Bezpieczeństwo haseł w 2026 roku: wycieki, sprawdzanie i ochrona konta

Dlaczego hasło wciąż jest najsłabszym ogniwem

Możesz zabezpieczyć serwer zgodnie z zasadami, skonfigurować bezpieczeństwie strony internetowej, a mimo to stracić konto przez jedno słabe hasło. Powód jest prosty: ludzie powtarzają hasła. To samo hasło chroni e-mail, sklep i forum — a gdy forum zostanie zhakowane, to hasło otwiera e-mail, a e-mail otwiera wszystko inne.

Atak nazywa się stuffing poświadczeń: ktoś bierze miliony par login-hasło z dawnych naruszeń i automatycznie odtwarza je na innych stronach. Nie muszą cię hakować — to już zostało zrobione za nich. Dlatego siła hasła nie polega na tym, że jest trudne do zapamiętania; sprowadza się do dwóch zasad: hasło musi być długie i unikalne dla każdej strony.

Jak hasła wyciekają

Hasło rzadko jest 'zgadywane'. O wiele częściej wycieka w całych bazach danych:

• Naruszenie usługi — baza danych użytkowników z hasłami trafia do sieci. Jeśli hasła były źle przechowywane, szybko zostaną złamane.
• Phishing — sam wpisujesz hasło na fałszywej stronie, która nie różni się od prawdziwej.
• Złośliwe oprogramowanie — programy kradnące zbierają hasła zapisane w przeglądarce bezpośrednio z zainfekowanego urządzenia.
• Ponowne użycie — wyciek na jednej stronie automatycznie kompromituje każdą inną, na której używane jest to samo hasło.

Wynik zawsze jest taki sam: hasło trafia do publicznych baz danych, które już zawierają setki milionów rekordów. Dobrą wiadomością jest to, że możesz sprawdzić te same bazy danych, aby zobaczyć, czy twoje hasło się pojawiło, i zrobić to bezpiecznie.

Co sprawia, że hasło jest silne

Siła nie jest mierzona przez posiadanie 'specjalnego znaku', ale przez entropię — liczbę opcji, które musiałby wypróbować atakujący. Długość zwiększa ją znacznie bardziej niż egzotyczne symbole: cztery losowe słowa przewyższają krótkie 'P@ss1!'.

• Długość — co najmniej 12–16 znaków, więcej dla ważnych kont.
• Losowość — nie imię, data ani słowo ze słownika, ale naprawdę losowe.
• Unikalność — inne hasło dla każdej strony, aby jeden wyciek nie otworzył reszty.

Wymyślanie tego w swojej głowie jest bezsensowne. Zamiast tego wygeneruj je: nasz generator haseł tworzy długie losowe hasło bezpośrednio w przeglądarce, kryptograficznie silne, bez wysyłania go gdziekolwiek.

Jak sprawdzić hasło pod kątem naruszeń

Możesz sprawdzić, czy hasło znajduje się w znanych wyciekach, nie ujawniając go. Działa to na zasadzie k-anonimowości: hasło jest haszowane w twojej przeglądarce, tylko pierwsze pięć znaków hasza trafia na serwer, lista dopasowań dla tego prefiksu wraca, a dopasowanie jest znajdowane lokalnie. Serwer nigdy nie widzi hasła ani jego pełnego hasza.

Dokładnie tak działa nasz sprawdzanie wycieku hasła: porównuje hasło z bazą danych Have I Been Pwned, nic nie przechowując. Jeśli hasło pojawi się w naruszeniach, traktuj je jako skompromitowane i zmień je wszędzie, gdzie go używałeś. To samo sprawdzenie warto wprowadzić do formularzy rejestracji i zmiany hasła, aby ostrzec użytkowników o słabym haśle, zanim je ustawią.

Menadżery haseł i uwierzytelnianie dwuskładnikowe

Długie, unikalne hasła nie mogą być zapamiętywane w twojej głowie — i nie muszą. Menadżer haseł generuje, przechowuje i wypełnia je za ciebie; pamiętasz tylko jedno główne hasło. To jedyny praktyczny sposób, aby mieć inne silne hasło na każdej stronie.

Drugą warstwą jest uwierzytelnianie dwuskładnikowe (2FA). Nawet jeśli hasło wycieknie, drugi czynnik blokuje logowanie. W kolejności siły: klucz sprzętowy lub aplikacja uwierzytelniająca przewyższa kody SMS, które są przechwytywane przez zamianę SIM. Włącz 2FA przynajmniej dla e-maila i bankowości — to są konta, które przywracają wszystkie inne.

Jak przechowywać hasła na zapleczu (dla programistów)

Jeśli budujesz usługę z rejestracją, odpowiedzialność za hasła użytkowników spoczywa na tobie. Podstawowe zasady nie podlegają dyskusji:

• Nigdy nie przechowuj haseł w postaci niezaszyfrowanej i nigdy nie szyfruj ich w sposób odwracalny — tylko nieodwracalny skrót.
• Używaj wolnych funkcji adaptacyjnych — bcrypt, scrypt lub argon2 — z solą dla każdego hasła. Zwykły SHA-256 się nie sprawdzi: jest zbyt szybki i pada ofiarą GPU.
• Sprawdzaj nowe hasła pod kątem naruszeń podczas rejestracji i zmiany — za pomocą tej samej k-anonimowości, bez wysyłania hasła na zewnątrz.
• Ograniczaj próby logowania i dodaj 2FA, aby wyciek bazy danych nie dawał natychmiastowego dostępu.

Wbudowujemy to w architekturę, gdy budujemy aplikacje internetowe i SaaS: uwierzytelnianie i przechowywanie sekretów są zaprojektowane od podstaw, a nie dodawane później.

Lista kontrolna bezpieczeństwa haseł

1. Długie (12+), losowe, unikalne hasło dla każdej strony.
2. Menadżer haseł zamiast zapamiętywania i ponownego używania.
3. Uwierzytelnienie dwuetapowe wszędzie tam, gdzie to możliwe — przynajmniej e-mail i bankowość.
4. Sprawdź ważne hasła pod kątem naruszeń; w przypadku dopasowania, zmień natychmiast.
5. Dla deweloperów: argon2/bcrypt z solą, limity prób, sprawdzenie naruszenia przy rejestracji.

FAQ