Wat maakt een wachtwoord sterk? Uitgelegd in gewone cijfers

Een sterk wachtwoord is lang en willekeurig, en die willekeur moet van een generator komen, niet van jou. Elk willekeurig teken of woord vermenigvuldigt het aantal gissingen dat een aanvaller nodig heeft. Daarom doet lengte meer werk dan trucs zoals letters vervangen door symbolen. Maak voor elk account een uniek wachtwoord, bewaar het in een wachtwoordmanager en hergebruik het nooit.

WachtwoordgeneratorIk heb een sterk wachtwoord nodigGratis doen

Waarom slimme trucs niet werken

Aanvallers raden zelden met de hand één account tegelijk. Ze halen lijsten met veelgebruikte wachtwoorden en woorden uit het woordenboek door bekende patronen, zoals @ voor a, 0 voor o en een symbool aan het eind. Die varianten proberen ze eerst, omdat veel mensen dezelfde patronen gebruiken. Een wachtwoord als P@ssw0rd! lijkt voor een mens ingewikkeld, maar het is een van de eerste varianten die een aanvallerslijst probeert. De zichtbare complexiteit zegt weinig over hoe moeilijk het is te raden.

Entropie in gewone woorden

Entropie meet uit hoeveel even waarschijnlijke mogelijkheden een wachtwoord kan zijn voortgekomen, uitgedrukt in bits. Elke extra bit verdubbelt het aantal benodigde gissingen. Het belangrijkste punt is dat entropie het proces beschrijft dat het wachtwoord heeft gemaakt, niet hoe het eruitziet. Een willekeurige reeks en een onthoudbare zin kunnen even vreemd lijken en toch een heel verschillende entropie hebben. Een willekeurige identifier is ook geen wachtwoord, want die is gemaakt om uniek te zijn, niet geheim. UUID v4 of v7 legt het verschil uit.

Voor een wachtwoord van willekeurige tekens is de berekening:

bits = lengte × log2(grootte van de tekenset)

Voor een wachtwoordzin van willekeurige woorden is het:

bits = aantal woorden × log2(grootte van de woordenlijst)

De tabel toont uitgewerkte waarden. Elke rij gaat ervan uit dat elke keuze willekeurig en even waarschijnlijk was.

Zo gemaakt	Mogelijkheden	Bits
8 willekeurige kleine letters	26^8	37,6
12 willekeurige letters en cijfers	62^12	71,5
20 willekeurige tekens uit 94 afdrukbare symbolen	94^20	131,1
4 willekeurige woorden uit een lijst van 7.776 woorden	7.776^4	51,7
5 willekeurige woorden uit een lijst van 1.024 woorden	1.024^5	50,0
6 willekeurige woorden uit een lijst van 7.776 woorden	7.776^6	77,5

De eerste rij laat zien waarom korte willekeurige reeksen zwak zijn: 38 bits laat weinig marge voor een belangrijk account. De derde rij laat zien wat lengte oplevert. Een wachtwoord dat je zelf bedenkt, zoals Sunset!2026, heeft veel minder echte mogelijkheden dan de lengte doet vermoeden, omdat je het hebt gekozen uit een kleine set vertrouwde vormen.

Wachtwoordzinnen die je kunt typen

Als je een wachtwoord moet typen, bijvoorbeeld voor het inloggen op een laptop of het hoofdwachtwoord van een wachtwoordmanager, dan is een wachtwoordzin van willekeurige woorden de praktische keuze. Zes willekeurige woorden uit een lijst van 7.776 woorden geven ongeveer 77,5 bits, en woorden onthoud je veel makkelijker dan een willekeurige reeks symbolen. De woorden moeten wel echt willekeurig zijn. Vier woorden die je zelf hebt uitgekozen, bevatten veel minder dan het aantal doet vermoeden, omdat mensen vertrouwde woorden in vertrouwde combinaties kiezen. Woordenlijsten op basis van dobbelstenen zijn daarom gebruikelijk: de dobbelstenen maken de keuze, niet je gewoontes. De wachtwoordgenerator maakt een wachtwoordzin op deze manier, met een scheidingsteken dat je kiest en een optionele hoofdletter en cijfer.

