# Jak często zmieniać hasło: tylko wtedy, gdy jest powód > Odpowiedź, której prawie nikt nie daje, brzmi: nigdy według kalendarza. Hasło zmienia się wtedy, gdy coś się wydarzy. Oto lista tego, co liczy się jako «coś», i co robić przez resztę czasu, czyli prawie zawsze. 2026-09-02 · David Carrero · password.es Original: https://password.es/pl/blog/jak-czesto-zmieniac-haslo/ --- Zacznijmy od końca, bo odpowiedź jest krótka i prawie nikt nie podaje jej w całości: **wtedy, gdy jest powód. Nie co dziewięćdziesiąt dni.** Nawyk zmieniania hasła według kalendarza siedzi tak głęboko, że brzmi jak higiena, jak mycie zębów. Ale to było zalecenie z datą ważności i ta data minęła: amerykański NIST napisał je w 2003 roku, wycofał w 2017, a autor tamtego dokumentu publicznie przeprosił w tym samym roku. Tę historię opowiadamy w całości w [czym jest hasło](/pl/blog/czym-jest-haslo/); tutaj liczy się to drugie, czego prawie nikt nie tłumaczy: **co ty masz dziś zrobić ze swoimi hasłami.** ## Kalendarz nie wie, czy coś ci ukradziono Problem z rotacją według daty polega na tym, że data nie niesie żadnej informacji. Jeśli ktoś zdobył twoje hasło we wtorek w lutym, zmiana go 1 kwietnia, bo tak wypada, daruje mu dobre półtora miesiąca dostępu. A jeśli nikt go nie tknął, zmiana przed niczym cię nie ochroniła: zamieniłeś dobre hasło na takie, które prawdopodobnie jest gorsze, bo hasła wymyślane z obowiązku wymyśla się bez przekonania. I tu tkwi cały mechanizm porażki. **Wymuszona rotacja nie tworzy nowych haseł, tworzy warianty.** `Lato2026!` staje się `Jesien2026!`, a potem `Zima2026!`, i ten, kto cię atakuje, o tym wie, bo ta seria jest równie przewidywalna jak kalendarz, z którego pochodzi. System jest zadowolony — hasło «zostało zmienione» — a realne bezpieczeństwo spadło, nie wzrosło. Dlatego NIST w **SP 800-63B** mówi obie rzeczy naraz: żadnych arbitralnych zmian na czas i **wymuszenie zmiany, gdy tylko pojawi się przesłanka naruszenia**. Nie chodzi o to, że zmiana jest bez znaczenia. Chodzi o to, że wyzwalaczem ma być fakt, a nie data. ## Powody, które naprawdę się liczą Oto lista. Jeśli przydarzy ci się którakolwiek z tych rzeczy, hasło zmienia się dziś, nie w przyszłym miesiącu: - **Pojawiło się w wycieku.** Tej usługi albo dowolnej innej, gdzie używałeś tego samego. - **Użyłeś go ponownie.** Jeśli `X` wyciekło, a masz je jeszcze na czterech stronach, jest pięć haseł do zmiany, nie jedno. - **Wpisałeś je na stronie, która okazała się nie być tą stroną.** Pośpieszny e-mail, link, formularz, który był podobny. Nieważne, że zorientowałeś się dwie sekundy później: już je wysłałeś. - **Podzieliłeś się nim.** Z partnerką, z kolegą, na czacie w pracy, na kartce. Hasło, które przeszło przez kanał, gdzie nie kontrolujesz, kto czyta, nie jest już twoje. - **Widzisz dziwny ruch.** Logowanie z miejsca, w którym nigdy nie byłeś, maile resetujące, o które nie prosiłeś, wysłana wiadomość, której nie napisałeś. - **Urządzenie zostało naruszone.** Komputer ze złośliwym oprogramowaniem, zgubiony telefon, laptop, który był w nieznanym serwisie. - **Usługa cię ostrzega.** Kiedy firma wysyła takiego maila, zareaguj tego samego dnia. To dosłownie przypadek, który przewiduje SP 800-63B. - **Skończyło się wspólne życie.** Były partner, wspólne mieszkanie, wspólnik. Konta, które były dwóch osób, a teraz są jednej. Zauważ, co je łączy: **wszystkie są faktami**. Żaden nie brzmi «minęło dziewięćdziesiąt dni». Na pierwszy jest narzędzie. Jeśli chcesz wiedzieć, czy konkretne hasło znajduje się na listach tych, które już krążą, i przy okazji, jak długo by się broniło, przepuść je przez [sprawdzanie](/pl/sprawdzanie/): analiza odbywa się w twojej przeglądarce i stamtąd nie wychodzi. ## Kiedy jest powód, kolejność ma znaczenie Zmiana hasła to krok oczywisty i często nie pierwszy. Oto kolejność, która oszczędza robienia tej samej pracy dwa razy: **Najpierw urządzenie.** Jeśli podejrzewasz, że jest na nim zainstalowane coś, co czyta to, co piszesz, zmiana hasła z tej samej maszyny sprowadza się do wręczenia mu nowego. Wyczyść je albo najpierw użyj innego urządzenia. **Potem poczta.