Безопасные пароли для админки и где их хранить

Длина пароля важнее набора символов. Восемь знаков с заглавной и цифрой перебираются за секунды, двенадцать примерно за 30 часов, шестнадцать около 350 лет. Поэтому фраза из нескольких несвязанных слов надёжнее мешанины, которую всё равно записывают на бумажке.

В 2026 году пароль из 8 символов с одной заглавной и одной цифрой это не пароль, а формальность. Любая GPU-ферма за пару тысяч долларов перебирает такой за минуты. Но при этом 70 процентов людей до сих пор используют именно такие пароли в админках своих сайтов, потому что так требует поле регистрации и так привычно.

Я веду доступы к десяткам клиентских сайтов одновременно. Ниже разложу, какие пароли реально работают сегодня, какие требования смешные, а какие важные, и где их хранить, чтобы самому не потерять.

Длина против сложности: что важнее

Старая школа учила: пароль должен быть короткий, но сложный. Больше типов символов: верхний регистр, нижний, цифры, спецзнаки. Это требование родом из 90-х, когда пароли в основном брутфорсили в чужих хешах, и каждый дополнительный тип символов умножал пространство перебора.

Сегодня история другая. Большая часть взломов идёт не через брутфорс хеша, а через утечки готовых пар логин-пароль и через подбор по словарям. И вот здесь длина важнее сложности.

Грубо, цифры из 2026 года для перебора пароля за 1 секунду на средней GPU:

• 8 символов любых это 6 миллиардов комбинаций. Перебирается за 11 секунд.
• 10 символов любых это 60 триллионов. Около 30 часов.
• 12 символов любых это 6 квадриллионов. Около 350 лет.
• 16 символов это уже неподъёмно даже для государств.

То есть длина 12 символов это разумный минимум сегодня. 16 символов это комфортный запас. 20 символов это паранойя в лучшем смысле.

При этом сложность набора в современных условиях не сильно помогает. 12 символов из строчных букв и цифр, без всяких спецзнаков, это пространство 36 в 12-й, около 4.7 квадриллиона. Уже неподъёмно для обычного злоумышленника.

Парольная фраза вместо мешанины

Идея простая: вместо Tr$5xPq#8mZw запоминать волосатый-троллейбус-кашалот-облако. Длина 36 символов, тривиально запоминается, перебирается за миллиарды лет.

Это работает по двум причинам. Первая: длина даёт огромное пространство перебора. Вторая: словарные атаки рассчитаны на одно-двух-словные пароли, а не на четырёх-пятисловные.

Условия, чтобы фраза была безопасной:

1. Минимум 4 случайных слова. Не первая строчка вашей любимой песни. Не цитата из фильма. Случайно выбранные.
2. Слова взяты из словаря в 5-10 тысяч слов. У XKCD-метода это около 7 тысяч.
3. Между словами что-то разделяющее: дефис, точка, цифра, заглавная.

Я для своих собственных мастер-паролей использую генератор diceware (в KeePassXC встроен) с минимум 5 словами. Получается фраза вроде cucumber-island-marathon-hidden-clay. 38 символов, помню без проблем, проверяется в офлайне без вай-фая.

Для пароля админки сайта диктую себе генератор и сохраняю в менеджер. Помнить не нужно: все пароли сайта живут в одном месте.

Где хранить и как не терять

Главное правило 2026 года: никаких паролей в голове, кроме мастер-пароля от менеджера паролей. Всё остальное живёт в менеджере.

Менеджеры, которые я реально использую и рекомендую клиентам.

KeePassXC

Локальный файловый менеджер. База лежит у вас в виде .kdbx файла, шифруется AES-256, открывается мастер-паролем. Бесплатный, открытый код, ходит на всех ОС.

Плюсы: данные физически у вас, никаких облаков. Можно держать в Dropbox или Yandex Disk для синхронизации между устройствами, и это безопасно, потому что файл сильный шифр. Есть мобильные клиенты (KeePassDX на Android, Strongbox на iOS).

Минусы: синхронизация на вас. Если потеряли файл и забыли мастер-пароль, паролей больше нет.

Это мой основной менеджер для собственных доступов и для тех клиентов, кто готов в нём разобраться.

Bitwarden

Облачный менеджер с открытым кодом. Бесплатный план достаточен для большинства, премиум за 10 долларов в год даёт TOTP-генератор внутри менеджера, шифрование вложений и расширенный экспорт.

