Güclü parolun əsas şərti mürəkkəblik deyil, uzunluq və təkrarsızlıqdır. ABŞ Milli Standartlar və Texnologiya İnstitutunun (NIST) 2025-ci ilin avqustunda dərc etdiyi SP 800-63B-4 təlimatına görə, yeganə giriş amili olan parol ən azı 15, iki mərhələli doğrulama ilə işlədilən parol isə ən azı 8 simvoldan ibarət olmalıdır. Hər hesab üçün ayrıca parol yaratmağın praktik yolu parol meneceridir: Google Password Manager və Apple-ın Passwords tətbiqi pulsuzdur, Bitwarden və KeePass-ın pulsuz versiyası var, 1Password isə ödənişlidir. Passkey (açar-parol) isə parolu tamamilə əvəz edən, fişinqə davamlı giriş üsuludur.
Zəif parol nədir: ən çox yayılmış səhvlər
- ardıcıl rəqəm və hərflər: 123456, 12345678, qwerty, 111111;
- "password", "parol", "admin" kimi sözlər;
- ad və doğum ili: Aysel1995, Orxan2008; şəhər və ya komanda adı: Baki2026, Qarabag1;
- telefon nömrəsi, avtomobil nömrəsi, ad günü tarixi;
- bir parolun kiçik dəyişikliklə hər yerdə işlədilməsi: Leyla2024!, Leyla2025!.
Hücumçular sızmış milyardlarla paroldan tərtib olunmuş lüğətlərlə işləyir və bu cür şablonları çox qısa vaxtda yoxlayır. Sonuna böyük hərf, rəqəm və "!" əlavə etmək ("Parol1!") ciddi qoruma vermir, çünki insanların çoxu bunu eyni qaydada edir.
Uzunluq, yoxsa mürəkkəblik: NIST nə tövsiyə edir
NIST-in yeni təlimatı parol tələblərini xeyli sadələşdirib. Əsas müddəalar:
| Mövzu | NIST SP 800-63B-4 mövqeyi |
|---|---|
| Minimum uzunluq | Tək amil kimi – 15 simvol; çoxamilli girişin bir hissəsi kimi – 8 simvol |
| Maksimum uzunluq | Ən azı 64 simvola icazə verilməlidir |
| Tərkib qaydaları (böyük hərf, rəqəm, simvol məcburiyyəti) | Tətbiq edilməməlidir |
| Dövri dəyişdirmə | Tələb olunmamalıdır; yalnız sızma əlaməti olduqda dəyişdirilir |
| Qara siyahı | Yayılmış, gözlənilən və sızmış parollar rədd edilməlidir |
| Parol menecerləri | Avtodoldurmaya icazə verilməlidir, yapışdırmaya (paste) icazə tövsiyə olunur |
| Boşluq və Unicode simvollar | Qəbul edilməsi tövsiyə olunur |
| İpucu və gizli suallar | "Ananızın qızlıq soyadı" kimi suallar istifadə edilməməlidir |
Bu tələblər ilk növbədə sayt və xidmətlərə ünvanlanıb, lakin istifadəçi üçün nəticə aydındır: qısa, "mürəkkəb" parol əvəzinə uzun və unikal parol seçin.
Passphrase: uzun, amma yadda qalan parol
Yadda saxlamalı olduğunuz bir neçə parol üçün – kompüterə giriş, əsas e-poçt və parol menecerinin master parolu – passphrase, yəni təsadüfi seçilmiş 4–6 sözdən ibarət ifadə ən yaxşı seçimdir. Məsələn, "tenbel-qayiq-narinci-cetir-dag" 30 simvoldur, yadda qalır və heç bir məşhur cümləyə bənzəmir. Qaydalar:
- sözləri özünüz "fikirləşməyin" – menecerin generatoru və ya zər atma üsulu ilə təsadüfi seçin;
- məşhur sitat, mahnı sözü və ya atalar sözü işlətməyin;
- sözləri defis və ya boşluqla ayırmaq kifayətdir;
- bəzi saytlar ə, ş, ç kimi hərfləri qəbul etmir, ona görə də əsas latın hərflərindən istifadə etmək daha etibarlıdır.
Qalan hesablar üçün parolu yadda saxlamağa ehtiyac yoxdur: menecer 20 və daha çox simvoldan ibarət təsadüfi parol yaradır və onu özü doldurur.
