Bez přístupů a hesel se dnes neobejde nikdo. Hesla používáme denně v práci i doma - na všechno od e-mailu po internetbanking. Pro reálnou bezpečnost je potřeba mít hesla originální, dlouhá, nikde je neopakovat a postupně přecházet na modernější alternativy: passkeys nebo hardware klíče.
A to se bavíme o heslech, která využíváte sami. V naší praxi programátoři pracují denně s desítkami hesel klientů. Pro takové množství jsou nezbytné specializované nástroje pro správu hesel.
Letos jsem v praxi plošně přešel z LastPassu na 1Password. Po sérii bezpečnostních incidentů u LastPassu v roce 2022 mi přijde 1Password přímočařejší volba - lepší UX a transparentnější zabezpečení. U klientů, kteří řeší cenu, doporučuji open-source Bitwarden.
Pravidla pro vytvoření silného hesla
Hesla jsou klíč do vašeho digitálního domu. Pustili byste do svého domu kohokoliv? Při tvorbě hesla je tedy potřeba přemýšlet tak, aby se k vám a vašim datům nedostali útočníci. Co zajistí bezpečí informací? Dlouhá a neprolomitelná hesla. Ještě než se k nim dostaneme, vysvětlíme si, jak útočníci hesla získávají.
Čemu se vyhnout
V heslech nepoužívejte řadu po sobě jdoucích čísel nebo písmen. Heslo by nemělo obsahovat slovo "heslo" ani název služby, kterou si chráníte. Nepřidávejte osobní údaje jako jména, příjmení, rok narození nebo data, která lze snadno dohledat na sociálních sítích.
Délka hesla
Útokům nejlépe odolávají hesla s minimálně 15 znaky. Hesla o délce 9-12 znaků dnešní výpočetní výkon prolomí poměrně rychle. Aktualizace doporučení amerického NIST z roku 2024 jde dál a preferuje dlouhé passphrase (kombinace nesouvisejících slov) před krátkými hesly s mixem speciálních znaků. Důvod je praktický: passphrase je pro útočníka stejně náročná, pro uživatele ale lépe zapamatovatelná.
Pravidelná změna hesla? Už ne
Dřív se doporučovalo měnit hesla každých pár měsíců. Aktuální doporučení NIST (od roku 2017, potvrzeno v aktualizaci 2024) je opačné - hesla měnit pouze pokud máte důvodné podezření na únik. Cyklická změna bez důvodu paradoxně bezpečnost zhoršuje, protože uživatelé volí slabší a předvídatelná hesla (Heslo2024 → Heslo2025 → Heslo2026).
Pokud chcete zjistit, jestli vaše heslo už uniklo, podívejte se na Have I Been Pwned. Databáze obsahuje miliardy uniklých hesel z veřejných úniků a stačí zadat e-mail.
Kombinace znaků a znakové řady
Znakových řad je celkem šest: malá písmena, velká písmena, číslice, speciální znaky, písmena s háčky a dlouhé hlásky. Pro silné heslo využijte co nejvíce řad a narušte posloupnost čísel nebo jednoznačnost slov.
Příklad špatného hesla: Jirkažijevpráci
Příklad dobrého hesla: J1rK*a/ž1J-eVp5Rá0ci
Originalita
Jako heslo nepoužívejte název něčeho, co máte rádi nebo co se objevuje ve vašem okolí. Takové heslo by se nechalo lehce uhodnout. Volte raději slova, která běžně nepoužíváte a která se k vám ani k lidem ve vašem okolí přímo nevážou.
Metody volby hesla
Metoda zvláštní fráze - spojení několika slov, které si snadno zapamatujete, ale nikomu jinému by nenapadlo je zkombinovat: BuduLínekŘádíJakoRambo.
Metoda věty - napište větu, klidně nelogickou, kterou si dobře pamatujete, a pak z prvních dvou písmen každého slova složte heslo:
Budu se chovat vzorně, budu milý. → Busechvz,bumi.
Náhodný generátor hesel
Pokud nechcete vymýšlet, vygenerujte si heslo. Generátorů je k dispozici velká řada, placené i bezplatné. Většina správců hesel (1Password, Bitwarden, Proton Pass) má generátor zabudovaný. Stačí nastavit délku a znakové řady, generátor pak vytvoří unikátní heslo a rovnou ho uloží do trezoru.
Každé heslo jen jednou
Pro každé přihlášení používejte originální heslo. Když někdy unikne jedno, ostatní účty zůstanou v bezpečí. Přesně proto se vyplatí mít správce hesel. Pamatovat si desítky unikátních hesel z hlavy není reálné.
Passkeys - nástupce hesel
Od roku 2023 většina velkých služeb (Google, Apple, Microsoft, GitHub, PayPal, Amazon) podporuje passkeys. Jde o kryptografický klíč navázaný na vaše zařízení (telefon, počítač) místo hesla. Přihlášení proběhne otiskem prstu, Face ID nebo PIN k zařízení.
Co passkeys přinášejí:
- Není co ukrást - passkey nelze získat phishingem ani únikem hesel z databáze, protože privátní klíč zařízení nikdy neopustí.
- Není co si pamatovat - přihlašujete se biometrikou nebo PIN k zařízení.
- Funguje napříč zařízeními - synchronizace přes Apple Keychain, Google Password Manager nebo 1Password / Bitwarden.
Doporučuji passkey aktivovat všude, kde to služba nabízí. Začněte u Google, Apple, Microsoft a u svého správce hesel.
Dvoufaktorové ověření (2FA)
2FA znamená, že kromě hesla zadáte druhý faktor - kód z aplikace, hardware klíč nebo biometriku. Ne všechny varianty jsou stejně bezpečné:
- SMS kód - dnes se nedoporučuje. Útočník vám přes SIM swap útok přesměruje SMS na svůj telefon a 2FA tím obejde.