Плюсы: синхронизация автоматическая, мобильные приложения и плагины для всех браузеров рабочие. Можно поднять собственный сервер Vaultwarden и не зависеть от Bitwarden Cloud вообще.

Минусы: серверная часть в США. Для клиентов с особо чувствительными данными это может быть препятствием.

Это мой выбор для большинства клиентов: ставлю Bitwarden Free, делюсь паролями через шифрованную папку, всё работает.

1Password

Платный, более вылизанный, ценник около 2.99 доллара в месяц на пользователя. Внутри есть удобные функции для команд (sharing, vault permissions), хорошая интеграция с GitHub и облачными провайдерами.

Использую для команды на одном из проектов, где работает несколько подрядчиков и нужна гранулярная раздача доступов.

Что не использую

Браузерный встроенный менеджер. Chrome и Firefox запоминают пароли, но это не настоящий менеджер: нет шифрования полей карт, плохая защита от вредоносных расширений, мастер-пароль обычно совпадает с паролем от ОС. Сохранять там что-то ниже уровня форумного аккаунта это окей, доверять админку сайта нет.

Excel-файл с паролями. Вижу до сих пор у каждого второго клиента. Файл лежит в Yandex Disk, расшарен на 5 человек, без шифрования. Один раз увидел такой файл расшаренный по ссылке без пароля. Любой, кто узнал ссылку, забирал все доступы.

Стикер на мониторе. Вижу регулярно, особенно в офисах. Камеры в современном телефоне снимают мелкий шрифт с расстояния пары метров.

Один и тот же пароль на десяти сайтах. Самая опасная привычка. Утекает один сайт, и злоумышленник по очереди ходит по всем остальным с теми же доступами.

Конкретно для админки сайта

Шаблон, который я ставлю каждому клиенту в первый день работы.

Логин администратора не admin. Меняю на что-то нейтральное. Чем длиннее логин, тем сложнее перебор пары логин-пароль. Я обычно делаю инициалы плюс случайные 4 цифры: iv7321. Не очень случайно, но в логе боты ищут именно admin, administrator, root, support.

Пароль 16 символов случайный. Сгенерирован менеджером. Никогда не вводится руками с клавиатуры (только из менеджера через автозаполнение или копи-паст).

Двухфакторная аутентификация обязательна. Подробно про неё в отдельной статье. Без второго фактора пароль может утечь из любого места и никто этого не заметит.

Резервные коды от 2FA лежат в менеджере. Если потеряли телефон, без них доступ восстанавливается только через поддержку.

Отдельные пароли для FTP, SSH и базы данных. Никогда не один и тот же пароль на разные службы. Если злоумышленник вытаскивает SQL-пароль, через него не должен входить в админку.

Уникальный пароль для каждого сайта. Менеджер делает это бесплатно. Не переиспользуйте даже между «своими» проектами.

Как раздавать пароли подрядчику

Самый частый вопрос на старте работы: как мне передать вам пароль от админки.

Что я НЕ принимаю:

• по почте письмом,
• в мессенджере одним сообщением,
• по телефону голосом,
• скриншотом в чат.

Любой из этих способов это «навсегда». Сообщение остаётся в истории, в бэкапах, в логах серверов.

Что я принимаю:

• через Bitwarden share или 1Password sharing если оба пользуются менеджером,
• через одноразовый секрет на https://onetimesecret.com или на https://privnote.com (открывается один раз, потом самоуничтожается),
• через разделённый канал: логин одним способом, пароль другим (логин в Telegram, пароль голосом по телефону),
• через временный пароль, который я сразу меняю после входа в админку.

Самый надёжный способ для маленького проекта без менеджера: одноразовый секрет на onetimesecret.com с лимитом просмотра 1 раз и сроком жизни 1 час. Бесплатно, гарантированно стирается, не оставляет следов в чате.

Как часто менять и зачем

Старая рекомендация менять пароли каждые 90 дней давно устарела. NIST в 2017 году убрал её из своих гайдлайнов. Smal NCSC, FTC и большинство современных стандартов согласны: периодическая смена пароля без повода это вредно, потому что заставляет людей выдумывать упрощённые варианты («пароль1», «пароль2», «пароль3») и записывать их на стикерах.