Hergebruik is het grotere risico

Lengte is belangrijk, maar hergebruik is meestal wat één datalek in veel datalekken verandert. Wanneer een site wordt gehackt, worden de combinaties van e-mailadres en wachtwoord vaak uitgeprobeerd op andere populaire sites. Dit heet credential stuffing. Een wachtwoord dat op papier sterk is, faalt volledig als je het ook elders gebruikt.

Een wachtwoordmanager lost dit probleem op. Hij maakt een uniek wachtwoord voor elk account, bewaart het en vult het in, zodat jij alleen één sterk hoofdwachtwoord hoeft te onthouden. Browsers en telefoonsystemen hebben ingebouwde managers, en er bestaan ook losse apps. Welke je ook gebruikt, zet eerst tweestapsverificatie aan voor je e-mail- en bankrekeningen, want je e-mailaccount is de sleutel om de andere wachtwoorden opnieuw in te stellen.

NIST, de Amerikaanse normalisatie-instelling, geeft de voorkeur aan lengte boven complexiteitseisen zoals verplichte symbolen, en schrapt verplichte periodieke wijzigingen tenzij er aanwijzingen zijn dat een wachtwoord is gelekt. Een site die je elke paar maanden je wachtwoord laat wijzigen, of lange wachtwoorden of plakken weigert, volgt oude gewoontes. Dat is een zwakte van de site, geen reden om een zwakker wachtwoord te kiezen.

Een korte checklist

• Genereer wachtwoorden in plaats van ze zelf te bedenken.
• Voor accounts die je niet makkelijk kunt herstellen, mik op minstens 16 willekeurige tekens, of zes willekeurige woorden.
• Gebruik per account één uniek wachtwoord en bewaar ze in een manager.
• Zet tweestapsverificatie aan waar die wordt aangeboden.
• Wijzig direct een wachtwoord als een dienst die je gebruikt een datalek meldt.

Als het wachtwoord voor je router is, laat de wifi delen met een QR-code zien hoe je het kunt doorgeven zonder het hardop voor te lezen.

Zo doe je het met fixmint

1. Open de wachtwoordgenerator en houd Willekeurige tekens geselecteerd.
2. Zet Lengte op minstens 16, en op 20 of meer voor een belangrijk account. De standaard is 20, met alle vier de tekensets aangevinkt.
3. Lees Geschatte sterkte. De tool noemt minder dan 50 bits zwak, 50 tot 69 matig, 70 tot 99 sterk, en 100 of meer zeer sterk.
4. Klik op Opnieuw genereren voor een nieuwe set van vijf, en kopieer er één naar je wachtwoordmanager. Gebruik hem nergens anders.
5. Voor een hoofdwachtwoord dat je moet typen, kies je Wachtwoordzin, zet je Woorden op zes en houd je een scheidingsteken aan dat je makkelijk kunt typen.

Snelle antwoorden

Zijn symbolen verplicht voor een sterk wachtwoord?

Nee. Willekeurige symbolen voegen wat bits toe, maar lengte voegt meer toe, en een lange willekeurige reeks letters en cijfers is sterk.

Hoeveel woorden maken een sterke wachtwoordzin?

Zes willekeurige woorden uit een lijst van 7.776 woorden geven ongeveer 77,5 bits, een degelijk doel voor de meeste accounts.

Is het veilig om mijn browser gegenereerde wachtwoorden te laten opslaan?

Voor de meeste mensen is dat een redelijke keuze, mits het apparaat een schermvergrendeling heeft en het browserprofiel beveiligd is. Het grootste risico zit in het apparaat, niet in het wachtwoord.