# Hasło do routera i dlaczego to fabryczne się nie nadaje

> Twój router ma dwa hasła: to od wi-fi i to do administracji samym urządzeniem. Drugiego prawie nikt nigdy nie ruszył, a to właśnie ono naprawdę rządzi w twoim domu.

2026-09-06 · David Carrero · password.es
Original: https://password.es/pl/blog/haslo-do-routera/

---

Twój router ma dwa hasła, i prawie nikt o tym nie wie.

Jedno to hasło do wi-fi: to, które dyktujesz przez telefon, to zapisane na
karteczce w kuchni, to, które czytasz hydraulikowi. Drugie to hasło
administracyjne samego urządzenia — to, które otwiera panel, gdzie konfiguruje
się wszystko. **Tego drugiego praktycznie się nie rusza**, a jeśli ty go nie
ruszałeś, to nadal jest dokładnie tym, co przyszło wydrukowane na naklejce od
spodu.

Oba chronią co innego i psują się na różne sposoby. Warto je rozdzielić, bo
dwadzieścia lat rozmów o „haśle do wi-fi" posłużyło między innymi do tego, żeby
przykryć to drugie.

## To, które znasz na pamięć, i to, na które nigdy nie spojrzałeś

Hasło do wi-fi rozstrzyga, **kto może się połączyć** z siecią. To przepustka: z
nią urządzenie wchodzi do twojej sieci lokalnej i żyje w niej obok wszystkich
pozostałych.

Hasło administracyjne rozstrzyga, **kto może zmienić sposób działania sieci**. Z
tego panelu ustawia się nazwę sieci, rodzaj szyfrowania, z jakich serwerów DNS
korzysta cały twój dom, które porty są otwarte na zewnątrz i czy routerem da się
zarządzać z internetu. To nie kolejne drzwi: to drzwi, zza których przestawia się
wszystkie inne.

Tu leży niewygodna asymetria. Jeśli ktoś ma hasło do wi-fi, jest w twojej sieci.
Jeśli ktoś ma hasło administracyjne, **twoja sieć należy do niego**: może zmienić
hasło wi-fi, osłabić szyfrowanie albo przekierować to, którędy wychodzi twój
ruch, a ty dowiesz się po skutkach, nigdy z powiadomienia.

Zalecenie CISA nie zna tu odcieni: zmień nazwę użytkownika i hasło logowania do
routera, bo fabryczne dane routera *mogą być publicznie dostępne dla każdego*, a
nowe ustaw długie, losowe i niepowtarzalne. I dołóż jeszcze jedną zasadę, którą
prawie wszyscy łamią, nawet tego nie zauważając: **to nie może być to samo hasło
co do wi-fi.** To dwie różne rzeczy, udostępniane w zupełnie różny sposób — jedno
zna pół osiedla, drugiego nie powinien znać nikt.

## 2011: przycisk, który wydawał się wygodny

W twoim routerze jest jeszcze trzeci sekret, o którym niemal się nie mówi: PIN
**WPS**, czyli system szybkiego parowania, widoczny jako przycisk na obudowie i
jako ośmiocyfrowa liczba na naklejce.

W grudniu 2011 roku CERT/CC opublikował notę o podatności **VU#723755**, opartą
na pracy Stefana Viehböcka, dotyczącą słabości projektowej w sposobie
sprawdzania tego PIN-u. Dla ciebie istotny jest nie szczegół techniczny, tylko
oficjalna odpowiedź — ta sama piętnaście lat później. **Nie było łatki; był
przełącznik.** Zalecenie brzmiało — i brzmi — wejść w ustawienia i wyłączyć WPS.
CISA powtarza to dziś w swoim poradniku dla sieci domowych, na tej samej liście,
na której każe wyłączyć zdalne zarządzanie.

To najbardziej opłacalny fragment całego tego tekstu: dwa pola, które odklikujesz
raz i które nigdy więcej ci nie zawracają głowy.

## 2015: kiedy fabryczny klucz przychodził wyliczony

Hasło fabryczne nie jest twoim sekretem. To wartość, którą wybrał producent,
wydrukowana na urządzeniu, wypisana w instrukcji i bardzo często powtórzona we
wszystkich egzemplarzach danego modelu.