Менять пароль нужно по поводу:

• была утечка на любом из сервисов, где вы регистрировались с этим email;
• уволился сотрудник, у которого был доступ;
• был инцидент на сайте (взлом, подозрительные действия);
• сменился подрядчик;
• прошло три года, и просто как гигиена, потому что появились новые алгоритмы перебора.

Проверять, утекали ли ваши пароли, удобно на https://haveibeenpwned.com. Можно ввести email и увидеть список всех утечек, в которых он засветился. Если пароль утёк, его меняют немедленно, и не только на том сайте, где случилась утечка, но и на всех, где вы могли его переиспользовать.

Чёрный список паролей

Список того, что я никогда не принимаю в качестве пароля от админки.

• Пароли длиной меньше 12 символов.
• Пароли, состоящие из одного словарного слова без модификаций.
• Пароли вида «слово плюс цифра» или «слово плюс год» (Vesna2026, Spasibo123).
• Имя или фамилия владельца, его дети, питомцы, дата рождения.
• Имя сайта или домена в любом виде (saitfix2026, fix-saitru).
• Пароли из топ-10 000 любых утечек (генератор паролей Bitwarden и KeePassXC сразу проверяет).
• QWERTY, 12345678, password, admin, любые их вариации.
• Любой пароль, который пользователь использует на каком-то ещё сайте.

Если клиент настаивает на удобном пароле, я объясняю, почему длинная фраза удобнее цифро-буквенной мешанины, и обычно он соглашается.

Хранилище паролей подрядчика

Если у вас несколько сайтов, и вы хотите, чтобы доступы переходили с одного подрядчика на другого без пересоздания всего:

Заведите общий vault в менеджере паролей, в который имеют доступ владелец и подрядчик. У владельца роль администратора, у подрядчика обычная.

Делайте подрядчику свою учётную запись в админке сайта, не давайте ему свой логин администратора. Тогда при смене подрядчика отключаете именно его учётку, а ваш доступ остаётся.

Записывайте в паспорт сайта, какие сервисы относятся к этому проекту: хостинг, регистратор домена, DNS, бэкапы, аналитика, CDN. Это нужно не подрядчику, а вам, чтобы при ЧП вы знали, к кому идти.

Что делать прямо сейчас

Если вы не пользуетесь менеджером паролей и читаете эту статью с пятью одинаковыми паролями в голове, конкретный план на сегодня:

1. Установите Bitwarden или KeePassXC. Любой из двух, разница для маленького проекта не критичная.
2. Заведите мастер-пароль из 5 случайных слов. Запишите его на бумаге, положите в сейф или в надёжное место. Это единственный пароль, который вам надо помнить.
3. Зайдите в свою админку сайта. Сгенерируйте новый пароль 16 символов, замените текущий, запишите в менеджер.
4. Так же сделайте с FTP, SSH, базой данных, регистратором домена, хостингом, аналитикой.
5. Сделайте то же самое со всеми остальными сайтами и сервисами, которые вспомните.
6. Включите 2FA везде, где есть.
7. Проверьте свой email на haveibeenpwned.com и поменяйте пароли на всех сервисах, которые в утечках.

Это занимает один вечер. После этого вы перестаёте быть низковисящим фруктом для перебора, и ваш сайт переходит из категории «взломаем за 5 минут» в категорию «не стоит того времени».

Куда дальше

Связанные материалы: Двухфакторная аутентификация для админки, Как ограничить число попыток входа в админку, Где хранить пароли от админки FTP домена.

Если вам не хочется самим думать про менеджеры, генерацию, ротацию и раздачу доступов, в моих годовом и месячном тарифах это входит как часть стандартного аудита безопасности на старте. Подключиться через форму.

Частые вопросы

Какой пароль считается безопасным

От 16 символов, удобнее всего в виде фразы из нескольких несвязанных слов. Восьмизначный пароль с заглавной и цифрой средняя видеокарта перебирает за секунды, и сложность символов тут не спасает.

Где хранить пароли

В менеджере паролей, а не в браузере, не в заметках и не в переписке. Помнить нужно один мастер-пароль, и вот он должен быть длинным.

Как передавать доступы подрядчику

Отдельной учётной записью с нужными правами, а не своим логином. Тогда отзыв доступа это одно действие в админке, а не смена паролей во всех сервисах разом.

Как часто менять пароли

По событию, а не по календарю. Смена по расписанию заставляет придумывать предсказуемые варианты вроде цифры в конце. Менять надо при уходе подрядчика, при подозрении на утечку и после инцидента.