Proč je jedno heslo pro více účtů problém
V praxi nejde jen o teorii. Pokud používáte stejné nebo podobné heslo na e-shopu, v e-mailu a třeba i v administraci webu, útočníkovi stačí jediné úspěšné prolomení. Tento scénář je běžný u takzvaného credential stuffing, kdy se uniklá kombinace e-mailu a hesla automaticky zkouší na dalších službách. Podle bezpečnostních reportů se tímto způsobem daří zneužívat miliony účtů ročně.
Riziko je vyšší u e-mailu, protože ten bývá klíčem k resetu hesel všude jinde. Když někdo získá přístup k poště, může obnovit přihlášení do banky, sociálních sítí, cloudových úložišť i firemních systémů. Jedno slabé místo tak často znamená řetězovou reakci.
Typický příklad: zaměstnanec použije stejné heslo do firemního e-mailu a do administrace WordPressu. Heslo se objeví v úniku z jiné služby, útočník ho vyzkouší i jinde a během minut získá přístup k webu, databázi kontaktů i objednávkám. Z pohledu firmy jde pak o bezpečnostní, reputační i právní problém.
Jak má vypadat silné heslo v roce 2025
Bezpečné heslo už není o složitém mixu znaků, který si nikdo nepamatuje. Důležitější je délka a jedinečnost. Doporučení NIST i většiny bezpečnostních expertů míří k heslům o délce alespoň 14 až 16 znaků, ideálně jako náhodná fráze nebo generovaný řetězec.
Prakticky to může vypadat takto:
- Slabé heslo: Mj2024! nebo Admin123
- Lepší varianta: kolo-mlha-ranni-72
- Nejbezpečnější: náhodně vygenerované heslo o 16–24 znacích, například z password manageru
Vyhněte se datům narození, jménům dětí, názvům firmy, oblíbeným sportům nebo jednoduchým vzorcům jako Heslo2025!. Tyto kombinace patří mezi první, které útočníci testují. Stejně tak nepomůže jen obměna posledního znaku, například z Letni2024! na Letni2025!; automatizované útoky s tím počítají.
U citlivých účtů, jako je e-mail, banka, administrace webu nebo cloudové úložiště, doporučují odborníci používat pro každý účet zcela jiné heslo. Tady už nefunguje kompromis.
Správce hesel: nejpraktičtější řešení pro běžné uživatele i firmy
Pokud má člověk desítky účtů, ruční správa je nereálná. Proto se v praxi používají správci hesel, kteří hesla generují, ukládají a bezpečně vyplňují do formulářů. Je to dnes nejefektivnější způsob, jak mít pro každý účet unikátní přístupové údaje bez nutnosti si je pamatovat.
Mezi často používané nástroje patří 1Password, Bitwarden, Dashlane nebo Keeper. Z bezplatných nebo dostupnějších variant bývá populární Bitwarden, který nabízí i firemní správu. Pro uživatele i týmy je podstatné, že správce hesel umí nejen ukládání, ale i sdílení vybraných přístupů, audit slabých hesel a upozornění na únik dat.
Postup zavedení je jednoduchý:
- Vyberte jeden důvěryhodný správce hesel.
- Založte hlavní přístupové heslo, které bude opravdu silné a jedinečné.
- Postupně importujte uložená hesla z prohlížeče nebo starého nástroje.
- U nejdůležitějších účtů změňte hesla na unikátní a delší.
- Zapněte upozornění na slabá, opakovaná nebo kompromitovaná hesla.
Firmám se vyplatí zavést centrální správu přístupů. U menších týmů často stačí sdílený firemní trezor, u větších organizací je vhodné řízení přístupových práv podle rolí. Důležité je, aby hesla nebyla posílaná po e-mailu, v chatu ani v tabulkách na disku bez ochrany.
