בקצרה: סיסמה חזקה ב-2026 נמדדת קודם כול באורך ובאקראיות — לא בכמות הסמלים. היעד: לפחות 16 תווים אקראיים, או צירוף של 5–6 מילים אקראיות (passphrase). צרו סיסמה שונה לכל חשבון, שמרו אותה במנהל סיסמאות, והוסיפו אימות דו-שלבי. כך גם אם סיסמה אחת דולפת, שאר החשבונות נשארים מוגנים.
"סיסמה חזקה" הפך למונח שחוק, אבל רוב העצות עליו התיישנו. הכלל הישן — "8 תווים עם אות גדולה, מספר וסימן" — כבר לא מספיק מול כרטיסי מסך שמנחשים מיליארדי צירופים בשנייה. במדריך הזה נסביר מה באמת קובע את חוזק הסיסמה ב-2026: אנטרופיה, אורך מול מורכבות, צירופי מילים, מנהלי סיסמאות ואימות דו-שלבי — עם מספרים שאפשר לבדוק.
מה הופך סיסמה ל"חזקה"? אנטרופיה, לא תחושה
החוזק האמיתי של סיסמה נמדד באנטרופיה — כמות אי-הוודאות שבה, ביחידות של ביטים. הנוסחה פשוטה: מספר התווים האפשריים בכל מקום, בחזקת אורך הסיסמה, ולוגריתם בבסיס 2 של התוצאה. כל ביט נוסף מכפיל את מספר הניחושים הדרושים לפריצה. סיסמה של 40 ביט נשברת בשניות; סיסמה של 80 ביט תיקח שנים; מעל 100 ביט — היא מעשית בלתי שבירה.
המסקנה המעשית: אקראיות היא הכול. הסיסמה Password1! עומדת בכל דרישות ה"מורכבות" ובכל זאת חלשה, כי היא צפויה — כלי פריצה מנסים קודם את התבניות המוכרות. לעומת זאת רצף אקראי אמיתי אינו ניתן לניחוש מושכל, ולכן כל תו בו תורם אנטרופיה מלאה. זו גם הסיבה שעדיף לתת לאלגוריתם לייצר את הסיסמה — בני אדם נוטים לתבניות, ולכן גרועים באקראיות.
אורך מנצח מורכבות — וגם קל יותר לזכור
זו הנקודה שרוב המדריכים מפספסים: הוספת אורך מעלה אנטרופיה הרבה יותר מהוספת סוגי תווים. לכן צירוף של כמה מילים אקראיות (Passphrase) יכול להיות חזק כמו רצף סמלים — אך קל בהרבה לזכור. הטבלה משווה סוגי סיסמאות נפוצים, האנטרופיה שלהם, וזמן הפריצה המשוער:
| סוג הסיסמה | דוגמה | אנטרופיה | זמן פריצה משוער* |
|---|---|---|---|
| 8 תווים אקראיים (כולל סמלים) | xQ7#mL2! | ~52 ביט | שעות |
| 4 מילים אקראיות | נמר-כספת-ענן-תוף | ~52 ביט | שעות |
| 5 מילים אקראיות | נמר-כספת-ענן-תוף-מפרש | ~65 ביט | שנים |
| 12 תווים אקראיים | xQ7#mL2!vB9$ | ~79 ביט | עשרות אלפי שנים |
| 16 תווים אקראיים | xQ7#mL2!vB9$kR4w | ~105 ביט | טריליוני שנים |
| 20 תווים אקראיים | xQ7#mL2!vB9$kR4wZ1p& | ~131 ביט | בלתי אפשרי בפועל |
* בהנחת תקיפה לא-מקוונת בקצב של כ-100 מיליארד ניסיונות בשנייה נגד גיבוב מהיר. "מילים אקראיות" = מילים שנבחרו אקראית מרשימה בת אלפי מילים, לא מילים שאתם בוחרים בעצמכם.
שימו לב ש-4 מילים אקראיות (~52 ביט) כבר אינן מספיקות לחשבון חשוב ב-2026 — לכן כוונו ל-5–6 מילים, או ל-16 תווים אקראיים ומעלה. וזכרו: היתרון קיים רק אם המילים נבחרו באקראי. המשפט "אני אוהב פיצה בשישי" הוא צפוי, לא passphrase.
מנהל סיסמאות — הפתרון האמיתי לאורך זמן
גם הסיסמה החזקה בעולם מאבדת ערך אם היא חוזרת על עצמה בכמה אתרים: דליפה אחת חושפת את כולם (מתקפה שנקראת credential stuffing). הפתרון אינו לזכור עשרות סיסמאות, אלא מנהל סיסמאות — תוכנה שמייצרת, שומרת וממלאת אוטומטית סיסמה אקראית ייחודית לכל חשבון, מאחורי סיסמת-אב אחת חזקה.
יתרון נוסף שרבים לא מכירים: מנהל סיסמאות ממלא סיסמה רק בכתובת האמיתית שנשמרה. אם נחתתם באתר דיוג (phishing) שנראה זהה למקור — המנהל פשוט לא ימלא, וזו התרעה שקטה שמשהו לא בסדר. את סיסמת-האב עצמה בנו כ-passphrase ארוך שאתם זוכרים, הגנו עליה באימות דו-שלבי, ואל תשמרו אותה בשום מקום דיגיטלי.
