Цифрова защита

Пароли: дълги, различни и в мениджър

Редакция на btrust.bgПубликувано 4 ноември 2026 г.4 източника

Добрата парола е дълга и се използва само на едно място. Не е нужно да я помните: мениджърът на пароли прави това вместо вас. Където е възможно, използвайте ключ за достъп (passkey), който не може да бъде „изпратен“ на фалшив сайт.

Накратко

NIST изисква поне 15 знака за парола, която е единственият фактор за вход, и поне 8, когато е част от многофакторно удостоверяване.
Изисквания за „главна буква, цифра и символ“ и задължителна смяна на всеки няколко месеца NIST вече не препоръчва.
ENISA съветва дълги, уникални пароли или фрази, по възможност генерирани и пазени от мениджър на пароли.
Паролите не са устойчиви на фишинг; ключовете за достъп и ключовете за сигурност са.

Дължината е по-важна от сложността

Американският институт по стандарти NIST е обновил насоките си за удостоверяване (SP 800-63B, версия 4); те се използват като ориентир и извън САЩ. Според тях парола, която е единственият начин за вход, трябва да е поне 15 знака, а парола, използвана заедно с втори фактор, поне 8. Системите трябва да позволяват пароли от поне 64 знака.

Същите насоки казват, че системите не бива да налагат други правила за състав, като задължителни главни букви, цифри и символи, и не бива да изискват периодична смяна на паролата. Смяна се налага, когато има данни, че паролата е изтекла. Новите пароли трябва да се сравняват със списък на често използвани, очаквани или вече изтекли пароли.

Пример за подход (не я използвайте): фраза от четири-пет несвързани думи е по-дълга и по-лесна за въвеждане от „P@ssw0rd!“, която е в списъците на изтеклите пароли.

Една парола – един профил

ENISA съветва да не използвате една и съща парола за различни профили. Причината е проста: при изтичане на данни от един сайт нападателите пробват същия имейл и парола навсякъде другаде. Ако пощата ви има същата парола като стар форум, изтичането от форума отваря пощата.

Най-важните пароли са на имейла (през него се възстановяват всички останали), на банковото приложение, на мобилния оператор и на профила в Apple или Google, който пази архивите на телефона.

Мениджър на пароли

ENISA препоръчва дълги, уникални пароли или фрази, по възможност генерирани и съхранявани от мениджър на пароли. NIST изисква системите да позволяват използването на мениджъри на пароли и автоматично попълване и препоръчва да позволяват поставяне на паролата.

Мениджърът има и още едно предимство: обикновено предлага паролата само на адреса, за който е запазена. Ако сте на сайт с подобен адрес и мениджърът не предлага паролата, спрете и проверете адреса (вижте как да прочетете адреса на сайта).

Изберете мениджър, вграден в браузъра или телефона ви, или самостоятелно приложение с добра репутация.
Пазете главната му парола дълга и я използвайте само там.
Включете втори фактор за самия мениджър (вижте двуфакторна защита).
Запишете кодовете за възстановяване на хартия и ги пазете у дома.

Ключове за достъп (passkeys)

Ключът за достъп (passkey) ви позволява да влизате с пръстов отпечатък, лице или заключването на екрана, вместо с парола. Така Google описва ключовете за достъп в профила си и посочва, че при вход с ключ за достъп втората стъпка се пропуска.

ENISA съветва, където е налично, да използвате ключове за достъп или друго удостоверяване, устойчиво на фишинг. NIST пояснява защо: паролите не са устойчиви на фишинг, а устойчивостта изисква криптографско удостоверяване, обвързано с името на сайта – какъвто е стандартът WebAuthn/FIDO2, на който стъпват ключовете за достъп.

Контролните въпроси и подсказките

NIST забранява подсказки за паролата, които може да види човек, който още не е влязъл, и забранява на системите да искат удостоверяване с „лични“ въпроси като моминското име на майката. Ако сайт все пак ви пита такъв въпрос, не отговаряйте с истината: отговорът често може да се намери в социалните мрежи. Запишете в мениджъра измислен отговор.

Ако паролата е изтекла

Сменете я веднага на този сайт и навсякъде, където сте използвали същата.
Прегледайте устройствата и сесиите, влезли в профила, и излезте от непознатите.
Включете втори фактор, ако още нямате.
Ако някой вече е влязъл в профила ви, следвайте стъпките в откраднат профил; ако са използвани личните ви данни, вижте кражба на самоличност.

Чести въпроси

Трябва ли да сменям паролата на всеки три месеца?

Според NIST системите не бива да изискват периодична смяна. Сменете паролата, когато има данни, че е изтекла или някой я знае.

Безопасно ли е паролите да са в браузъра?

Мениджърът в браузъра е много по-добър от еднакви или записани на лепящи бележки пароли. Защитете профила в браузъра с дълга парола и втори фактор.

Какво е по-сигурно от паролата?

Ключ за достъп или физически ключ за сигурност. Те са устойчиви на фишинг, защото работят само с истинския сайт.

Източници

NIST SP 800-63B-4 – Digital Identity Guidelines: Authentication and Authenticator Management проверено 4 ноември 2026 г.
ENISA – Cyber hygiene проверено 4 ноември 2026 г.
Google – Включете потвърждаването в две стъпки (ключове за достъп) проверено 4 ноември 2026 г.
CERT България – Какво е фишинг, как работи и как да се защитите проверено 4 ноември 2026 г.

Текстът обяснява общите правила и не е правен съвет за конкретен случай. Намерихте грешка? Пишете ни на kontakt@btrust.bg.