Jak vytvořit bezpečné heslo, které si opravdu zapamatujete

Bezpečné heslo nemusí být změť znaků, kterou po třech dnech zapomenete. Mnohem důležitější je, aby bylo dlouhé, nepředvídatelné a hlavně jiné pro každý účet. Pomoci může přístupová fráze nebo správce hesel, který většinu práce udělá za vás.

Jak se hesla skutečně hádají

Ve většině případů nesedí na druhé straně člověk, který ručně zkouší jména vašich vnoučat. Útočníci používají automatické programy. Ty začínají seznamy nejběžnějších hesel, slovníků a kombinací, které už unikly z jiných služeb.

Při takzvaném credential stuffingu robot zkouší uniklou dvojici e-mailu a hesla na dalších webech. Proto je opakování stejného hesla nebezpečné: samotné heslo může být poměrně dlouhé, ale po úniku ho robot nemusí hádat vůbec.

Útok může probíhat online proti přihlašovací stránce, kde jej zpomaluje omezení počtu pokusů, nebo offline nad odcizenou databází. V druhém případě záleží také na tom, jak kvalitně služba hesla ukládá a jak náročné je jejich ověřování. Proto je tvrzení „osm znaků se prolomí za přesně X sekund“ bez popisu scénáře zavádějící.

Nejdůležitější pravidlo: pro každý účet jiné heslo

Máte-li změnit jediný návyk, začněte právě tady. E-mail, internetové bankovnictví, sociální síť i internetový obchod mají mít každý vlastní heslo. Pokud jedna služba oznámí únik, nemusíte ve spěchu měnit stejné heslo na deseti dalších místech.

Jak vytvořit zapamatovatelnou přístupovou frázi

Pro heslo, které si potřebujete pamatovat, spojte několik nesouvisejících slov do delší fráze. Neberte známý citát, jméno domácího mazlíčka, datum narození ani údaje, které lze najít na sociálních sítích. Pomoci může soukromý obraz v hlavě, který si se slovy spojíte.

Pouze ukázka principu — nekopírujte ji: Majak-Knedlik-Liska-Dest. Vymyslete si vlastní slova a respektujte znaky, které daná služba dovoluje. Veřejně použité příklady už nejsou dobrými hesly.

Na Penzista.net je současné praktické minimum 12 znaků. Pokud můžete, zvolte alespoň 15 znaků; současné doporučení NIST používá pro heslo jako jediný přihlašovací faktor právě minimum 15 znaků. Není nutné přidávat povinné velké písmeno, číslici a symbol jen kvůli splnění šablony. Délka, nepředvídatelnost a jedinečnost jsou důležitější.

Správce hesel: trezor, generátor i pomocník při vyplňování

Správce hesel neboli klíčenka je zašifrovaný trezor v telefonu, počítači nebo samostatné aplikaci. Umí pro každý web vygenerovat dlouhé náhodné heslo, uložit je a při příští návštěvě nabídnout automatické vyplnění. Nemusíte si tedy pamatovat desítky hesel a odpadá pokušení používat stále stejné.

Vestavěné správce nabízejí například zařízení Apple, účet Google a běžné prohlížeče; existují i samostatné aplikace. Vyberte řešení, které se pravidelně aktualizuje, funguje na vašich zařízeních a umožňuje bezpečnou obnovu. Hlavní přístup ke správci chraňte dlouhou jedinečnou frází a dalším ověřením.

Automatické vyplňování má ještě jednu praktickou výhodu: správce obvykle nabídne heslo jen na webové adrese, pro kterou je uložené. To může upozornit na podvrženou stránku. Není to však náhrada za kontrolu adresy.

Přihlášení přes Google nebo Seznam

Tlačítko „Přihlásit přes Google“ nebo „Přihlásit přes Seznam“ může být pohodlné: pro další službu nevytváříte nové heslo. Bezpečnost se ale opírá o váš hlavní Google či Seznam účet. Ten proto musí mít jedinečné heslo, zapnuté další ověření a aktuální možnosti obnovy.

Před potvrzením vždy zkontrolujte, jaké údaje chce nová služba získat. Přihlášení schvalujte jen tehdy, když jste je sami zahájili na důvěryhodném webu.

Druhé ověření a přístupové klíče

Dvoufaktorové ověření neboli 2FA přidává k heslu ještě druhý krok, například potvrzení v aplikaci nebo jednorázový kód. Když je na výběr ověřovací aplikace a SMS, aplikace bývá odolnější proti převzetí telefonního čísla. Obnovovací kódy uložte mimo běžnou plochu počítače, ideálně do správce hesel nebo na bezpečné fyzické místo.

Passkey neboli přístupový klíč umožňuje přihlášení pomocí telefonu, počítače, PINu či biometrie bez předávání klasického hesla webu. Je odolnější vůči podvodným přihlašovacím stránkám. Pokud jej služba nabízí a rozumíte způsobu obnovy, je to dobrá volba.

Jak poznat podvodnou přihlašovací stránku

• Nenechte se tlačit větami „účet bude za hodinu zrušen“ nebo „okamžitě se přihlaste“.
• Na přihlašovací stránku raději přejděte ze své záložky nebo ručně zadané oficiální adresy, ne z odkazu v nečekaném e-mailu či SMS.
• Pečlivě čtěte doménu před prvním lomítkem. Zámek u adresy znamená šifrované spojení, nikoli automaticky poctivého provozovatele.
• Pokud správce hesel na známé stránce nenabídne uložené heslo, zastavte se a adresu znovu ověřte.
• Nikomu neposílejte heslo ani jednorázový kód. Poctivá podpora je po vás nebude chtít.

Další příklady nátlaku a falešných zpráv najdete v článku Jak poznat podvodný e-mail, SMS nebo telefonát.

Co udělat během prvních pěti minut po podezření na únik

1. Otevřete skutečný web nebo aplikaci služby přímo, ne přes odkaz z podezřelé zprávy.
2. Z bezpečného zařízení změňte heslo na nové a jedinečné. Pokud jste staré heslo použili i jinde, změňte je všude.
3. Odhlaste ostatní relace a zkontrolujte přihlášená zařízení, obnovovací e-mail, telefon a případná pravidla přeposílání pošty.
4. Zapněte dvoufaktorové ověření nebo passkey a uložte nové obnovovací kódy.
5. U finanční služby nebo při vzniklé škodě neprodleně kontaktujte instituci; podle situace také Policii ČR.

Pokud mohlo být zařízení napadené, nejprve je odpojte od citlivých účtů a požádejte důvěryhodného odborníka o kontrolu. Změna hesla na stále napadeném zařízení nemusí problém vyřešit.

Jak bezpečně pomoci blízkému

Pomáhejte vedle člověka, ne místo něj. Nevytvářejte si kopii jeho hlavního hesla a nenechte si je poslat zprávou. Společně nastavte obnovovací e-mail či telefon, projděte možnosti důvěryhodného kontaktu a uložte obnovovací kódy tak, aby je našel oprávněný člověk, ne náhodný návštěvník.

Při vzdálené pomoci nepřebírejte kontrolu na základě nečekaného telefonátu. Domluvte si předem, kdo může pomáhat, a každou citlivou změnu nechte vlastníka účtu vědomě potvrdit.

Ověřené zdroje a odborná kontrola

Doporučení byla odborně zkontrolována 17. srpna 2026 podle aktuálního NIST SP 800-63B-4, OWASP Authentication Cheat Sheet, vzdělávacích materiálů NÚKIB a jeho doporučení k podvodným zprávám. Informace o správcích a přístupových klíčích byly ověřeny také v oficiálních návodech Apple a Google.