אימות דו-שלבי (2FA): השכבה שמצילה גם אחרי דליפה
אימות דו-שלבי מוסיף גורם שני מעבר לסיסמה, כך שגם אם היא נגנבה — התוקף עדיין חסום. אבל לא כל השיטות שוות. הטבלה מדרגת אותן מהחלשה לחזקה:
| שיטת אימות | רמת אבטחה | עמידה בדיוג? |
|---|---|---|
| קוד ב-SMS | בסיסית | לא — חשוף להחלפת SIM ולדיוג |
| אפליקציית מאמת (קוד TOTP) | טובה | חלקית |
| מפתח אבטחה / Passkey (FIDO2) | הגבוהה ביותר | כן — עמיד לדיוג |
העדיפו אפליקציית מאמת על פני SMS בכל מקום שאפשר, ולחשבונות הקריטיים (מייל ראשי, בנק) עברו ל-Passkey או למפתח חומרה. ה-Passkey, טכנולוגיה שהתבססה ב-2025–2026, מחליף את הסיסמה כולה בזוג מפתחות קריפטוגרפי הקשור למכשיר — ואי אפשר לדוג אותו.
הטעויות הנפוצות שכדאי להפסיק
- שימוש חוזר בסיסמה — הסיכון הגדול ביותר. סיסמה ייחודית לכל חשבון, בלי יוצא מן הכלל.
- וריאציות קטנות — Summer2025 שהופך ל-Summer2026 צפוי לחלוטין לכלי פריצה.
- מידע אישי — שם, תאריך לידה, שם חיית מחמד או קבוצה אהודה: כולם ניתנים לניחוש מתוך רשתות חברתיות.
- החלפה יזומה מדי חודש — לפי הנחיית NIST העדכנית, החלפה תקופתית כפויה דווקא מזיקה, כי היא מובילה לסיסמאות חלשות וצפויות. החליפו רק כשיש חשד לדליפה.
- הסתמכות על SMS בלבד — עדיף על כלום, אך פגיע. שדרגו לאפליקציית מאמת.
רוצים סיסמה חזקה עכשיו? הפיקו אחת אקראית ובטוחה עם מחולל הסיסמאות שלנו — הכול רץ בדפדפן, בלי שהסיסמה נשלחת לשרת כלשהו. אחר כך בדקו כל סיסמה קיימת בבודק חוזק הסיסמה וקבלו אומדן אנטרופיה וזמן פריצה מיידי, לפני שאתם סומכים עליה.
שאלות נפוצות
איך יוצרים סיסמה חזקה ב-2026?
הדרך הבטוחה היא להפיק רצף אקראי של 16 תווים ומעלה במחולל סיסמאות, או לבחור 5–6 מילים אקראיות כ-passphrase. אל תמציאו אותה בעצמכם — בני אדם גרועים באקראיות. שמרו כל סיסמה במנהל סיסמאות והוסיפו אימות דו-שלבי לחשבונות החשובים.
מה עדיף — סיסמה אקראית או צירוף מילים (passphrase)?
שתיהן טובות אם הן אקראיות ומספיק ארוכות. רצף של 16 תווים אקראיים חזק במיוחד, ו-passphrase של 5–6 מילים אקראיות מגיע לאנטרופיה דומה אך קל יותר לזכור — ולכן אידיאלי לסיסמת-האב של מנהל הסיסמאות.
האם צריך להחליף סיסמה כל כמה חודשים?
לא. הנחיית NIST העדכנית ממליצה לא לכפות החלפה תקופתית, כי היא מובילה לסיסמאות חלשות וצפויות. החליפו סיסמה רק כשיש חשד לדליפה או פריצה. סיסמה אקראית וארוכה יכולה לשמש בבטחה שנים.
האם מנהל סיסמאות באמת בטוח?
כן, וברוב המקרים בטוח בהרבה מהחלופה — שימוש חוזר בסיסמאות חלשות. הסיכון מרוכז בסיסמת-האב, לכן בנו אותה כ-passphrase ארוך, הפעילו עליה אימות דו-שלבי, ואל תשמרו אותה בשום מקום דיגיטלי.
מה זו אנטרופיה של סיסמה?
אנטרופיה היא מדד לאי-הוודאות של הסיסמה, ביחידות של ביטים. כל ביט מכפיל את מספר הניחושים הדרושים כדי לפרוץ אותה. מתחת ל-50 ביט נחשב חלש; 70–100 ביט חזק; מעל 100 ביט כמעט בלתי שביר בפועל.
האם אימות דו-שלבי ב-SMS מספיק?
הוא עדיף על היעדר אימות, אך זו השיטה החלשה ביותר — חשופה להחלפת SIM ולדיוג. במקום שאפשר עברו לאפליקציית מאמת (קוד TOTP), ולחשבונות קריטיים ל-Passkey או למפתח אבטחה פיזי.
המידע נועד להסבר כללי בלבד בנושא אבטחת מידע ואינו מהווה ייעוץ אבטחה מקצועי. שיעורי האנטרופיה וזמני הפריצה הם הערכות המבוססות על הנחות תקיפה מקובלות. מקור להנחיות: NIST SP 800-63B (Digital Identity Guidelines) ורשות הסייבר הלאומית.
