Самый главный секрет, который нельзя хранить под ковриком — на стикере или в заметках «все пароли»
Представьте дом с 50 дверьми. На каждой — свой ключ. А все ключи висят на видной связке у входа. Любой может сфотографировать и зайти, когда захочет.
Примерно так бывает с паролями: один на всё, дата рождения, имя кошки, 123456, пароль, password.
Разберём, как придумывать, хранить и использовать пароли — без занудства и без совета «запомните 50 случайных символов».
1. Почему один пароль — плохая идея
Вы когда-то зарегистрировались на старом форуме или в магазине, который уже закрылся. Базу с паролями украли. У злоумышленников есть ваш любимый пароль — и они пробуют его везде:
- электронная почта;
- VK, MAX, «Одноклассники»;
- онлайн-банк;
- Госуслуги.
Если везде один и тот же — заходят без взлома именно вас. Взломали мелкий сайт — пострадали все аккаунты.
Правило №1: у каждого сервиса — свой пароль. Даже если сайт кажется «неважным».
Проверить утечки: на haveibeenpwned.com введите e-mail — сервис покажет известные взломы. Он не получает ваш пароль (используется модель k-anonymity), но вы передаёте адрес стороннему сервису. При сомнении ориентируйтесь на уведомления от самих платформ и смену пароля после известных инцидентов.
2. Как придумать хороший пароль (и не сойти с ума)
Пароль вроде G7#kL$2mQp@9 надёжен, но не запоминается — и оказывается на стикере на мониторе. Это уже другая проблема.
Метод «случайные слова»
Возьмите четыре случайных слова, которые легко представить:
Кот · Велосипед · Облако · Вареник
Соберите фразу, добавьте цифру и символ:
Кот4Велосипед-Облако%Вареник
Запомнить легко — картинка в голове: кот на велосипеде едет в облако за вареником. Взломать перебором — очень долго за счёт длины и размера «словаря».
Чего не использовать
- qwerty123, йцукен, 123456, 111111;
- дата рождения;
- имя питомца, фамилия, пароль, password;
- один пароль для рабочих сервисов и для личной жизни.
3. Паролей много — не держите их в голове
50 разных паролей в памяти — нереально. Это нормально. Для этого есть менеджеры паролей.
Они:
- хранят пароли в зашифрованном виде;
- подставляют их на сайтах;
- требуют запомнить один сильный мастер-пароль.
Что выбрать
Если хотите просто начать, подойдут встроенные решения:
- iPhone / Mac — «Пароли» в связке ключей iCloud;
- Android / Chrome — встроенный менеджер Google;
- Яндекс.Браузер — встроенное хранилище.
Если хотите больше контроля:
- Bitwarden — бесплатно, облако, синхронизация; минус — данные на зарубежных серверах.
- KeePass — бесплатно, локальный файл, без облака; минус — чуть сложнее в освоении.
- 1Password и аналоги — удобно, но платно; перед подпиской проверьте оплату из РФ.
Встроенный менеджер браузера уже на порядок лучше, чем один пароль на всё. Но для критичных аккаунтов лучше отдельный менеджер + 2FA.
4. Двухфакторная аутентификация (2FA) — второй замок
Даже украденный пароль не пустит дальше, если включена 2FA: пароль + код или подтверждение на телефоне.
Чем подтверждать
- Через почту — слабый вариант.
- Через SMS — лучше, чем ничего, но есть риск SIM-swap.
- Через приложение-аутентификатор (Яндекс Ключ, Multifactor, Google Authenticator и аналоги) — предпочтительно.
- Через физический ключ безопасности (USB/NFC) — очень надёжно там, где поддерживается.
На Госуслугах по возможности используйте TOTP в приложении, а не только SMS.
Что включить в первую очередь
- почта;
- онлайн-банк;
- Госуслуги;
- VK, MAX;
- облако с важными файлами.
Сохраните резервные коды 2FA вне телефона — например, на бумаге в закрытом месте.
5. Passkeys — вход без пароля (тренд 2026)
Всё чаще сервисы предлагают ключ доступа: вход по отпечатку или лицу без ручного ввода пароля.
Где есть возможность — включайте. Но обязательно настройте резервный вход: второе устройство, резервные коды, привязанная почта.
6. Как часто менять пароли
Совет «менять каждые 3 месяца просто так» устарел.
Меняйте пароль, если:
- сервис сообщил об утечке;
- вы видите подозрительный вход;
- пароль был слабым;
- на устройстве был вирус (в этом случае меняйте пароли с чистого устройства).
Лучше потратить время на 2FA и гигиену входа, чем на бессмысленную ротацию.
7. Менеджер не спасёт от фишинга
Если вы сами ввели пароль на поддельном сайте — менеджер не поможет.
Что делать:
- проверять адрес сайта в строке браузера;
- не вводить пароль «по просьбе в чате»;
- не переходить по ссылкам из писем «срочно подтвердите».
8. Чего делать нельзя
- хранить «все пароли» в заметках;
- держать файл Пароли.txt на рабочем столе;
- пересылать пароли в мессенджерах;
- клеить стикеры с паролями на монитор;
- использовать один пароль для работы и личных сервисов.
9. Чек-лист за 5 минут
Проверьте, что:
- у почты, банка, Госуслуг и соцсетей разные пароли;
- на почте включена 2FA;
- нигде нет простых паролей вроде 123456 и даты рождения;
- пароли лежат в менеджере, а не в заметках;
- резервные коды 2FA сохранены вне телефона;
- вы знаете, как восстановить доступ при потере телефона.
Что запомнить
- Один сервис — один пароль.
- Лучший мастер-пароль — длинная фраза из случайных слов.
- Менеджер паролей обязателен (хотя бы встроенный).
- 2FA на почте и банке важнее, чем «менять всё раз в квартал».
- Не верьте срочным ссылкам «от банка» и «от знакомого».
Сделайте сегодня (около 20 минут)
- Найдите сервисы с одинаковым паролем и смените их (почта, банк, Госуслуги — в первую очередь).
- Включите 2FA на почте через приложение-аутентификатор.
- Запустите менеджер паролей и сохраните туда новые пароли.
- Сохраните резервные коды 2FA в безопасном месте.
Пароли — не враги. Их нужно один раз грамотно настроить, и дальше живётся спокойнее.
Подпишитесь на канал «Синтез закона и технологий» — цифровая грамотность и безопасность без лишней паники.
Читайте также: фишинг, телефонные мошенники, 2FA за 10 минут, цифровой профиль на Госуслугах.