Eyni parolun təkrarı və sızma yoxlaması
Eyni parolu bir neçə saytda işlətmək ən böyük riskdir. Hansısa sayt sındırılanda e-poçt və parol cütləri yayılır, hücumçular onları avtomatik olaraq digər xidmətlərdə sınayır – buna "credential stuffing" deyilir. Have I Been Pwned (HIBP) xidmətinin bazasında 2026-cı ilin oktyabrı etibarilə 1047 sızmış sayt üzrə 17,8 milyarddan çox hesab qeydi var.
- E-poçtu yoxlayın: haveibeenpwned.com saytında ünvanınızı yazın – hansı sızmalarda göründüyünü görəcəksiniz. "Notify Me" bölməsi gələcək sızmalar barədə bildiriş göndərir.
- Parolu yoxlayın: "Pwned Passwords" bölməsi k-anonimlik modeli ilə işləyir – parolun özü göndərilmir, yalnız onun heşinin (hash) kiçik bir hissəsi yoxlanılır. Xidmət ayda 18 milyarddan çox sorğu emal edir.
- Menecerin daxili yoxlaması: Google Password Manager ictimaiyyətə sızmış parollar barədə xəbərdarlıq edir, Apple Passwords isə zəif, təkrarlanan və sızmalarda görünən parolları göstərir.
Parolunuz sızma siyahısındadırsa, onu işlətdiyiniz bütün hesablarda dərhal dəyişin.
Parol menecerləri: müqayisə cədvəli
Parol meneceri bütün parolları şifrələnmiş "seyfdə" saxlayır, yeni parollar yaradır və saytlarda avtomatik doldurur. Qiymətlər 20 oktyabr 2026 tarixində rəsmi saytlardan götürülüb (ABŞ dolları, vergisiz):
| Menecer | Növ | Pulsuz versiya | Ödənişli plan | Qeyd |
|---|---|---|---|---|
| Google Password Manager | Brauzer və hesab daxili | Bəli | Yoxdur | Chrome və Android; passkey, sızma xəbərdarlığı, ailə qrupu ilə paylaşma |
| Apple Passwords (iCloud Keychain) | Sistem daxili | Bəli | Yoxdur | iOS 18, macOS Sequoia və sonrası; Windows-da iCloud for Windows ilə Chrome və Edge |
| Bitwarden | Müstəqil, açıq mənbə | Bəli, əsas funksiyalar | Premium – 19,80 $/il; Families – 47,88 $/il (6 nəfər) | Bütün əsas platformalar |
| 1Password | Müstəqil | Yox, 14 günlük sınaq | Individual – 3,99 $/ay; Families – 5,99 $/ay (5 nəfər), illik ödənişlə | Bütün əsas platformalar; vaxtaşırı endirim kampaniyaları olur |
| KeePass | Müstəqil, açıq mənbə, lokal | Bəli, tam | Yoxdur | Baza faylı kompüterinizdə saxlanır; AES-256, ChaCha20, Twofish şifrələmə |
Seçim üçün sadə qayda: yalnız bir ekosistemdə (məsələn, yalnız Apple və ya yalnız Android və Chrome) işləyirsinizsə, daxili menecer kifayətdir. Windows kompüter və iPhone kimi qarışıq cihazlarınız varsa, müstəqil menecer daha rahatdır. Buluda etibar etmirsinizsə, KeePass bazasını özünüz saxlaya bilərsiniz, lakin cihazlar arası sinxronizasiya və ehtiyat nüsxə tamamilə sizin məsuliyyətinizdədir.
Passkey nədir və harada işləyir
FIDO Alliance-ın tərifinə görə passkey FIDO standartlarına əsaslanan giriş məlumatıdır və parolu kriptoqrafik açar cütü ilə əvəz edir. Açıq açar saytda, şəxsi açar isə sizin cihazınızda qalır. Giriş zamanı telefonu və ya kompüteri açdığınız üsulla – barmaq izi, üz tanıma, PIN və ya şəkilli açarla – təsdiq verirsiniz; biometrik məlumat cihazdan çıxmır.
- Fişinqə davamlıdır: passkey yalnız yaradıldığı saytda işləyir, oğurlana biləcək ortaq sirr yoxdur.
- İki növü var: sinxronlaşan passkey (menecer vasitəsilə bütün cihazlarınıza köçür) və cihaza bağlı passkey (məsələn, fiziki FIDO təhlükəsizlik açarında qalır).