A są opublikowane przypadki czegoś gorszego: kluczy fabrycznych, które wcale nie
były losowe, tylko **wyliczone z danych, które sam router wysyła w eter**. W
katalogu NIST figuruje **CVE-2015-0558**, o domowym routerze generującym swój
klucz WPA ze stałego ciągu znaków i własnego adresu MAC. Niedługo potem publiczne
ostrzeżenie SEARCH-LAB o modemie kablowym rozpowszechnionym w Europie ujęło to w
jednym zdaniu: *„Domyślny SSID i hasło są wyprowadzane wyłącznie z adresu MAC.
Ponieważ adres MAC urządzenia jest rozgłaszany przez wi-fi, hasło domyślne można
łatwo wyliczyć."* Operator skończył na wysyłaniu do klientów pisma z prośbą o
zmianę.

Nie trzeba wiedzieć, jak się to robiło — i tutaj nie zostanie to opowiedziane —
żeby zachować jedyną rzecz, która ma znaczenie: **klucz, który producent potrafił
wygenerować, ktoś inny potrafił odtworzyć.** Twój fabryczny klucz nie jest losowy
dlatego, że jest długi i brzydki. Jest brzydki, bo wyszedł z procedury, a
procedury da się przestudiować.

## Najłatwiejsze do wydłużenia hasło, jakie kiedykolwiek będziesz mieć

Teraz dobra wiadomość — rzadka, bo porady z dziedziny bezpieczeństwa prawie nigdy
nie są za darmo.

Każde hasło w twoim życiu ciągnie za sobą tego samego ukrytego wroga: trzeba je
wpisać. Często ręcznie, na telefonie, w pośpiechu. Dlatego ludzie robią je
krótkie i dlatego „ustaw trzydzieści znaków" brzmi jak kara.

**Hasło do wi-fi tego problemu nie ma.** Wpisujesz je raz na urządzenie i więcej
go nie widzisz: telefon, laptop i telewizor pamiętają je na zawsze. A kiedy
trzeba je komuś podać, prawie wszystkie telefony i spora część nowoczesnych
routerów przekazują je kodem QR — nikt niczego nie wpisuje.

Czyli: **długość jest tu praktycznie darmowa i dlatego nie ma wymówki, żeby
hasło było krótkie.** Standard IEEE 802.11i, który definiuje to od 2004 roku,
dopuszcza frazy do 63 znaków. Prawie nikt nie dochodzi nawet do połowy.

Co więc ustawić? CISA proponuje coś bardzo konkretnego i bardzo łatwego do
wykonania: zapadającą w pamięć frazę z **pięciu do siedmiu niepowiązanych ze sobą
słów**, o łącznej długości co najmniej szesnastu znaków, nieużywaną na żadnym
innym koncie. To logika diceware przeniesiona do twojego salonu. Jeśli wolisz
losowy ciąg i zdanie się na kod QR, tym lepiej: weź go z
[generatora](/pl/) i nigdy więcej na niego nie patrz. A jeśli to, które masz
teraz, budzi twoje wątpliwości, przepuść je przez
[sprawdzarkę](/pl/sprawdzanie/), zanim cokolwiek zdecydujesz.

## 2018: czym jest WPA3 i dlaczego zmienia rachunek

W 2018 roku Wi-Fi Alliance przedstawiło **WPA3**, następcę WPA2. Dziś jest
obowiązkowe dla każdego sprzętu, który chce nosić znak Wi-Fi CERTIFIED.

Zmiana u podstaw ma brzydką nazwę, **SAE**, i bardzo łatwą do zrozumienia
konsekwencję. Przy WPA2 ktoś znajdujący się w pobliżu mógł przechwycić powitanie
między twoim telefonem a routerem, wrócić do domu i sprawdzać wobec tego pliku
miliony kluczy na sekundę, bez limitu prób i bez niczyjej wiedzy. To dokładnie
ten sam problem, co przy wycieku haseł: kiedy materiał leży już na dysku
atakującego, **nie ma nikogo po drugiej stronie, kto powiedziałby „nie".**

WPA3 to przerywa. Słowami samego Wi-Fi Alliance: *„WPA3-Personal zastępuje klucz
współdzielony WPA2 (WPA2-PSK) mechanizmem Simultaneous Authentication of Equals
(SAE). W odróżnieniu od WPA2-PSK, SAE jest odporne na offline'owe ataki
słownikowe."* Każda próba na nowo wymaga rozmowy z routerem, a router, który
dostaje tysiące nieudanych prób, może to zauważyć i przyhamować.

