lepší než dlouhá věta

Dříve se často radilo, že heslo musí obsahovat velké písmeno, malé písmeno, číslo a speciální znak. Výsledek ale často dopadl špatně. Lidé si vytvořili hesla typu Pes123! nebo Praha2025!. Ta vypadají „složitě“, ale zůstávají snadno odhadnutelná.

Chybou je i to, že lidé často používají jako první znak právě velké písmeno.

Současná doporučení dávají větší smysl. Heslo má být hlavně dlouhé, jedinečné a nepředvídatelné. NÚKIB doporučuje volit dlouhé, zapamatovatelné fráze, případně používat správce hesel.

Dobře může fungovat věta, kterou si člověk pamatuje, ale cizí člověk ji neuhodne. Například věta složená z několika nesouvisejících slov. Ne však slavný citát, název písně nebo věta z filmu.

Lepší směr je například osobní věta bez veřejných údajů. Může mít mezery, čísla i diakritiku, pokud je daná služba dovolí. Důležité je, aby nešlo o něco, co najdeme na sociálních sítích.

Příklad principu: NaPudeVoneloKafePredDestem47. Není to doporučené heslo k použití, jen ukázka typu věty. Každý si musí vytvořit vlastní.

Stejné heslo na více místech je velké riziko

Nejčastější chyba nevzniká při vytváření hesla, ale při jeho opakovaném používání. Člověk má jedno dobré heslo a použije ho všude. Do e-mailu, e-shopu, na sociální síť i do méně důležité registrace.

Problém začne ve chvíli, kdy některá služba unikne. Útočníci pak zkouší stejnou kombinaci e-mailu a hesla i jinde. Tomu se říká credential stuffing, tedy automatické zkoušení ukradených přihlašovacích údajů.

Služba Have I Been Pwned upozorňuje, že opakované používání hesel ohrožuje další účty. Když unikne heslo z jednoho webu, útočníci ho zkusí i na ostatních službách.

Proto má každá důležitá služba dostat vlastní heslo. Jiné heslo má mít e-mail, jiné banka, jiné sociální síť a jiné e-shop. E-mail patří mezi nejdůležitější účty, protože přes něj často obnovujete další hesla.

Musíme hesla pravidelně měnit?

Povinná pravidelná změna hesla většinou nepomáhá. Lidé pak jen přidají číslo, vykřičník nebo změní rok. Heslo se tváří jako nové, ale útočník jeho vzor snadno odhadne.

NIST ve svých pravidlech uvádí, že služby nemají vyžadovat pravidelnou změnu hesel bez důvodu. Změnu mají vynutit hlavně tehdy, když existuje podezření na únik nebo zneužití hesla.

To neznamená, že heslo nemáte měnit nikdy. Změňte ho vždy, když vám přijde varování o úniku dat. Změňte ho také po přihlášení na podezřelé stránce, po ztrátě zařízení nebo po napadení účtu.

Rozumné pravidlo zní: heslo neměňte jen proto, že uplynul měsíc. Změňte ho tehdy, když k tomu existuje důvod.

Jak si hesla pamatovat bez chaosu

Člověk si nemůže bezpečně pamatovat desítky dlouhých hesel. To není selhání paměti, ale normální lidský limit. Právě proto vznikly správce hesel. Správce hesel je program, který hesla bezpečně ukládá a vyplňuje.

Správce hesel si pamatuje mnoho složitých hesel. Vy si pamatujete jen jedno hlavní heslo. To musí být opravdu silné a nesmí se používat nikde jinde.

Kdo správce hesel nechce, měl by si aspoň rozdělit účty podle důležitosti. Největší ochranu potřebuje e-mail, banka, datová schránka, cloud, sociální sítě a účty s uloženou platební kartou. Slabé heslo u receptového webu bolí méně než slabé heslo u e-mailu.

Papírový zápis hesel není ideální, ale pořád může být bezpečnější než jedno heslo všude. Nesmí však ležet nalepený na monitoru. Pokud si člověk hesla zapisuje, měl by zápis uložit tam, kam se cizí člověk běžně nedostane.

Dvoufázové ověření chrání i dobré heslo

Heslo samo o sobě nestačí. Pokud služba nabízí dvoufázové ověření, zapněte ho hlavně u důležitých účtů. Dvoufázové ověření znamená, že po hesle musíte potvrdit přihlášení ještě dalším způsobem.

Může jít o potvrzení v mobilu, kód v aplikaci nebo bezpečnostní klíč. SMS kód je lepší než nic, ale ověřovací aplikace bývá bezpečnější. CISA upozorňuje, že vícefaktorové ověření přidává další ochrannou vrstvu nad samotné heslo.

Dvoufázové ověření neřeší všechno. Falešná stránka může člověka oklamat i tak. Přesto výrazně ztíží přístup do účtu, když útočník zná jen heslo.

Čemu se při heslech vyhnout

Nepoužívejte rodná čísla, data narození, jména dětí, jména zvířat ani adresu. Nepoužívejte název webu v hesle. Heslo Facebook2026 není chytré, i když působí přehledně.

Nepoužívejte jedno heslo na více místech. Neposílejte hesla e-mailem ani přes chat. Nezadávejte heslo po kliknutí na odkaz ve zprávě, která vyvolává tlak nebo strach.

Nenechávejte si nápovědu k heslu tam, kde ji uvidí někdo cizí. NIST výslovně odmítá veřejně dostupné nápovědy k heslům i bezpečnostní otázky typu jméno prvního domácího mazlíčka.

Dávejte pozor i na veřejná místa. Heslo může někdo jednoduše odpozorovat přes rameno, zvlášť ve vlaku, kavárně nebo na konferenci.

Praktický způsob pro běžného člověka

Nejdůležitější účty musí mít dlouhé, jedinečné heslo a dvoufázové ověření. U méně důležitých účtů stačí méně přísný režim, ale heslo se nesmí opakovat s e-mailem nebo bankou.

Kdo zvládne správce hesel, měl by ho používat. Kdo ho nechce, měl by si vytvořit dlouhé věty a bezpečně si je uložit. Hlavní zásada zní: heslo má být zapamatovatelné pro vás, ale neodhadnutelné pro cizího člověka.

Nejlepší heslo není takové, které vypadá technicky složitě. Nejlepší heslo je dlouhé, jedinečné a nikde jinde nepoužité. A u důležitých účtů ho musí doplnit druhé ověření.

Zdroje

NIST: How Do I Create a Good Password?

NÚKIB: Základní bezpečnostní opatření

Have I Been Pwned: Pwned Passwords