Guide
Şifre Kaç Karakter Olmalı? Hesap Türüne Göre
8 karakter yasal bir asgari değerdir, güvenli bir değer değil. İşte hesaba göre gerçekten mantıklı olan uzunluk — ve nedeni.
By Buğra SözeriPublished
"Şifrem ne kadar uzun olmalı?" sorusunun tek bir evrensel yanıtı yoktur, çünkü doğru uzunluk girişin arkasında ne olduğuna ve şifrenin nasıl yazıldığına bağlıdır. Aşağıda, NIST SP 800-63B standardının karmaşıklık kurallarının yerine önerilen varsayılan olarak benimsediği zamandan beri sürdürdüğü entropi matematiği ve uzunluk-önceliği yaklaşımı üzerine kurulu, hesap türüne göre bir uzunluk tablosu bulacaksınız.
Taban: 8 karakter, ve neden bir hedef olmadığı
NIST SP 800-63B, servislerin kullanıcı tarafından seçilen en az 8 karakterlik gizli değerleri kabul etmesini ve en az 64 karakteri desteklemesini şart koşar — standardın şifrelerin gerçekte hangi yöne gitmesini istediğine dair güçlü bir ipucu. Sekiz karakter bir uyumluluk tabanıdır, güvenlik hedefi değil: 8 tamamen rastgele alfasayısal-artı-sembol karakterde entropi yalnızca yaklaşık 52 bittir, ki bu sızmış bir özet karşısında modern kırma donanımının rahatlıkla saldırabileceği aralıktadır. 8'i "bir sitenin izin vereceği asgari değer" olarak görün, gerçekten seçmeniz gereken bir uzunluk olarak değil.
Hesap türüne göre önerilen uzunluk
| Hesap türü | Önerilen uzunluk | Neden |
|---|---|---|
| Düşük riskli / gelip geçici (forum, ücretsiz deneme) | 12+ rastgele karakter | Ele geçirilirse değeri düşüktür, ama yine de burada olacak bir sızıntının başka hesapları açmaması için benzersiz bir şifreyi hak eder. |
| E-posta, sosyal medya, alışveriş | 16+ rastgele karakter | Özellikle e-posta, sahip olduğunuz her şeye giden bir kurtarma yoludur — yüksek değerli bir hesap gibi ele alın. |
| Bankacılık, vergi, sağlık portalları | 16-20+ rastgele karakter (site izin verdiği ölçüde) | Ele geçirilirse gerçek mali veya tıbbi sonuçları olan yüksek değerli bir hedef. |
| Şifre yöneticisi ana şifresi | 6+ rastgele Diceware kelimesi (~77+ bit) | Ezberden yazılan tek şifre; bir parola cümlesi, eşdeğer güçteki rastgele bir dizeden daha hızlı ve güvenilir biçimde hatırlanır. |
| Ev Wi-Fi'si (WPA2/WPA3) | 16+ rastgele karakter | Kurulumdan sonra nadiren yazılır (cihazlar hatırlar), bu yüzden uzun tutmanın okunabilirlik maliyeti yoktur. |
Uzunluk neden karakter sınıfı eklemekten daha etkili
Mantık, bu sitedeki her entropi rehberinin arkasındaki aynı formüldür: entropi = uzunluk × log2(karakter kümesi büyüklüğü). 62 karakterlik bir kümeden (harf ve rakam) yaklaşık 94 karakterlik bir kümeye geçmek (sembol eklemek) karakter başına biti yaklaşık 5,95'ten 6,55'e çıkarır — bir kez uygulanan küçük çarpımsal bir kazanç. Buna karşın dört karakter daha uzunluk eklemek, o 5,95-6,55 biti dört ayrı kez ekler. Bir site sizi her karakter sınıfına sahip daha kısa bir şifre ile sembolsüz dört karakter daha uzun bir şifre arasında seçim yapmaya zorlarsa, her zaman uzunluğu seçin.
