破られにくいパスワードの条件は、①長い（目安は12文字以上、できれば16文字以上）、②名前・誕生日・辞書の単語そのままなど推測できる要素を含まない、③サービスごとに別のもの、の3つです。とくに効くのは長さで、1文字増えるごとに総当たりの手間は何十倍にも増えます。
避けるべきパスワード
- 「password」「123456」「qwerty」など、よく使われるもの
- 名前・誕生日・電話番号・ペットの名前・好きなチーム名
- 辞書に載っている単語1つだけ（後ろに「1」や「!」を付けただけも同じ）
- 他のサービスと同じもの、少しだけ変えたもの（「abc_amazon」「abc_rakuten」など）
覚えやすく長いパスワードの作り方
- 関係のない単語を4つ以上つなげる（パスフレーズ）：例「みかん・自転車・図書館・雨」を「mikan-jitensha-toshokan-ame」のように。※この例そのものは使わないでください
- サービスが求めるなら、数字や記号を途中に入れる
- 覚えるのはパスワードマネージャーの「マスターパスワード」1つにして、他はすべて自動生成に任せる（パスワードマネージャーとは）
定期的な変更は不要：以前は「3か月ごとに変更」と言われましたが、今は漏洩の疑いがあるときに変えるのが基本です。定期変更を強いると、かえって単純なパスワードの使い回しにつながるためです。
SE向けの補足：システム側では、文字種の組み合わせ強制より最小長の確保、漏洩済みパスワードのリストとの照合、試行回数の制限、多要素認証の組み合わせが推奨されています。保存は適切なソルト付きのパスワード専用ハッシュ関数で行います（漏洩の確認方法）。