Cara Membuat Password yang Kuat: Panjang, Passphrase, dan MFA

Password (kata sandi) yang kuat itu panjang, acak, dan hanya dipakai untuk satu akun. Panduan pemerintah AS saat ini lebih mengutamakan panjang daripada kerumitan: CISA menyarankan minimal 16 karakter, misalnya rangkaian acak dari pengelola kata sandi (password manager) atau passphrase berisi 5–7 kata yang tidak saling berhubungan.

Panjang dan keunikan jauh lebih penting daripada mengganti huruf dengan simbol. Tambahkan autentikasi multifaktor (MFA) pada akun-akun penting, dan Anda tetap terlindungi meskipun password bocor.

Jawaban singkat

• Buat panjang: Usahakan minimal 16 karakter. Makin panjang, makin kuat.
• Buat unik: Gunakan password berbeda untuk setiap akun.
• Buat acak: Biarkan pengelola kata sandi yang membuatnya, atau gunakan 5–7 kata yang tidak saling berhubungan sebagai passphrase.
• Lupakan aturan lama: Anda tidak wajib memakai simbol atau mengganti password secara berkala. Ganti password jika ada kemungkinan password itu sudah bocor.
• Gunakan pengelola kata sandi untuk membuat, menyimpan, dan mengisi password Anda.
• Aktifkan MFA untuk email, rekening bank, layanan kesehatan, dan akun penting lainnya.

Apa yang Membuat Password Kuat?

Peretas jarang menebak password secara manual. Mereka memakai perangkat lunak yang mencoba daftar besar berisi password umum, password yang pernah bocor, dan pola yang mudah ditebak. Password yang kuat bisa mengalahkan alat-alat ini dengan tiga cara.

1. Panjang. Setiap karakter tambahan melipatgandakan jumlah kemungkinan kombinasi. Itulah sebabnya NIST dan CISA sama-sama berfokus pada panjang.
2. Keacakan. Kata, nama, tanggal, dan pola keyboard seperti "qwerty" adalah hal pertama yang dicoba peretas. Pilihan yang benar-benar acak jauh lebih sulit dibobol.
3. Keunikan. Saat sebuah situs web dibobol, pelaku kejahatan mencoba email dan password curian itu di situs lain. Jika Anda memakai ulang password, satu kebocoran bisa membuka banyak akun.

Apa kata panduan terbaru

National Institute of Standards and Technology (NIST) Amerika Serikat menyusun aturan password yang diikuti banyak organisasi. Pedoman identitas digitalnya menyatakan bahwa layanan sebaiknya:

• Mewajibkan password minimal 15 karakter jika password menjadi satu-satunya cara masuk, atau minimal 8 karakter jika dipakai bersama MFA.
• Mengizinkan password hingga minimal 64 karakter.
• Tidak memaksa campuran jenis karakter, seperti "satu huruf besar, satu angka, satu simbol".
• Tidak memaksa penggantian password secara berkala, tetapi mewajibkan penggantian jika ada bukti password sudah dibobol.
• Memeriksa password baru terhadap daftar password umum atau yang pernah bocor.
• Mengizinkan pengelola kata sandi, isi otomatis (autofill), dan fitur tempel (paste).

Cybersecurity and Infrastructure Security Agency (CISA) memberikan saran serupa untuk masyarakat umum: minimal 16 karakter, password berbeda untuk setiap akun, dan pengelola kata sandi untuk mengurus semuanya.

Cara Membuat Password yang Kuat, Langkah demi Langkah

Pilihan 1: Biarkan pengelola kata sandi membuatnya (terbaik)

1. Pilih pengelola kata sandi yang tepercaya. Banyak browser dan ponsel sudah memilikinya, dan ada juga aplikasi terpisah.
2. Lindungi pengelola tersebut dengan master password atau passphrase yang panjang dan unik, lalu aktifkan MFA untuknya.
3. Saat membuat atau memperbarui akun, gunakan opsi buat password (generate password) dari pengelola kata sandi.
4. Atur panjangnya minimal 16 karakter. Jika situs mengizinkan, buat lebih panjang.
5. Simpan di pengelola kata sandi. Pengelola akan mengisikan password untuk Anda di lain waktu, jadi Anda tidak perlu menghafalnya.

Pilihan 2: Buat passphrase yang mudah diingat

Gunakan cara ini untuk beberapa password yang harus Anda ketik dari ingatan, seperti login komputer atau master password pengelola kata sandi.

1. Pilih 5–7 kata yang tidak saling berhubungan. Makin acak, makin baik. Hindari lirik lagu, kutipan, dan apa pun tentang diri Anda.
2. Memilih kata secara kebetulan (misalnya dengan melempar dadu dan mencocokkannya dengan daftar kata, atau membuka kamus di halaman acak) lebih kuat daripada memilih kata yang "terasa" acak.
3. Gabungkan kata-kata itu, dengan atau tanpa spasi atau pemisah jika situs mengizinkan: misalnya, lentera-kerikil-tiram-tundra-acar. (Jangan pakai contoh ini. Sekarang contoh ini sudah publik.)
4. Pastikan panjangnya minimal 16 karakter. Sebagian besar passphrase lima kata dengan mudah memenuhinya.
5. Gunakan hanya untuk satu akun.