Dvoufázové ověření jako druhá vrstva ochrany
Silné heslo je základ, ale samo o sobě už nestačí. Proto se doporučuje zapnout dvoufázové ověření neboli 2FA nebo MFA. I když někdo heslo získá, bez druhého faktoru se do účtu nedostane. Nejbezpečnější jsou aplikace jako Google Authenticator, Microsoft Authenticator, Authy nebo hardwarové klíče typu YubiKey.
SMS kódy jsou lepší než nic, ale nejsou ideální. Mohou být zneužity při SIM swap útoku nebo při přesměrování zpráv. U důležitých účtů je vhodnější aplikace nebo hardwarový klíč. Z pohledu bezpečnosti je to rozdíl, který často rozhoduje o tom, zda útok skončí neúspěšně.
Praktický příklad: účet do administrace webu má silné heslo uložené ve správci hesel a zároveň je chráněn aplikací pro jednorázové kódy. Pokud útočník zachytí přihlašovací údaje z veřejné sítě nebo z úniku databáze, stále mu chybí druhý faktor. U e-mailu, cloudu a bankovnictví je to dnes standard, ne nadstandard.
Co dělat s hesly v prohlížeči, v týmu a na firemním webu
Prohlížeče umí hesla ukládat pohodlně, ale ne vždy nejlépe. Pro běžné používání mohou stačit, pokud jsou chráněné hlavním systémovým účtem a synchronizací. Pro firmy, administrátory webů a marketéry je ale profesionální správce hesel vhodnější, protože nabízí lepší kontrolu, audit i sdílení.
Na firemních webech a v e-commerce je důležité pracovat i s přístupy k hostingu, FTP/SFTP, databázi, CMS, analytice a reklamním účtům. Každá tato služba by měla mít vlastní heslo a ideálně i 2FA. Pokud například správce webu odchází z firmy, je nutné okamžitě změnit sdílené přístupy a zkontrolovat, kdo má k čemu přístup.
U WordPressu je dobré pravidelně kontrolovat:
- aktivní administrátorské účty
- používání silných hesel pro všechny role
- dvoufázové ověření pro administrátory
- omezení pokusů o přihlášení
- aktualizace pluginů a šablon
Stejně důležité je nepodceňovat sdílení přístupů s externisty. Pokud má agentura spravovat PPC nebo SEO, ideální je přidat ji přes samostatný účet s omezenými právy, nikoli posílat hlavní přihlašovací údaje. Tím se snižuje riziko, že jeden kompromitovaný účet ohrozí celý systém.
Jak poznat, že je čas hesla změnit, a jak je bezpečně obnovovat
Heslo není potřeba měnit každý měsíc jen z principu. Důležitější je měnit ho tehdy, když existuje reálné riziko. Typicky jde o situace, kdy se objeví upozornění na únik dat, podezřelá aktivita v účtu, přihlášení z neznámé lokality nebo sdílení přístupu s někým, kdo už ho nemá mít.
Užitečné je sledovat služby, které upozorňují na kompromitované adresy a hesla. Některé správce hesel i bezpečnostní platformy umí porovnat uložené údaje s databázemi úniků. Pokud se objeví varování, postup je jasný: změnit heslo, zkontrolovat aktivní relace, odhlásit všechna zařízení a zapnout nebo obnovit 2FA.
U obnovy hesel je vhodné mít připravený bezpečný proces. Například:
- nepoužívat stejné obnovovací e-mailové adresy pro všechno bez ochrany
- mít záložní kódy uložené offline nebo ve správci hesel
- pravidelně kontrolovat obnovovací telefonní čísla a e-maily
- u klíčových služeb testovat, zda funguje přístup i po ztrátě telefonu
V praxi se vyplatí mít jedno hlavní zabezpečené místo pro přístup k ostatním účtům, ale ne jedno opakované heslo. Rozdíl je zásadní: správce hesel centralizuje bezpečnost, zatímco jedno sdílené heslo centralizuje riziko.