Heslo z vět (passphrase) – jak ho vytvořit, zapamatovat a proč je lepší než „složité“ heslo

Heslo „Heslo123!“ splňuje většinu pravidel o velkých písmenech, číslech i znacích, a přesto ho útočník zkouší mezi prvními. Naopak věta jako „kůň dal zelený kufr babičce“ pravidla nesplňuje, ale je výrazně delší, a tedy z hlediska hádání odolnější a pro člověka snáze zapamatovatelná. Tento článek vysvětluje, co je passphrase (heslo z vět), jak ho vytvořit, co o jeho tvorbě říkají zásady amerického institutu NIST a kdy je lepší heslo nechat generovat.

Informace vycházejí z přílohy A dokumentu NIST SP 800-63B-4 – Strength of Passwords (stav k 13. 11. 2026). Dokument je v angličtině, míří na provozovatele služeb a nestanovuje pro uživatele jednoznačné číselné minimum; zde z něj vybíráme obecné principy. Nejde o odborné poradenství.

Související články: Jak vytvořit silné heslo, Jak často měnit hesla – moderní doporučení a Správce hesel – jak funguje a proč ho používat.

Aktualizováno: listopad 2026.

Co je passphrase

Passphrase je heslo složené z několika slov nebo ze věty, často oddělených mezerami či jiným znakem. Princip je jednoduchý: délka přidává odolnost víc než nahrazování písmen znaky. Slova z běžné řeči jsou pro člověka lehce zapamatovatelná, přitom počet možných kombinací několika náhodných slov je velký.

Podle přílohy NIST uživatelům má být umožněno do hesla zahrnout mezery, aby mohli používat fráze. Opakované mezery přidávají malou sílu a systém je může při neúspěšném ověření odstranit. Odmítání speciálních znaků není podle dokumentu nutné jako obrana před injekčními útoky, protože heslo se do databáze neposílá v původní podobě (ukládá se jeho otisk).

Postup tvorby hesla z vět – vlastní infografika

Proč pravidla složení nefungují

Podle přílohy NIST požadavky na povinné složení hesla (velké písmeno, číslo, symbol) nejsou doporučeny: výzkumy ukazují, že vedou k předvídatelným volbám (například „Password1!“), jejich přínos je menší, než se předpokládá, a cena v použitelnosti je vysoká. Dokument uvádí, že další požadavky na složitost nad rámec doporučených nejsou stanoveny.

Znamená to, že pro dobré heslo není rozhodující přidat vykřičník. Rozhodující je, aby heslo bylo:

1. dlouhé,
2. neotřelé (nejde o běžné slovo, jméno, datum, název služby),
3. unikátní pro každou službu,
4. netknutelné v dosavadních únicích dat.

Blocklist: proč některá hesla služba odmítne

NIST doporučuje, aby si služby porovnávaly uživatelem zvolená hesla se seznamem nepřijatelných hesel (blocklist). Má obsahovat uniklá hesla, slova ze slovníků a výrazy související se službou, například její název. Zahrnovat stačí položky, které splňují minimální délku, a seznam by neměl být nadměrně velký, protože by uživatele frustroval.

Proto vám služba může odmítnout i dlouhé heslo, které je příliš známé („dobrý den přeji vám“). Není to schválnost, jde o ochranu před hádáním podle slovníku. Zvolte jinou, osobitější kombinaci.

Délka: kolik je dost

NIST uvádí, že minimální délka závisí na modelu hrozeb. Při online hádání pomáhá především omezení počtu pokusů o přihlášení. Při útoku na ukradenou databázi otisků hesel (offline) musí být hesla „o řády složitější“ než ta, která stačí proti online hádání. Pro heslo používané jako aktivační faktor u vícefaktorových autentizátorů jsou požadavky mírnější. Dokument nestanoví jedno číslo, proto platí praktická zásada: čím delší a unikátnější, tím lépe. Pro hlavní heslo ke správci hesel a k e-mailu volte raději delší passphrase.

Pokud je pro maximální délku stanoven strop, podle dokumentu je rozumný, protože extrémně dlouhé vstupy mohou trvat dlouho zpracovat; uživatelé by přesto měli být povzbuzováni k dlouhým heslům.

Jak vytvořit passphrase

1. Použijte náhodná slova. Nejlépe je losujte (například z kostek a seznamu slov) nebo je nechte vygenerovat správcem hesel. Vlastní výběr „z hlavy“ bývá předvídatelný.
2. Vezměte čtyři až pět slov a spojte je. Neberte slova z jediného citátu, písně ani z titulku, který lidé znají.
3. Neměňte jen koncovku. Pokud si hlavní heslo upravujete přidáním názvu služby, jde o postup, který útočníci znají.
4. Přidejte osobní prvek, který nelze snadno dohledat na sociálních sítích (ne jméno mazlíčka, ne datum narození).
5. Zapamatujte si ho opakováním: napište si ho několikrát, pár dnů ho zadávejte ručně. Nespoléhejte na papírek pod klávesnicí.
6. Uložte si bezpečnou kopii (například v zapečetěné obálce doma), pokud jde o heslo ke správci hesel a nemáte jiný způsob obnovy.