- Başqa cihazda giriş: kompüterdə göstərilən QR kodu telefonla skan edirsiniz, yaxınlıq isə Bluetooth ilə təsdiqlənir.
- Dəstək: bütün əsas əməliyyat sistemləri, brauzerlər və müstəqil menecerlər passkey-i dəstəkləyir.
FIDO Alliance-ın istinad etdiyi 2024-cü il sorğusuna görə istifadəçilərin 53%-i ən azı bir hesabda passkey aktivləşdirib; Google passkey ilə uğurlu girişlərin parola nisbətən 4 dəfə çox olduğunu bildirir. Hesabınız passkey təklif edirsə, onu aktivləşdirin, amma bərpa üçün ehtiyat üsulu saxlayın.
İki mərhələli doğrulama, master parol və ailə paylaşımı
İki mərhələli doğrulama. Parol sızsa belə, ikinci amil hesabı qoruyur. SMS kodundan daha etibarlısı autentifikator tətbiqi və ya fiziki təhlükəsizlik açarıdır. Ən azı e-poçt, bank, sosial şəbəkə və parol menecerinin özündə bu funksiyanı açın. Hesab oğurlananda nə etməli olduğunu ayrıca məqaləmizdə izah etmişik.
Master parolu unutsanız. Müstəqil menecerlər adətən "sıfır bilik" şifrələməsi ilə işləyir: şirkət parolunuzu bilmir. Bitwarden bildirir ki, master parolu əldə etmək və ya sıfırlamaq imkanı yoxdur; çıxış yolları ipucu, əvvəlcədən qurulmuş təcili giriş (Emergency access) kontaktı və ya hələ açıq qalan cihazdan məlumatları ixrac etməkdir, əks halda hesab silinib yenidən yaradılmalıdır. KeePass bazası da master açar olmadan açılmır. Google Password Manager-də cihazda şifrələmə aktivdirsə, bütün bərpa vasitələrini itirmək parolların itməsi deməkdir. Master parolu kağıza yazıb evdə etibarlı yerdə saxlayın, bərpa kodlarını çap edin.
Ailə paylaşımı. Wi-Fi, televiziya xidməti və ya kommunal kabinet parollarını mesencerlə göndərmək əvəzinə menecerin paylaşım funksiyasından istifadə edin: Apple Passwords-də ailə və etibarlı şəxslər üçün "Shared Group", Google-da ailə qrupu ilə paylaşma (parolun nüsxəsi ailə üzvünün menecerinə düşür), həmçinin Bitwarden Families (6 istifadəçi) və 1Password Families (5 üzv) planları var.
Tez-tez verilən suallar
Parolu neçə vaxtdan bir dəyişmək lazımdır?
NIST dövri dəyişikliyi tələb etmir. Parolu yalnız sızma və ya şübhəli giriş olduqda dəyişin.
Güclü parol neçə simvol olmalıdır?
Tək amil kimi işlədilən parol ən azı 15 simvol olmalıdır. Master parol üçün 4–6 təsadüfi sözdən ibarət passphrase seçin.
Brauzerdə parol saxlamaq təhlükəsizdirmi?
Google və Apple menecerləri parolları şifrələnmiş saxlayır. Əsas şərt hesabın özünün güclü parol və iki mərhələli doğrulama ilə qorunmasıdır.
Passkey parolu tamamilə əvəz edirmi?
Hələ yox – hər sayt passkey dəstəkləmir və bərpa üçün çox vaxt parol və ya ehtiyat üsul qalır.
Telefon itsə passkey-lər də itirmi?
Sinxronlaşan passkey hesabınızda saxlanır və yeni cihazda bərpa olunur. Cihaza bağlı passkey üçün isə əvvəlcədən ehtiyat giriş üsulu qurun.
Mənbə: NIST SP 800-63B-4 – Authenticators, NIST CSRC – SP 800-63-4-ün dərci, FIDO Alliance – Passkeys, Have I Been Pwned, Have I Been Pwned – Pwned Passwords, Bitwarden – qiymətlər, Bitwarden – master parolu unutmaq, 1Password – fərdi və ailə planları, KeePass – rəsmi sayt, Apple – Passwords tətbiqi, Google – Google Password Manager, Google – cihazda şifrələmə, TechRadar – Google-da ailə ilə parol paylaşımı
Şərhlər