「密碼要有大小寫、數字、符號」是十幾年前的舊觀念了。現代資安專家更在意的是另一件事，而且多數人天天都在犯同一個致命錯誤。
過去十幾年，多數網站的密碼規則都是「必須包含大小寫字母、數字、特殊符號」，這個觀念其實已經過時了。美國國家標準與技術研究院（NIST）在近年更新的數位身分準則中，明確把重點從「複雜度」轉向「長度」：一組又長又好記的密碼片語，例如把好幾個不相關的單字組合在一起，遠比一組短但塞滿符號的密碼更難被暴力破解。原因很單純：密碼的安全強度主要取決於「可能組合數」，而長度對可能組合數的影響是指數級的，每多一個字元，破解所需時間就會呈倍數成長；相較之下，把某個字母換成符號（例如把 a 換成 @）能增加的組合數其實有限，而且這類替換規則已經被破解工具的字典庫廣泛收錄，很容易被自動化工具預測到。簡單結論：優先追求足夠的長度（建議至少 12–16 字元以上），複雜度是加分項，但不是安全性的主要來源。
駭客會準備一份收錄常見單字、常見密碼、洩漏過的真實密碼組成的「字典」，用程式自動逐一嘗試登入。如果你的密碼是常見單字、生日、手機號碼這類容易被字典收錄的組合，即使長度不短，也很容易在短時間內被破解。
不靠字典，而是用程式窮舉所有可能的字元組合，從一個字元開始逐步增加長度去嘗試。這種方法理論上一定能破解任何密碼，差別只在於需要花多久時間——而密碼長度正是決定這個「多久」的最關鍵因素，這也是為什麼長度比複雜度更重要的核心原因。
這是目前最普遍、殺傷力也最大的攻擊方式。駭客手上握有從各種資料外洩事件中取得的「帳號＋密碼」清單，然後寫程式拿這份清單去大量嘗試登入其他各種網站，賭的就是「很多人會在不同網站重複使用同一組密碼」。這種攻擊完全不需要破解任何密碼——只要你曾經在某個資安防護較弱的網站洩漏過密碼，而你在其他重要帳號（例如電子郵件、網路銀行）用了同一組密碼，就等於直接把鑰匙雙手奉上。
看完憑證填充的原理，答案其實已經很清楚：只要有一個網站的資料庫外洩，如果你在多個網站重複使用同一組密碼，等於是這一個外洩事件會連環引爆你所有的帳號安全，而且你完全無法控制哪個網站什麼時候會被駭、什麼時候會外洩資料——資安事件新聞裡，中小型論壇、購物網站外洩會員資料的案例屢見不鮮，很多時候使用者根本不知道自己的帳密早就已經流出。唯一能有效阻斷這種連環效應的方法，就是讓每個網站的密碼都完全獨立、互不相同：就算其中一個網站的密碼外洩，攻擊者也無法用同一組憑證登入你的其他帳號，傷害範圍會被限制在單一個網站內。
問題來了：既然每個網站都要用不同密碼，而且每組密碼都建議要長、要隨機、不能是好記的單字組合，一般人根本不可能靠腦袋記住幾十組這樣的密碼。這正是「密碼管理器」存在的意義——它是一個加密的數位保險箱，你只需要記住一組夠強的「主密碼」，管理器就能幫你產生、儲存並自動填入每個網站各自獨立的高強度隨機密碼，你完全不需要自己想密碼或背密碼。市面上有獨立的密碼管理器應用程式，也有整合在瀏覽器裡的內建功能，核心概念都是一樣的：把「記住無數組密碼」這件事，簡化成「記住一組真正重要的主密碼」，再搭配雙重驗證（2FA）進一步保護這組主密碼，是目前資安界公認兼顧安全與方便的最佳解法。
想產生一組高強度隨機密碼嗎？
🔑 回到密碼產生器