WPA3 vs WPA2 – které šifrování Wi-Fi zvolit, jak nastavit heslo a jak přejít na bezpečnější síť

Šifrování Wi-Fi určuje, jak dobře je chráněna komunikace mezi vašimi zařízeními a routerem. Pokud je síť nezabezpečená nebo používá zastaralé šifrování, může se k ní připojit cizí osoba, zachytit vaše data či využívat vaše připojení. Nejčastějším praktickým rozhodnutím je volba mezi WPA2 a WPA3 v nastavení routeru, a také otázka, zda starší metody (WEP, původní WPA) ještě používat. Odpověď je jasná: WEP a původní WPA jsou zastaralé a nebezpečné, WPA2 je dnes běžný standard a WPA3 je nejbezpečnější volba, pokud ji vaše zařízení podporují.

V tomto článku vysvětlujeme, čím se WPA3 a WPA2 liší, proč jsou WEP a WPA nebezpečné, co je přechodový režim, jak nastavit šifrování a heslo, co dělat se staršími zařízeními, jak poznat slabé zabezpečení a jaké další kroky zvýší bezpečnost Wi-Fi. Informace vycházejí z materiálů Wi-Fi Alliance: Zabezpečení, z aktualizací Wi-Fi Alliance: Bezpečnostní aktualizace a z přehledů Purple: WPA2 vs WPA3 (anglicky, komerční zdroj zaměřený na firemní sítě). Názvy voleb v routerech se liší podle výrobce, proto postup ověřte v dokumentaci svého zařízení.

Další návody najdete v kategorii Síť, Wi-Fi a připojení, například Zabezpečení domácí Wi-Fi sítě a routeru, Rizika veřejné Wi-Fi sítě a Hostovská Wi-Fi a oddělení chytrých zařízení.

Aktualizováno: listopad 2026.

Přehled standardů

Postupně vznikly tyto generace zabezpečení:

• Otevřená síť (bez hesla): žádné šifrování; provoz může zachytit kdokoli v dosahu.
• WEP: nejstarší, prolomitelný během minut; nepoužívejte.
• WPA (původní, TKIP): přechodné řešení po WEP, zastaralé a slabé.
• WPA2: dlouhá léta standard; používá šifrování AES (CCMP); bezpečný při silném hesle, ale je zranitelný vůči offline hádání hesla (útočník zachytí výměnu při připojení a poté hádá heslo na vlastním počítači).
• WPA3: nejnovější generace; u domácích sítí používá metodu SAE (Simultaneous Authentication of Equals), díky které je odolnější proti slovníkovým a offline útokům, a vyžaduje ochranu řídicích rámců (PMF), která brání podvrženým odpojovacím zprávám.

Pro většinu domácností platí: použijte WPA3, pokud ji zařízení podporují; jinak WPA2 se silným heslem; nikdy WEP či WPA (TKIP) ani otevřenou síť.

Orientační postup nastavení šifrování Wi-Fi v routeru – vlastní infografika

Co WPA3 přináší

Podle popisu v odborných zdrojích WPA3:

• Odolnost proti offline slovníkovým útokům: u WPA3-Personal se pomocí SAE každé přihlášení dohodne zvlášť, útočník nemůže zachytit data a hádat heslo „v klidu“ na vlastním počítači; musí pokaždé komunikovat s routerem a může zkoušet jen omezený počet pokusů.
• Dopředné utajení (forward secrecy): i kdyby se heslo později prozradilo, dříve zachycený provoz nelze zpětně dešifrovat.
• Povinná ochrana řídicích rámců (PMF): znesnadňuje útoky vynucující odpojení zařízení.
• Lepší ochrana u otevřených sítí (volba označovaná jako Enhanced Open) a silnější možnosti u firemních sítí.
• Zachování kompatibility: šifrování využívá stále osvědčené algoritmy, a lze jej provozovat spolu s WPA2.

WPA3 neznamená, že je síť neprolomitelná: chrání především proti hádání hesla. Slabé heslo či zranitelný router zůstávají problémem; viz Zabezpečení domácí Wi-Fi sítě a routeru.

Přechodový režim WPA2/WPA3

Mnoho domácností má starší zařízení (tiskárny, chytrá televize, staré telefony, IoT), která WPA3 nepodporují. Většina moderních routerů proto nabízí přechodový režim WPA2/WPA3: síť přijímá zařízení obou typů. Je to rozumný kompromis: nová zařízení využijí WPA3 a stará se připojí přes WPA2. Odborné zdroje ale upozorňují, že přechodový režim je slabší než čisté WPA3, protože se stále nabízí WPA2 a některé útoky se mohou na starší klienty vztahovat. Praktické doporučení:

1. Zapněte přechodový režim, pokud máte starší zařízení.
2. Zjistěte, která zařízení WPA3 nepodporují, a zvažte jejich výměnu či oddělení do hostovské sítě; viz Hostovská Wi-Fi a oddělení chytrých zařízení.
3. Až budou všechna zařízení podporovat WPA3, přepněte na čisté WPA3.
4. Pokud něco přestane fungovat, vraťte se k přechodovému režimu.

