Hur långt ska ett lösenord vara? Minst 15 tecken enligt nya regler

Ett lösenord som är ditt enda inloggningssteg ska vara minst 15 tecken långt. Det är kravet i den amerikanska standarden NIST SP 800-63B-4 från 2025, och flera andra rekommenderar 16 tecken. För viktiga konton är 20 slumpade tecken eller en fras med sex slumpvalda ord ett bättre mål. Längden spelar större roll än specialtecken, och det viktigaste av allt är att varje lösenord är unikt.

Så långt ska lösenordet vara enligt olika rekommendationer

Källa	Rekommendation	Kommentar
NIST SP 800-63B-4 (USA, 2025)	Minst 15 tecken om lösenordet används ensamt, minst 8 tecken om det kombineras med en andra faktor	Krav på tjänster, inte på användare. Används som referens världen över
CISA (USA:s cybersäkerhetsmyndighet)	Minst 16 tecken, längre är bättre	Råd till privatpersoner
Bitwarden (lösenordshanterare)	Minst 14 tecken, helst 16 eller fler	Råd från en leverantör
EFF (lösenordsfraser)	Sex ord ur en lista med 7 776 ord	Gäller fraser som slumpas fram med tärning eller generator
NCSC vid FRA (Sverige)	Välj långa fraser och använd en lösenordshanterare	Anger inget exakt antal tecken

Slutsatsen är densamma överallt: 15 till 16 tecken är golvet, inte målet. Lösenord som en lösenordshanterare fyller i åt dig kostar inget extra att göra längre, så låt dem vara 20 tecken eller mer.

Det här säger NIST:s nya regler

NIST är USA:s standardiseringsmyndighet. Den slutliga versionen av riktlinjerna för digital identitet, SP 800-63-4, publicerades 31 juli 2025. Delen om inloggning, 800-63B-4, skiljer på vad tjänster ska göra (shall) och vad de bör göra (should).

Regel	Ska eller bör	Vad det innebär
Minsta längd	Ska	15 tecken om lösenordet är enda faktorn, 8 tecken vid tvåfaktorsinloggning
Största längd	Bör	Tjänsten bör tillåta minst 64 tecken
Krav på blandade teckentyper	Ska inte	Inga tvingande krav på siffror, versaler eller specialtecken
Byte med jämna mellanrum	Ska inte	Byte krävs bara när det finns tecken på att lösenordet har läckt, och då ska tjänsten kräva det
Spärrlista	Ska	Nya lösenord jämförs med vanliga, förutsägbara och läckta lösenord. Tjänsten ska säga varför ett lösenord nekas
Lösenordshanterare och autofyll	Ska	Tjänsten ska tillåta att lösenord fylls i automatiskt
Klistra in	Bör	Det bör gå att klistra in lösenordet
Mellanslag och Unicode	Bör	Mellanslag och tecken som å, ä och ö bör accepteras
Ledtrådar och säkerhetsfrågor	Ska inte	Inga lösenordsledtrådar och inga frågor som ”Vad hette ditt första husdjur?”
Hela lösenordet	Ska	Tjänsten ska kontrollera hela lösenordet och inte klippa av det
Begränsa felförsök	Ska	Högst 100 misslyckade försök i rad innan inloggningen spärras

Den sista raden förklarar varför längden spelar så stor roll. Gissar någon direkt mot inloggningssidan tar spärren slut på försöken långt innan ett 15 tecken långt lösenord hittas. Den verkliga risken uppstår när en tjänst blir hackad och lösenordsdatabasen läcker. Då kan angriparen gissa i sin egen dator utan spärr, och då är det bara längden och slumpen som skyddar dig.

Varför längd slår specialtecken

Varje extra tecken multiplicerar antalet möjliga lösenord. Ett utbytt tecken, som @ i stället för a, gör det knappt svårare. Kravet på ”minst en siffra och ett specialtecken” har dessutom lett till förutsägbara mönster som Sommar2026!, och sådana mönster provar angripare först.

Samma längd, olika styrka

Tabellen visar hur många kombinationer det finns och hur lång tid det skulle ta att pröva alla. Räkneexemplet utgår från en angripare som har kommit över en läckt databas och kan pröva 100 miljarder gissningar per sekund. Det verkliga tempot beror på hur tjänsten har lagrat lösenorden, så se tiderna som jämförelse, inte som exakta värden. I genomsnitt hittas ett lösenord efter halva tiden.