A potem jest część uczciwa, o którą ten sam dokument sam się upomina. Ta
odporność oznacza, że *„ciężar bezpieczeństwa hasła nie spoczywa już na
użytkownikach"* i że wymaganie wielkich liter oraz znaków specjalnych przestało
być przy SAE zasadnym wymogiem. Ale **to nie jest przyzwolenie na ustawienie
kiepskiego**: atak aktywny nadal istnieje, a specyfikacja mówi to bez ogródek —
hasła używane z SAE muszą być wyjątkowo trudne do odgadnięcia. Czyli to samo, co
NIST od lat mówi o reszcie twoich haseł: długość bije wykręcanie znaków.

Dwie praktyczne uwagi. Jeśli twój router nie dochodzi do WPA3, CISA uznaje za
dobre WPA3 Personal i WPA2 z AES, i tylko te dwa; sieć otwarta, WEP albo TKIP to
nie jest słabe hasło, to brak hasła. A jeśli włączysz **tryb przejściowy**, twoja
sieć przyjmuje jednocześnie WPA3 i WPA2, żeby weszły starsze urządzenia — w domu
z drukarką z 2013 roku to rozsądna decyzja, ale trzeba wiedzieć, czym jest:
dopóki jest włączony, w twojej sieci zostają drzwi WPA2. Jeśli wszystko, co masz,
wchodzi po WPA3, wyłącz go.

## 2024: prawo sięga pod naklejkę

Przez dekady był to problem porad. Teraz jest też problemem przepisów.

29 kwietnia 2024 roku w Wielkiej Brytanii weszły w życie regulacje **PSTI**,
ustawy o bezpieczeństwie produktów podłączanych do sieci, które **zakazują
uniwersalnych haseł domyślnych** w konsumenckim sprzęcie: koniec z modelem, w
którym wszystkie egzemplarze produktu wychodziły z fabryki z tym samym kluczem.
Prawo dopuszcza natomiast hasło domyślne **unikatowe dla każdego egzemplarza** —
czyli dokładnie przypadek naklejki z innym ciągiem znaków na każdym routerze. W
Unii Europejskiej wymogi cyberbezpieczeństwa dyrektywy o urządzeniach radiowych —
rozporządzenie delegowane (UE) 2022/30 — obowiązują od 1 sierpnia 2025 roku.

Wynikają z tego dwie rzeczy, i nie są tym samym. Pierwsza: nowe routery będą
przychodzić w lepszym stanie. Druga, ta, która dotyczy ciebie: **nic z tego nie
działa wstecz na urządzenie, które już stoi w twoim salonie.** Jeśli siedzi tam
od sześciu lat, u ciebie w domu wciąż obowiązuje dawny świat.

## Sieć dla gości, czyli koniec z dyktowaniem hasła

Pomyśl, ile osób zna twoje hasło do wi-fi. Szwagier, opiekunka, kolega, który
przyszedł na kolację w 2022 roku i wciąż ma skonfigurowany telefon, technik,
który wpadł coś zainstalować.

Żadne z nich nie dostało samego dostępu do internetu: **każde ma urządzenie
wewnątrz twojej sieci lokalnej**, obok twojego dysku sieciowego, drukarki i
kamer. A ty nie masz pojęcia, w jakim stanie jest to urządzenie.

Sieć dla gości jest odpowiedzią i jest funkcją, którą już masz, a z której nie
korzystasz. CISA mówi to wprost: jeśli twój router ma sieć dla gości, włącz ją,
nadaj jej własne hasło — długie, losowe i niepowtarzalne — i niech używa jej
każdy, kto nie łączy się z twoim wi-fi na co dzień. I dołóż to, czego prawie
nikt nie robi: **wyślij tam też podłączone gadżety** — inteligentne gniazdko,
telewizor, odkurzacz — jeśli jedyne, czego potrzebują, to wyjście do internetu,
żeby nie mogły wykryć reszty sprzętu w domu.

