Jak vytvořit silné heslo: délka, passphrase a unikátnost

Průměrný uživatel internetu má dnes desítky online účtů. Přesto průzkumy opakovaně ukazují, že nejpoužívanějšími hesly zůstávají „123456”, „heslo” nebo variace na jméno a rok narození. Slabá hesla jsou po phishingu druhým nejčastějším způsobem, jak útočníci získávají přístup k cizím účtům.

Dobrou zprávou je: vytvořit silné heslo není těžké, a pokud používáte správce hesel, nemusíte si je ani pamatovat.

Proč záleží na síle hesla

Útočníci k prolomení hesel používají různé metody:

Slovníkové útoky — testují tisíce běžných slov, jmen, dat a jejich kombinací. Heslo „Petra2001” je prolomeno za sekundy.

Hrubá síla (brute-force) — systematické testování všech kombinací znaků. Kratší hesla jsou zranitelná.

Credential stuffing — používání hesel uniklých z jiných služeb. Pokud vaše heslo z e-shopu uniklo a stejné heslo máte v internetovém bankovnictví, útočník se pokusí přihlásit s ním tam.

CSIRT.CZ evidovalo v roce 2024 přes 2 200 bezpečnostních incidentů v ČR, přičemž 74 % tvořil phishing zaměřený na přihlašovací údaje. Silné, unikátní heslo je první linií obrany.

Délka je důležitější než složitost

Jednou z nejrozšířenějších mylných představ o heslech je přesvědčení, že stačí přidat speciální znak a heslo je bezpečné. Ve skutečnosti je délka hesla důležitější než složitost.

Heslo „B@nk2024!” má 9 znaků a speciální znaky, ale slovníkový útok ho prolomí rychle, protože kombinuje předvídatelné prvky. Heslo „slunce-koberec-vlak-modrá” má 26 znaků, neobsahuje speciální znaky, ale je nesrovnatelně silnější.

Proč? Počet možných kombinací roste exponenciálně s délkou. Každý přidaný znak násobí obtížnost útoku.

Doporučená minimální délka:

• Méně kritické účty (fóra, e-shopy): minimálně 12 znaků
• Kritické účty (e-mail, bankovnictví, datová schránka): minimálně 16–20 znaků
• Hlavní heslo správce hesel: minimálně 20 znaků, ideálně passphrase

Technika passphrase: silné a zapamatovatelné

Passphrase (heslovitá fráze) je heslo složené ze čtyř nebo více náhodných slov, oddělených pomlčkou, mezerou nebo jiným znakem.

Příklady vhodné passphrase:

• slunce-ryba-modrá-vlaková
• Kachna-Stůl-Jezero-Čtyři
• cihla-nebe-rychlý-lampion

Proč to funguje: Čtyři náhodná slova z českého slovníku vytváří kombinaci s vysokou entropií (mírou nepředvídatelnosti), která je srovnatelná s 10–12 náhodných znaků — ale lidský mozek ji snadno zapamatuje jako vizuální obraz nebo příběh.

Co passphrase nesmí být:

• Citát z oblíbené písně nebo knihy
• Fráze, která o vás vypovídá („miluji-Prahu-2003”)
• Přímé překlady anglických hesel

Klíčem je náhodnost slov. Můžete použít online generátor passphrase nebo správce hesel — nebo prostě otevřít knihu na náhodné straně a vzít první čtyři podstatná jména.

Jedinečnost: jedno heslo = jeden účet

Unikátní heslo pro každý účet je pravidlo, které nesmíte porušit. Je jedno, jak silné heslo máte — pokud ho používáte na více místech, jeden únik ho kompromituje všude.

Statistická realita: úniky databází jsou pravidelnou součástí digitálního světa. Portál Have I Been Pwned eviduje stovky miliard uniklých přihlašovacích párů. Šance, že alespoň jeden z vašich účtů figuruje v uniklé databázi, je nezanedbatelná.

Jak zvládnout desítky jedinečných hesel: Právě proto existují správci hesel. Nemusíte si pamatovat žádné heslo kromě jednoho hlavního. Přehled fungování správce hesel najdete v Co je správce hesel? Jak funguje a proč ho používat.

Co nikdy nedělat

Nepoužívejte osobní informace. Jméno, datum narození, jméno domácího zvířete, rodné číslo, oblíbený film — to vše útočník zkusí jako první, zejména pokud o vás ví z veřejných profilů na sociálních sítích.

Nenahrazujte písmena číslicemi předvídatelně. „h3sl0” nebo „P@$$w0rd” jsou hacknutelné za sekundy pomocí modifikovaných slovníkových útoků.

Nespoléhejte na variace jednoho hesla. „Heslo2022”, „Heslo2023”, „Heslo2024” — útočník, který zná jednu variantu, automaticky zkusí ostatní.

Nesdílejte hesla e-mailem nebo SMS. Pokud potřebujete sdílet přihlašovací údaje s rodinou, použijte k tomu bezpečnou funkci sdílení ve správci hesel.

Hlavní heslo správce hesel: výjimečný případ

Pokud se rozhodnete používat správce hesel (a doporučujeme to), existuje jedno heslo, které si skutečně pamatovat musíte: hlavní heslo.

Pro hlavní heslo doporučujeme passphrase o alespoň čtyřech slovech. Toto heslo:

• Nikdy nepoužívejte nikde jinde
• Záchranný kód (recovery key) uložte fyzicky — vytiskněte a uložte na bezpečné místo
• Nikdy ho nezapisujte digitálně (e-mail, poznámky v telefonu, dokument ve sdíleném cloudu)

Bez záchranného kódu byste v případě ztráty hlavního hesla přišli o přístup ke všem uloženým heslům.

Generátor hesel: nejsilnější řešení

Správci hesel mají vestavěný generátor hesel, který vytváří náhodné kombinace znaků. Tato hesla patří k nejsilnějším — jsou skutečně náhodná, dlouhá a unikátní. Nemusíte si je pamatovat, protože to za vás dělá správce hesel.

Prakticky: při registraci na nové stránce přes rozšíření správce hesel rovnou vygenerujte heslo o 20+ znacích. Nemáte důvod vymýšlet heslo sami.

Generátor hesel je k dispozici i na adrese /nastroje/generator-hesel/ na tomto webu.

Shrnutí: klíčová pravidla

• Délka: minimálně 16 znaků pro kritické účty; passphrase pro hlavní heslo správce hesel
• Unikátnost: jedno heslo = jeden účet, bez výjimek
• Náhodnost: žádné osobní informace, žádné předvídatelné vzory
• Správce hesel: vygeneruje a uloží hesla za vás — vy si pamatujete pouze jedno hlavní
• 2FA: silné heslo plus dvoufaktorové ověření je nesrovnatelně bezpečnější než silné heslo samotné

Přehled nejlepších správců hesel najdete v Nejlepší správce hesel 2026: srovnání a doporučení, bezplatné varianty v Správce hesel zdarma: Bitwarden, Proton Pass a NordPass.

Co teď udělat?

1. Zkontrolujte svá nejdůležitější hesla — bankovnictví, e-mail, BankID, datová schránka. Jsou unikátní a dostatečně dlouhá?
2. Pořiďte si správce hesel — a nechte ho generovat nová hesla místo vás; přehled na Co je správce hesel? Jak funguje a proč ho používat.
3. Vytvořte silné hlavní heslo pomocí techniky passphrase — čtyři náhodná slova oddělená pomlčkami.
4. Záchranný kód správce hesel uložte fyzicky — vytiskněte a uzamkněte.
5. Zapněte dvoufaktorové ověření na všech kritických účtech, i na správci hesel.