Lösenord	Möjliga kombinationer	Tid att pröva alla
15 slumpade små bokstäver a–z	1,7 × 1021	Cirka 530 år
15 slumpade tecken bland a–z, A–Z och 0–9	7,7 × 1026	Cirka 240 miljoner år
15 slumpade tecken bland alla 94 tangentbordstecken	4,0 × 1029	Cirka 125 miljarder år
Sommarstugan123 (också 15 tecken)	Gäller inte	Ett vanligt ord följt av siffror finns med bland de första gissningarna

Kortare och längre lösenord

Lösenord	Möjliga kombinationer	Tid att pröva alla
8 slumpade tecken (alla 94)	6,1 × 1015	Cirka 17 timmar
10 slumpade tecken	5,4 × 1019	Cirka 17 år
12 slumpade tecken	4,8 × 1023	Cirka 150 000 år
15 slumpade tecken	4,0 × 1029	Cirka 125 miljarder år
20 slumpade tecken	2,9 × 1039	Långt mer än universums ålder

Lösenordsfraser: ordlistans storlek avgör

En fras av slumpvis valda ord, som kanot-pepparkaka-ljus-elva-moln-trappa, är lätt att komma ihåg och lång nog för alla krav på antal tecken. Styrkan beror ändå inte på antalet bokstäver utan på hur många ord generatorn väljer mellan och hur många ord frasen har.

Fras	Möjliga kombinationer	Tid att pröva alla
4 ord ur en lista med 200 ord	1,6 × 109	Under en sekund
4 ord ur en lista med 7 776 ord	3,7 × 1015	Cirka 10 timmar
6 ord ur en lista med 7 776 ord	2,2 × 1023	Cirka 70 000 år

Två saker följer av det. Orden måste väljas av slumpen, inte av dig, eftersom en mening du själv hittar på är lättare att gissa. Och för en fras som ska skydda något viktigt behövs sex ord ur en stor ordlista, som EFF:s lista med 7 776 ord.

Vår lösenordsgenerator skapar både slumpade lösenord på 6 till 64 tecken och fraser av svenska ord, lokalt i webbläsaren. Ordlistan för fraser har cirka 200 ord, så välj läget med slumpade tecken och minst 16 tecken för lösenord som du sparar i en lösenordshanterare.

Får jag använda å, ä och ö?

Enligt NIST bör tjänster acceptera Unicode, alltså även å, ä och ö, och varje sådant tecken räknas som ett tecken. Alla tjänster följer inte rådet, och svenska bokstäver kan bli ett problem om du loggar in från ett utländskt tangentbord eller en enhet med annan tangentbordslayout. Tre svenska bokstäver gör inte heller ett lösenord nämnvärt starkare. Det säkraste är att låta bli å, ä och ö och i stället göra lösenordet ett par tecken längre.

Varför tvingade byten gör mer skada än nytta

När ett system kräver nytt lösenord var 90:e dag brukar resultatet bli Hösten2026, följt av Vintern2026. Den som har ett gammalt lösenord gissar lätt nästa. Därför säger NIST att tjänster inte ska kräva regelbundna byten. Ett starkt lösenord som aldrig har läckt behöver inte bytas. Byt däremot direkt om tjänsten har haft ett dataintrång, om du har skrivit in lösenordet på en misstänkt sida eller om du har använt samma lösenord någon annanstans.

Säkerhetsfrågor, ledtrådar och personliga mönster

• Säkerhetsfrågor. Svaren på frågor om husdjur, skolor och mammas flicknamn går ofta att hitta i sociala medier. Tvingas du ange ett svar, skriv ett slumpat svar och spara det i lösenordshanteraren.
• Ledtrådar. En ledtråd som syns för den som inte är inloggad hjälper angriparen lika mycket som dig. NIST säger att tjänster inte ska tillåta sådana.
• Tangentbordsmönster. Rader som qwertyuiop eller 1qaz2wsx ser slumpmässiga ut men finns i alla ordlistor.
• Personuppgifter. Namn, födelsedatum, adress, registreringsnummer och husdjurens namn är det första en riktad angripare provar.

Skydda e-postkontot först

Nationellt cybersäkerhetscenter (NCSC) vid FRA påpekar att den privata e-posten ofta är huvudnyckeln till ditt digitala liv. Den som tar över e-posten kan återställa lösenorden till nästan alla andra tjänster. Ge därför e-postkontot ett långt, unikt lösenord och slå på tvåfaktorsinloggning.