Co se do passphrase nehodí

• Přísloví, citáty, texty písní a věty z knih: jsou ve slovnících.
• Údaje o vás: jména dětí, přezdívky, adresa, datum narození.
• Název služby v hesle (a to i nepřímo).
• Heslo z jiných služeb nebo jeho drobná obměna.
• Klávesové vzory (qwertz, 123456).

Heslo, které si nemusíte pamatovat

Passphrase se hodí hlavně pro několik hesel, která si opravdu musíte pamatovat: ke správci hesel, k e-mailu, k zařízení. Pro všechny ostatní služby je rozumnější náhodné heslo vygenerované správcem hesel: nemusíte si ho pamatovat a je unikátní. Více v článku Správce hesel – jak funguje a proč ho používat. Ještě lepší je u služeb, které to nabízejí, přejít na přístupové klíče (passkeys); viz Passkeys – přístupové klíče.

Hlavní heslo a ostatní vrstvy

Dobré heslo nestačí samo. U důležitých účtů zapněte dvoufázové ověření; viz Dvoufaktorová autentizace. A zkontrolujte, zda vaše heslo neuniklo: viz Have I Been Pwned – únik hesla. Pokud máte podezření, že heslo někdo získal, postupujte podle článku Hacknutý účet – co dělat.

Obecné informace o bezpečném chování na internetu najdete také na E-Bezpečí, Stop online a u Policie ČR.

Časté chyby

• Jedno silné heslo pro všechno: když jej jedna služba prozradí, ohrozí všechny účty.
• Hesla v souboru „hesla.docx“: sdílená složka, e-mail a cloud nejsou správce hesel.
• Zaměnění hesla a PIN: PIN je krátký a váže se obvykle na jedno zařízení.
• Ukládání hlavního hesla do prohlížeče, který se otevírá na společném počítači.
• Pravidelné nesmyslné změny hesla; podle moderních doporučení je lepší měnit po podezření na únik; viz Jak často měnit hesla.

Jak často heslo používat a kde ho zadávat

Hlavní heslo zadávejte jen tam, kam patří: do správce hesel, do přihlašovacího okna zařízení nebo do e-mailu na ověřené adrese. Nikdy ho neposílejte po telefonu, e-mailem ani zprávou, ani když o ně žádá „technická podpora“ nebo „banka“. Skutečná podpora vás o heslo nepožádá. Před zadáním zkontrolujte adresu stránky a ujistěte se, že se nepřihlašujete přes odkaz z podezřelé zprávy. Pokud někdo heslo vidí při zadávání, zvažte jeho změnu. Při psaní na veřejnosti si zakryjte klávesnici a vyvarujte se zadávání důležitých hesel na cizích či veřejných počítačích.

Co dělat, když heslo uniklo nebo ho někdo zná

Pokud máte podezření, že vaše heslo někdo získal, změňte ho ihned na nové a unikátní, zapněte dvoufázové ověření, odhlaste se ze všech zařízení a zkontrolujte nastavení účtu (přeposílání e-mailů, obnovovací údaje). Totéž udělejte všude, kde jste heslo používali. U e-mailu, bankovnictví a správce hesel to udělejte jako první. Neodkládejte to na později.

Praktický příklad (smyšlený)

Petra potřebuje nové hlavní heslo ke správci hesel. Vylosuje pět slov ze seznamu a spojí je do věty, kterou si několik dnů píše z paměti. Heslo nikde nesdílí, uloží si kopii do obálky doma a ke správci hesel zapne dvoufázové ověření. Všechna ostatní hesla nechává generovat. Příklad je smyšlený a ukazuje kombinaci: pár pamatovaných hesel plus generovaná ostatní.

Kontrolní seznam – vlastní infografika

Passphrase v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn – vlastní infografika

Související články

V kategorii Hesla a přihlašování najdete také Generátor hesla a Heslo vs. biometrie.

Shrnutí

Passphrase je dlouhé heslo z několika slov. Podle zásad NIST se mají místo povinných pravidel složení používat blocklisty (uniklá a slovníková hesla) a mají být povoleny mezery. Pro hlavní heslo, e-mail a zařízení si vytvořte passphrase z náhodných slov, ostatní hesla nechte generovat správcem hesel. Zapněte dvoufázové ověření, zkontrolujte případný únik a nepoužívejte heslo opakovaně.

Často kladené otázky k heslům z vět