Pilihan 3: Perbaiki password lama yang lemah

1. Mulailah dari akun yang paling penting: email, perbankan, dan akun apa pun yang bisa dipakai untuk mereset akun lain.
2. Ganti password yang pendek atau dipakai ulang dengan password buatan pengelola kata sandi atau passphrase baru.
3. Aktifkan MFA sekalian saat Anda berada di pengaturan keamanan akun.
4. Selesaikan akun lainnya secara bertahap, dengan memakai daftar password lemah atau dipakai ulang dari pengelola kata sandi sebagai daftar tugas.

Password Lemah vs. Password Kuat

Tabel ini menunjukkan pola, bukan password sungguhan. Jangan pernah memakai contoh password dari situs web mana pun.

Aktifkan Autentikasi Multifaktor (MFA)

MFA menambahkan langkah kedua saat masuk, sehingga password curian saja tidak cukup. CISA menyarankan untuk mengaktifkannya di email, perbankan, layanan kesehatan, dan akun penting lainnya. Utamakan email Anda, karena siapa pun yang menguasainya bisa mereset password Anda yang lain.

Metode MFA yang umum meliputi:

• Aplikasi autentikator yang menampilkan kode baru setiap 30 detik.
• Kode yang dikirim lewat SMS atau email. Lebih baik daripada tanpa MFA, tetapi CISA mencatat bahwa kode lewat SMS dan panggilan suara rentan terhadap phishing dan serangan SIM swap, jadi jadikan pilihan terakhir.
• Biometrik, seperti sidik jari atau pemindaian wajah.
• Login berbasis FIDO, seperti kunci keamanan fisik. CISA menyebut FIDO/WebAuthn sebagai satu-satunya metode tahan phishing yang tersedia secara luas.

Untuk mengaturnya, cari opsi seperti "verifikasi dua langkah" atau "autentikasi multifaktor" di pengaturan Keamanan (Security) atau Login (Sign-in) akun Anda. Simpan kode cadangan di tempat yang aman.

Kesalahan Umum yang Perlu Dihindari

• Memakai ulang password. Ini risiko terbesar. Satu kebocoran bisa membuka semua akun yang memakai password yang sama.
• Mengandalkan penggantian karakter. Mengganti "a" dengan "@" atau menambahkan "1!" di akhir mudah ditebak, dan alat pembobol mencobanya secara otomatis.
• Memakai informasi pribadi. Nama hewan peliharaan, tanggal lahir, dan tim favorit mudah ditemukan di internet.
• Menulis password di catatan atau spreadsheet tanpa perlindungan. Gunakan pengelola kata sandi yang terenkripsi sebagai gantinya.
• Membagikan password atau kode MFA. Perusahaan resmi tidak pernah meminta password atau kode login (OTP) Anda lewat telepon, SMS, atau email. Pelajari cara mengenali penipuan online dan phishing.
• Mengganti password sesuai jadwal tanpa alasan. NIST tidak lagi menyarankan penggantian berkala yang dipaksakan, karena sering menghasilkan perubahan kecil yang mudah ditebak. Ganti password jika ada tanda password itu sudah bocor.

Pertanyaan yang Sering Diajukan

Berapa panjang password yang kuat?

CISA menyarankan minimal 16 karakter, dan lebih panjang lebih baik. NIST menyatakan layanan sebaiknya mewajibkan minimal 15 karakter jika password menjadi satu-satunya faktor login. Pengelola kata sandi membuat password panjang jadi mudah dipakai.

Apakah passphrase benar-benar lebih aman daripada password yang rumit?

Passphrase panjang dari kata-kata yang benar-benar acak biasanya lebih kuat daripada password pendek yang penuh simbol, dan jauh lebih mudah diingat. Panjang menambah kekuatan lebih banyak daripada aturan kerumitan.

Haruskah saya mengganti password secara rutin?

Panduan NIST terbaru menyatakan Anda tidak perlu mengganti password sesuai jadwal tetap. Segera ganti jika sebuah layanan melaporkan kebocoran data, Anda melihat aktivitas mencurigakan, atau Anda tidak sengaja membagikannya.

Apakah pengelola kata sandi aman?

Pengelola kata sandi tepercaya yang dilindungi master password yang kuat dan MFA jauh lebih aman daripada memakai ulang password atau menuliskannya. Pengelola ini juga membuat pemakaian password unik di semua akun jadi praktis.

Apa yang harus saya lakukan jika password saya ikut bocor dalam kebocoran data?

Segera ganti password tersebut, termasuk di akun lain yang memakai password yang sama. Aktifkan MFA dan tinjau aktivitas akun terbaru. Jika akun itu dipakai untuk urusan uang, periksa juga mutasi atau laporan transaksinya.

Apakah aman membiarkan browser menyimpan password?

Pengelola kata sandi bawaan di browser dan ponsel populer adalah pilihan yang wajar bagi banyak orang, terutama jika kunci perangkat dan MFA sudah aktif. Sebelum Anda menghapus cache browser, pastikan Anda tidak ikut menghapus password tersimpan yang Anda andalkan.

---

Sumber

• NIST SP 800-63B – Digital Identity Guidelines: Authentication and Authenticator Management
• CISA Secure Our World – Passwords Tip Sheet
• CISA Secure Our World – Turn On Multifactor Authentication
• CISA – Implementing Phishing-Resistant MFA (fact sheet)