• App eller säkerhetsnyckel före sms. NCSC rekommenderar kod från en autentiseringsapp, och anser att säkerhetsnycklar och smarta kort är ännu starkare. Koder via sms eller e-post är svagare.
• Spara återställningskoderna. När du slår på tvåfaktorsinloggning får du ofta engångskoder för nödfall. Spara dem i lösenordshanteraren eller skriv ut dem och förvara dem hemma.

Huvudlösenordet till lösenordshanteraren

Med en lösenordshanterare behöver du bara komma ihåg ett lösenord, men det måste vara riktigt bra. Det ska vara unikt, aldrig användas någon annanstans och vara lätt för dig att skriva. En fras med sex slumpvalda ord ur en stor ordlista är ett bra val. Skriv gärna ned den på papper och förvara den på ett säkert ställe hemma tills du kan den utantill. Slå också på tvåfaktorsinloggning för lösenordshanteraren om den har stöd för det.

Det viktigaste du kan göra

1. Använd en lösenordshanterare. Apple, Google och fristående tjänster erbjuder det. Då kan alla lösenord vara långa, slumpade och unika.
2. Ett unikt lösenord per tjänst. När en sajt läcker provar angripare samma e-postadress och lösenord på andra tjänster.
3. Slå på tvåfaktorsinloggning för e-post, sociala medier och allt som rör pengar.
4. Byt till passkeys där det går. En passkey kan inte fiskas ut på en falsk inloggningssida och ersätter lösenordet helt. Läs mer i vår guide till passkeys.
5. Kontrollera om du har läckt. Tjänsten Have I Been Pwned visar om din e-postadress finns i kända dataintrång.

Gäller detta svenska tjänster?

NIST:s riktlinjer är inte lag i Sverige, men de används som referens av företag och myndigheter världen över. Råden stämmer med vad Nationellt cybersäkerhetscenter (NCSC) vid FRA säger till privatpersoner: långa fraser, en lösenordshanterare och stark inloggning med en andra faktor. MSB heter sedan 1 januari 2026 Myndigheten för civilt försvar (MCF), och 1 juli 2026 flyttade myndighetens cyberverksamhet till NCSC. Letar du efter MSB:s gamla råd om IT-säkerhet är det alltså NCSC du ska vända dig till.

Möter du en tjänst som fortfarande kräver specialtecken och sätter ett lågt tak för längden, uppfyll kravet och gör lösenordet så långt som tjänsten tillåter. En lösenordshanterare kan ställas in så att den följer tjänstens regler.

Vanliga frågor om lösenordslängd

Hur långt ska mitt lösenord vara?

Minst 15 tecken för konton utan tvåfaktorsinloggning. För lösenord som sparas i en lösenordshanterare är 20 slumpade tecken ett bra mål. För en fras du ska komma ihåg: sex slumpvalda ord ur en stor ordlista.

Räcker 12 tecken?

Tolv slumpade tecken är starkt, men det är under NIST:s gräns på 15 tecken för lösenord som används ensamma. Har kontot tvåfaktorsinloggning räcker det med god marginal. Utan den, gör lösenordet längre.

Är ett långt lösenord säkert om jag använder det på flera ställen?

Nej. Längden skyddar inte när en tjänst läcker lösenordet i klartext eller när du skriver in det på en falsk sida. Då kan angriparen använda det direkt på alla tjänster där du har samma lösenord.

Är det farligt att låta webbläsaren spara lösenord?

Nej, så länge datorn eller telefonen är skyddad med kod eller biometri. Det är betydligt säkrare än att återanvända samma lösenord. Enligt NIST ska tjänster tillåta lösenordshanterare och autofyll.

Behöver jag byta lösenord regelbundet?

Nej, inte om lösenordet är starkt och unikt. Byt när du har anledning att tro att det har läckt.

Ska jag använda mellanslag?

Det går bra om tjänsten tillåter det, och NIST säger att mellanslag bör accepteras. Bindestreck eller punkter mellan orden i en fras fungerar lika bra och krånglar mindre.

Källor

• NIST: SP 800-63B-4, Authentication and Authenticator Management (2025)
• NIST CSRC: SP 800-63-4 Digital Identity Guidelines, slutlig version (31 juli 2025)
• NCSC: Säker identifiering och lösenordshantering
• SecurityWorldMarket: Cyberverksamheten samlas hos FRA från den 1 juli (27 juni 2026)
• CISA: Use Strong Passwords
• Bitwarden: Hur långt ska mitt lösenord vara? (30 januari 2025)
• EFF: Dice-Generated Passphrases
• Have I Been Pwned