Uzun gidemediğinizde
Bazı eski sistemler hâlâ şifre uzunluğunu 12 veya 16 karakterle sınırlar — genel şifre rehberimizin daha derinlemesine ele aldığı ve OWASP rehberliğinin açıkça karşı çıktığı bir uygulama. Düşük bir tavanla karşılaştığınızda, uzunluk artık elinizdeki kaldıraç olmadığından karakter kümesini maksimize etmek için her mevcut karakter sınıfını kullanın. Tam sembol kümesine sahip sınırlı 12 karakterlik bir şifre (~79 bit), sembolsüz aynı uzunluktaki şifreden (~71 bit) hâlâ anlamlı derecede güçlüdür — küçük bir fark, ama elde kalan tek düğme budur. Mümkün olduğunda, sınırlı veya başka türlü zayıf bir girişi, şifre uzunluğuna hiç bağlı olmayan iki faktörlü kimlik doğrulamayla eşleştirin.
Frequently asked questions
- Asgari güvenli şifre uzunluğu nedir?
- NIST SP 800-63B, kullanıcı tarafından seçilen gizli değerler için 8 karakteri zorunlu asgari olarak belirler, ancak bunu açıkça bir taban olarak çerçeveler — standart ayrıca servislerin en az 64 karakteri kabul etmesini önerir, ki bu yalnızca daha uzun şifrelerin yaygın ve faydalı olması beklendiğinde anlamlıdır.
- Rastgele üretilmiş bir şifre için uzun olan, daha çok sembol içeren kısa şifreden her zaman daha güvenli midir?
- Rastgele üretilen şifreler için neredeyse her zaman evet. Her eklenen karakter olası şifre sayısını karakter kümesi büyüklüğüyle çarpar, oysa bir karakter sınıfı eklemek sadece bir kez daha küçük bir faktörle çarpar. İki karakter uzunluk eklemek, genellikle sembolü olmayan bir şifreye sembol eklemekten daha etkilidir.
- Bazı bankacılık siteleri neden şifre uzunluğunu 12 veya 16 karakterle sınırlıyor?
- Tarihsel olarak bazı sistemler, uzunluk sınırı olan algoritmalarla şifreleri özetliyor ya da uzunluğu kısıtlanmış depolama alanları kullanıyordu, ya da uzun girdileri hiç öngörmeyen eski kod çalıştırıyordu. Bugün zayıf bir uygulama olarak kabul edilir — OWASP uygulamaların en az 64 karakteri desteklemesini önerir — ama pek çok eski bankacılık ve miras sistem hâlâ düşük tavanlar uygular.
- Şifre yöneticimin ana şifresinin uzun olması, normal site girişlerine göre daha mı önemli?
- Evet. Şifre yöneticinizin ana şifresi, ele geçirildiğinde sahip olduğunuz her diğer şifreyi açığa çıkaran tek şifredir. Aynı zamanda elle en sık yazdığınız şifredir — bu yüzden o özel şifre için kısa ve karmaşık bir dize yerine uzun bir parola cümlesi yaygın önerilen yaklaşımdır.
Sources & references
Authoritative references cited by this piece. Verified by Buğra Sözeri on the dates shown and re-checked at every deploy.
- NIST SP 800-63B — Digital Identity Guidelines (Authentication and Lifecycle Management) — Kullanıcı tarafından seçilen ezberlenmiş gizli değerler için 8 karakterlik asgari değeri belirler ve en az 64 karakterin kabul edilmesini önerir(as of )
- CISA — Secure Our World: Use Strong Passwords — ABD hükûmetinin daha uzun ve hesap başına benzersiz şifreler önerisi(as of )
- OWASP — Authentication Cheat Sheet — Uygulama kimlik doğrulama sistemleri için önerilen asgari ve azami şifre uzunlukları(as of )
Related
Published September 25, 2026