To zasada całego tego bloga przeniesiona do salonu: jedno poświadczenie na jedno
miejsce. Twoje główne wi-fi to jedno miejsce. Goście to drugie.

## Co zrobić, po kolei

- **Wejdź do panelu routera i zmień hasło administracyjne.** Jako jedynego z tej
  listy pewnie nigdy go nie ruszałeś, a to ono rządzi najbardziej. Długie, losowe
  i **inne niż to od wi-fi**.
- **Ustaw długie hasło wi-fi.** Pięć do siedmiu niepowiązanych słów albo ciąg z
  [generatora](/pl/). Wpisujesz je raz, a potem udostępniasz kodem QR.
- **Przejdź na WPA3, jeśli router pozwala.** Jeśli nie — WPA2 z AES.
- **Wyłącz WPS i zdalne zarządzanie.** Dwa pola, jeden raz.
- **Włącz sieć dla gości** i wyślij tam gości oraz gadżety.
- **Zaktualizuj firmware** i zostaw włączone aktualizacje automatyczne, jeśli są.
- **Nie używaj żadnego z tych dwóch haseł nigdzie indziej.** Jeśli masz
  wątpliwości co do któregoś z już używanych, przepuść je przez
  [sprawdzarkę](/pl/sprawdzanie/).

Nic z tego nie zajmuje więcej niż dwadzieścia minut, a te dwadzieścia minut
poświęca się raz.

Router jest najważniejszym urządzeniem w twoim domu i jedynym, które administruje
się samo tak długo, jak długo nikt go nie administruje. Od lat stoi włączony w
kącie, robi swoje bez narzekania — i właśnie dlatego nigdy nie wydaje się, że to
odpowiedni moment, żeby na niego spojrzeć.

Hasło fabryczne nie jest złe dlatego, że jest krótkie albo brzydkie. **Jest złe
dlatego, że nie jest twoje.** Wybrał je ktoś inny, wydrukował na naklejce i
wysłał do tysięcy domów takich jak twój. Zmiana tego hasła to najbliższy
odpowiednik, jaki domowa informatyka ma dla wymiany zamków przy przeprowadzce.

---

*Źródła: CISA, „Project Upskill · Module 5: Securing Your Home Wi-Fi" z Joint
Cyber Defense Collaborative — zmiana nazwy użytkownika i hasła logowania do
routera, bo fabryczne dane routera mogą być publicznie dostępne; fraza z pięciu
do siedmiu niepowiązanych słów i co najmniej szesnastu znaków; WPA3 Personal albo
WPA2 AES jako jedyne szyfrowania uznane za bezpieczne; wyłączenie WPS i zdalnego
zarządzania; włączenie sieci dla gości, także dla urządzeń IoT · Wi-Fi Alliance,
„WPA3 Security Considerations Overview" (kwiecień 2019), o zastąpieniu WPA2-PSK
mechanizmem SAE, jego odporności na offline'owe ataki słownikowe i o wymogu, by
hasła nadal były wyjątkowo trudne do odgadnięcia · CERT/CC, nota o podatności
VU#723755 (27 grudnia 2011), zgłoszona przez Stefana Viehböcka, której zalecanym
rozwiązaniem jest wyłączenie WPS · NVD (NIST), CVE-2015-0558, o domowym routerze
generującym klucz WPA ze stałego ciągu znaków i własnego adresu MAC · publiczne
ostrzeżenie SEARCH-LAB (Gergely Eberhardt) dotyczące modemu Ubee EVW3226,
opublikowane na Full Disclosure w lipcu 2016 · IEEE 802.11i, definiujący frazę o
długości od 8 do 63 znaków · Wielka Brytania, regulacje Product Security and
Telecommunications Infrastructure Act, obowiązujące od 29 kwietnia 2024 · Unia
Europejska, rozporządzenie delegowane (UE) 2022/30 do dyrektywy o urządzeniach
radiowych, obowiązujące od 1 sierpnia 2025 · NIST SP 800-63B, o długości ponad
złożonością.*