سیاست رمز عبور در بیشتر سازمان‌ها سال‌هاست دست نخورده: هشت نویسه، حرف بزرگ و کوچک و عدد و نماد، تعویض اجباری هر سی روز. این ترکیب امروز توصیه نمی‌شود — و بخشی از آن اصلاً نتیجهٔ عکس می‌دهد.
چرا تعویض اجباری کوتاه‌مدت بد است
وقتی کاربری مجبور است هر ماه رمز عوض کند، رفتار قابل پیش‌بینی نشان می‌دهد: Bahar1403! بعد Bahar1404! بعد Tabestan1404!. الگو ساخته می‌شود و الگو، حدس‌زدنی است.
توصیهٔ امروزی: تعویض دوره‌ای اجباری را بردارید، مگر نشانه‌ای از لو رفتن باشد. در عوض روی طول رمز و بررسی رمزهای افشاشده تمرکز کنید.
طول مهم‌تر از پیچیدگی است
عبارتی از چند واژهٔ نامرتبط، هم قوی‌تر از P@ss1! است و هم راحت‌تر به یاد می‌ماند. قواعد پیچیدگی سخت‌گیرانه، کاربران را به سمت الگوهای قابل حدس هل می‌دهد — همان حرف بزرگ در اول و همان عدد و علامت تعجب در آخر.
حداقل طول را بالا ببرید (دوازده نویسه نقطهٔ شروع معقولی است) و قواعد ترکیبی را ساده کنید.
رمزهای افشاشده را ببندید
مؤثرترین کار: نگذارید کاربر رمزی انتخاب کند که قبلاً در نشت‌های عمومی دیده شده. بسیاری از نفوذها با رمزی اتفاق می‌افتد که کاربر در سایت دیگری استفاده کرده و آن سایت هک شده است.
قفل‌شدن حساب
محدودکردن تلاش‌های ناموفق لازم است، ولی سخت‌گیری بیش از حد خودش مشکل می‌سازد: مهاجم می‌تواند عمداً حساب‌ها را قفل کند و سرویس را مختل کند. قفل موقت چند دقیقه‌ای، معمولاً تعادل بهتری از قفل دائمی دارد.
و مهم‌تر از همهٔ این‌ها
هر سیاست رمزی که بنویسید، در برابر یک رمز لو رفته شکست می‌خورد. احراز هویت دومرحله‌ای تنها چیزی است که این حالت را پوشش می‌دهد. اگر قرار است فقط یک کار انجام دهید، آن را انجام دهید — نه سخت‌تر کردن قواعد رمز.
خلاصه: رمز طولانی‌تر، بدون تعویض اجباری، همراه با دومرحله‌ای. این ترکیب هم امن‌تر است و هم کاربران کمتر دورش می‌زنند.