- TOTP aplikace (1Password, Authy, Google Authenticator, Aegis) - solidní standard. Kódy se generují offline a SIM swap je neovlivní.
- Hardware klíče (YubiKey, Google Titan) - nejvyšší úroveň. Pro firemní účty, e-mail a finance to stojí za investici.
- Passkey - ideálně místo hesla i 2FA dohromady.
Silná hesla ohlídáte sami, ale jakmile ve firmě přihlašujete víc lidí k jednomu nástroji, řeší se kdo na co smí a kdo co naposled změnil. Jak nastavuju role, oprávnění a evidenci přístupů u firemního systému na míru →, popisuju dál na stránce služby.
Správci hesel v roce 2026
1Password
Placená služba s českou lokalizací, čistým UX a silným zabezpečením. Funguje na všech platformách (Windows, macOS, iOS, Android, Linux) a přímo v prohlížeči. Cena: cca 3 USD měsíčně za jednotlivce, 5 USD za rodinu. Podporuje passkeys, hardware klíče i sdílení hesel v týmu. Letos jsme na něj plošně přešli i u nás v praxi.
Bitwarden
Open-source správce hesel. Má bezplatnou verzi (dostačuje pro běžné použití) i placenou (cca 10 USD ročně) s pokročilými funkcemi. Možnost self-hostingu vyhovuje firmám, které chtějí data pod vlastní kontrolou.
Proton Pass
Novější služba od Proton AG (tvůrci ProtonMailu). End-to-end šifrování, dobrá integrace s Proton ekosystémem (Mail, VPN, Drive). Bezplatná verze pokrývá běžné potřeby, placené tarify nabízejí pokročilé sdílení.
Apple Keychain / Google Password Manager
Pokud jste výhradně v jednom ekosystému (Apple nebo Google), vestavěný správce hesel zvládne základní práci zdarma. Pro práci napříč platformami nebo sdílení v týmu raději 1Password nebo Bitwarden.
Správci hesel v prohlížečích (Chrome, Firefox, Edge)
Chrome, Firefox i Edge mají zabudovaného správce hesel zdarma. Heslo si pamatují, vyplňují ho a synchronizují mezi zařízeními přes účet u Google / Mozilly / Microsoftu. Pro úplný začátek je to lepší než nic, ale pro práci s desítkami účtů nebo sdílení v týmu narazíte na limity. Žádné pokročilé sdílení, omezené organizační složky a žádná podpora hardware klíčů na úrovni 1Password. Pro běžné domácí použití stačí, pro firemní použití doporučuji rovnou přejít na 1Password nebo Bitwarden.
LastPass - proč už ne
LastPass byl dlouho populární volba. V srpnu a prosinci 2022 ale prošel dvěma vážnými bezpečnostními incidenty, při kterých unikla zákaznická data včetně šifrovaných trezorů. Pokud LastPass stále používáte, doporučuji migraci na 1Password nebo Bitwarden.
Jak se hacker k heslu dostane
Možnosti útočníků se za posledních pět let rozšířily. Útoky míří na firmy, osobní počítače, účty na sociálních sítích nebo internetbanking.
Mezi nejčastější techniky patří:
- Brute force - automatický software zkouší kombinace znaků, dokud se netrefí. Krátká hesla (9-12 znaků) prolomí během hodin až dní.
- Slovníkový útok - útočník zkouší seznam běžně používaných slov a hesel z dřívějších úniků. Pokud používáte slovo ze slovníku, výrazně mu pomáháte.
- Phishing - podvodné e-maily nebo SMS s odkazem na falešnou přihlašovací stránku. Vy zadáte své údaje v domnění, že jste na známém webu, a útočník je má.
- Credential stuffing - když uniklo vaše heslo z jedné služby a používáte ho i jinde, útočník ho automaticky vyzkouší u stovek dalších služeb. Proto: každé heslo jen jednou.
Než se zaregistruji: je připojení zabezpečené?
Předtím, než někde zadáte své údaje, ověřte, jestli stránka používá HTTPS (šifrované připojení, ikona zámku v adresním řádku). U pochybné nebo neznámé stránky raději zvažte, zda má smysl tam vůbec účet zakládat.
Jak zabezpečit vlastní web
Hesla a 2FA jsou jedna část. Druhá je zabezpečení vašeho vlastního webu nebo e-shopu. Napadený web znamená výpadek příjmů, ztrátu důvěry zákazníků, případně i pokutu od ÚOOÚ, pokud uniknou osobní údaje. Oprava napadeného webu je časově i finančně náročná, prevence se vyplatí.
Co by mělo být v základu: aktuální verze CMS a pluginů, HTTPS s platným certifikátem, silné heslo do administrace, 2FA pro adminy, pravidelné zálohy a monitoring napadení.
Jak si chráníte svá hesla vy? Nosíte je v hlavě, píšete si je do notesu, nebo používáte správce hesel?
Potřebujete projít zabezpečení vašeho webu?
Pokud nemáte jistotu, jak je na tom váš web se zabezpečením (od správy uživatelských účtů, přes 2FA, až po šifrování a zálohy), rád se na něj podívám a navrhnu řešení. První konzultace je zdarma a nezávazná. Probereme váš případ, projdeme klíčová rizika a řekneme si, co dává smysl řešit jako první.
Napište mi přes kontaktní formulář - odpovídám zpravidla do 24 hodin.
Pavel Szabo
Programátor webů, eshopů a informačních systémů s více než 23 lety praxe. Pomáhám firmám i jednotlivcům s online podnikáním, automatizacemi a využitím AI v praxi.