** Twoje konto pocztowe to nie jedno z wielu: to to, które odbiera linki «zapomniałem hasła» ze wszystkich pozostałych. Kto kontroluje pocztę, kontroluje resztę frontowymi drzwiami. Jeśli jest jedno hasło, od którego zacząć, to właśnie to. **Następnie zamknij otwarte sesje.** Zmiana hasła nie zawsze wyrzuca tego, kto już jest w środku. Poszukaj w ustawieniach konta opcji wylogowania na wszystkich urządzeniach i użyj jej: inaczej intruz pozostaje połączony w sesji, która twojego hasła już wcale nie potrzebuje. **I na koniec sprawdź, co po sobie zostawił.** To krok, który pomija najwięcej osób. Kto wchodzi na konto, nie ogranicza się do patrzenia: zmienia adres odzyskiwania, dodaje telefon, włącza własny drugi składnik, podłącza aplikację, zakłada regułę przekazywania w skrzynce. **Jeśli zmienisz hasło i tego nie sprawdzisz, jutro wejdzie z powrotem przez drzwi, które nadal stoją otworem.** Przejrzyj metody odzyskiwania, autoryzowane urządzenia, podłączone aplikacje i reguły przekazywania. Jeszcze jedno, oczywiste i właśnie dlatego najczęściej lekceważone: kiedy zmieniasz, nowe hasło musi być **nowe**. Nie to samo z inną cyfrą. Wygeneruj je w [generatorze](/pl/) i zapisz tam, gdzie nie zależy od twojej pamięci. ## Co robisz przez pozostałe trzysta sześćdziesiąt dni Jeśli wyzwalaczem jest fakt, a fakty są rzadkie, pytanie staje się inne: czyli nie ma nic do roboty? Przeciwnie. To, co rotacja próbowała rozwiązać źle, rozwiązują dobrze cztery rzeczy — i wszystkie są jednorazowe. **Niech będą długie.** SP 800-63B stawia długość przed pokrętnością: długie hasło jest warte więcej niż krótkie naszpikowane symbolami. Tam leży większość pracy. **Niech będą inne na każdej stronie.** To właśnie zamienia cudzy wyciek w mały incydent zamiast w pożar. Jeśli każde konto ma swoje, wyciek jednego nie dotyka pozostałych; jeśli dzielisz hasło, o bezpieczeństwie twojego banku decyduje usługa, o której już nie pamiętasz. **Niech będą sprawdzane z listami wycieków.** To dokładnie ta zamiana, której dokonał NIST: zamiast wymagać symbolu, sprawdzić, czy twoje hasło już nie krąży. Ta weryfikacja rzeczywiście się przeterminowuje — hasło, którego dziś nie ma na listach, może być na nich za rok — i dlatego dobre menedżery powtarzają ją same i cię ostrzegają. **Niech będzie drugi składnik, gdzie tylko się da.** Z drugim składnikiem skradzione hasło przestaje być kluczem i staje się połową klucza. Te cztery razem robią coś, czego rotacja nigdy nie zrobiła: **zmieniają hasło dokładnie wtedy, gdy jest powód, bo dowiadujesz się, że jest.** Menedżer, który pilnuje list, jest systemem ostrzegania; kalendarz nie ostrzega przed niczym, po prostu mija. ## A jeśli w firmie każą co dziewięćdziesiąt dni Zdarza się, i to często, bo istnieją polityki napisane piętnaście lat temu, do których nikt od tamtej pory nie zajrzał. Dwie rzeczy. Pierwsza, praktyczna: jeśli musisz zmienić, **zmień naprawdę**. Wygeneruj całe nowe hasło i wstaw je do menedżera. Sezonowy wariant to jedyna rzecz gorsza od niezmieniania, bo daje poczucie, że coś się zrobiło. Druga, dla tych, którzy mogą ruszyć politykę: argumentu nie trzeba wymyślać. Jest w **SP 800-63B**, to oficjalna wytyczna NIST, i mówi wprost, że nie należy wymagać okresowej zmiany haseł, a należy ją wymusić, gdy są przesłanki naruszenia. Kto dziś utrzymuje regułę dziewięćdziesięciu dni, idzie za dokumentem, który sama instytucja, która go wydała, zastąpiła lata temu. ## Krótka odpowiedź, jeszcze raz Jak często zmieniać hasło? **Kiedy coś się wydarzy.** A ponieważ «kiedy coś się wydarzy» działa tylko wtedy, gdy się o tym dowiesz, długa odpowiedź brzmi: spraw, by każde hasło było długie, inne i pilnowane — a wtedy w dniu, w którym trzeba będzie jedno zmienić, dowiesz się o tym, będzie to jedno hasło i zajmie ci to dwie minuty. Reszta to odhaczanie kratki w kalendarzu, żeby poczuć się bezpiecznie. --- *Źródła: NIST SP 800-63, «Electronic Authentication Guideline» (2003), gdzie pojawiają się reguły składu i zmiana okresowa · NIST SP 800-63B, «Digital Identity Guidelines: Authentication and Lifecycle Management» (2017): długość przed złożonością, brak arbitralnej zmiany okresowej, wymuszona zmiana wobec przesłanek naruszenia i porównanie z listami haseł skompromitowanych · wypowiedzi Billa Burra, autora wytycznej z 2003 roku, dla Wall Street Journal w sierpniu 2017.*