强密码到底要多长？NIST 最新建议：长度比复杂度更重要
结论先行：按 NIST 现行建议，密码是唯一验证手段时至少要 15 个字符，与其纠结加几个符号，不如先把长度拉够。8 位密码哪怕大小写、数字、符号全齐，面对离线破解也撑不了多久；15 位以上的随机密码则是完全不同的量级。下面把长度标准、不同账户的分级方法和三个常见误区一次讲清，方便你照着把全家账户过一遍。
官方规则核对：2026-10-29 · OpenAA 中文整理
NIST 现行建议：至少 15 个字符，长度优先
美国国家标准与技术研究院（NIST）在 SP 800-63B 中给出的现行口径是：如果密码是唯一的验证手段，建议至少 15 个字符；即便配合双重验证使用，也不应少于 8 个字符，系统应允许设置长达 64 个字符以上的密码。
同时 NIST 明确反对两条老规矩：一是强制拼凑大小写、数字和符号的所谓复杂度，二是没出事就定期强制改密。原因很实际：这类规则逼着大家用可预测的套路，比如词尾加个 1 和感叹号，而破解字典早就把这些变形收录进去了。
为什么多加一位，比多加一种符号更管用
密码强度看的是攻击者总共要试多少种组合。每多一位字符，可能的组合数就乘以一整个字符集的大小；把长度从 8 位拉到 15 位，组合数量会膨胀到天文数字，离线暴力破解的成本随之失控，普通账户根本不值得这样砸钱去破。
反过来，在 8 位密码里塞进符号，只是把字符集从 62 种扩到约 90 种，增益有限，而且大家塞的位置高度一致，多半在末尾。长度带来的指数级增长，才是普通人最容易拿到、也最划算的安全红利。
不同账户，用不同的长度标准
不必所有账户一刀切，可以按重要性分级：邮箱、银行、券商、支付类账户用 16 位以上的随机密码。邮箱尤其重要，它是全家的总钥匙，因为几乎所有网站的找回密码都往邮箱里发重置链接。
购物、论坛、新闻类账户用 12 到 15 位随机密码足够；只注册一次的临时账户也别图省事用弱口令，随手生成一个一次性的强密码存进管理器，比用生日安全得多。
随机密码要让工具生成，别自己编
人脑“随机”编出来的密码并不随机：键盘走势、生日谐音、球队和宠物名字，都是字典攻击和社工库的重点素材。用 password-generator 这类本地生成器，长度拉到 16 位以上、字符集全开，生成过程在你自己的设备上完成，不经过服务器、不被存储，复制后直接存进密码管理器即可。
如果某个网站限制最长 16 位或不许粘贴，那是网站自身的问题，在它允许的上限内取最长，并打开它的双重验证来补足。
三个最常见的长度误区
误区一：8 位加符号就是强密码。对现代显卡的离线破解速度来说，这类组合的存活时间并不长。误区二：长但有规律等于长。像 aaaaaaaa 或 123456789012345 这种“长”密码，在字典面前依然是秒破。
误区三：所有网站共用一个长密码就安全了。长度解决不了复用问题，任何一家小网站泄露，都会被拿去撞你的邮箱和银行。长、随机、每个站都不同，这三条必须同时成立。
常见问题
密码 15 位是不是太夸张了？
不夸张。NIST 的 15 位建议针对的是密码作为唯一验证手段的场景；再叠加双重验证，整体强度更高。真正过时的是 8 位短密码加一个感叹号的老配方。
用中文拼音做密码行不行？
不建议。拼音本质是有限词表，常见姓氏、地名、成语拼音都在破解字典里，四个字的成语拼音强度约等于一个常见单词，并不比英文词更安全。
网站只允许最长 12 位怎么办？
在上限内取最长，并务必打开该网站的双重验证。长度被网站卡住时，只能靠第二重验证和绝不复用来补足安全性。
随机密码自己都记不住，有意义吗？
有意义，前提是配合密码管理器保存。人只需要记住管理器主密码等极少数几个，其余全部交给工具生成和自动填充。
检查我的材料
→ 使用密码生成器。按需要继续使用下面的相关工具。
官方来源与适用范围
本文为中文整理的生活指南，数字为估算或区间，具体以官方最新公布为准。
攻略看完了，去做一次模拟考试
到 dmv.openaa.com 选择你的州，刷中文题库、做模拟考试，考前检验一下。去刷 DMV 中文题库 →