Pro firemní sítě platí rozšířené postupy (WPA2/WPA3-Enterprise), které ověřují každého uživatele zvlášť.

Jak nastavit v routeru

Postup se liší podle výrobce, ale princip je stejný:

1. Přihlaste se do routeru (adresa a údaje jsou obvykle na štítku či v dokumentaci); změňte výchozí heslo správce.
2. V sekci bezdrátové sítě (Wi-Fi) / zabezpečení vyberte režim: WPA3-Personal, WPA2/WPA3 (přechodový) či WPA2-Personal (AES).
3. Zkontrolujte, že je šifrování AES (CCMP), nikoli TKIP.
4. Nastavte silné heslo Wi-Fi (dlouhá hesloví fráze, nejméně 15–20 znaků).
5. Vypněte WPS (zjednodušené párování), které bývá slabým místem; viz Zabezpečení domácí Wi-Fi sítě a routeru.
6. Pojmenujte síť (SSID) neutrálně, bez jména a adresy.
7. Aktualizujte firmware routeru; viz Aktualizace firmwaru routeru.
8. Zkontrolujte, že se k síti připojí všechna zařízení; u zařízení, která se nepřipojí, zkontrolujte jejich podporu WPA3 či aktualizujte jejich software.

Pokud router ze strany poskytovatele nemá potřebné volby, požádejte o pomoc poskytovatele či zvažte vlastní router.

Kontrolní seznam – vlastní infografika

Slabé zabezpečení a útoky

Typické slabiny:

• Otevřená síť či WEP/WPA (TKIP): lze prolomit či zachytit provoz.
• Slabé či výchozí heslo: lze uhodnout či vyhledat podle typu routeru.
• WPS s PIN: umožňuje útoky hrubou silou.
• Starý firmware s dávno známými zranitelnostmi; viz Zero-day a záplaty.
• Falešné přístupové body (evil twin): útočník napodobí název sítě; viz Falešné Wi-Fi.
• Sdílení hesla široké rodině, hostům či sousedům bez omezení; využijte hostovskou síť.
• Nechráněný router (výchozí heslo správce, vzdálená správa z internetu).

Útočník s dobrou technikou může zachytit výměnu při připojení a hádat heslo offline (u WPA2); u dlouhých a náhodných hesel je to prakticky nerealizovatelné. Proto je důležitá délka a unikátnost hesla.

Staré zařízení a IoT

Chytré žárovky, zásuvky, kamery, tiskárny a starší televize často podporují jen WPA2 či dokonce slabší metody. Možnosti: přechodový režim, oddělení do hostovské sítě (omezený přístup k ostatním zařízením), aktualizace firmwaru, nebo výměna za zařízení s podporou WPA3. U zařízení, která již výrobce neaktualizuje, zvažte vyřazení; viz Botnet a Bezpečnost chytrých zařízení (IoT). Při nákupu nových zařízení sledujte podporu WPA3 a bezpečnostních aktualizací.

Veřejná Wi-Fi a hostovská síť

Na veřejných sítích nemáte kontrolu nad zabezpečením; ochrana vyžaduje HTTPS, VPN a opatrnost; viz Rizika veřejné Wi-Fi sítě. Pro návštěvy doma použijte hostovskou síť s odděleným heslem a omezeným přístupem; zabrání tomu, aby návštěvníci (či jejich infikovaná zařízení) viděli vaše počítače a chytrá zařízení. U sdílené Wi-Fi pro sousedy či podnájemníky zvažte samostatné připojení.

Časté otázky v praxi

Je WPA2 ještě bezpečné?: ano při silném heslu a aktuálním firmwaru; WPA3 je lepší. Co když se starý telefon nepřipojí po přechodu na WPA3?: použijte přechodový režim. Je skrytí názvu sítě (SSID) bezpečnostní opatření?: ne, slouží jen k nepřehlednosti; skutečnou ochranu poskytuje šifrování a heslo. Mám vypnout WPS?: ano. Jak často měnit heslo Wi-Fi?: při podezření na únik či sdílení s osobou, které nedůvěřujete; viz Jak často měnit hesla.

Šifrování Wi-Fi v kostce

Základní údaje – vlastní infografika

Výhody a nevýhody

Souhrn pro běžného uživatele – vlastní infografika

Související články

Další návody najdete v kategorii Síť, Wi-Fi a připojení: Zabezpečení domácí Wi-Fi sítě a routeru, Hostovská Wi-Fi, Aktualizace firmwaru routeru a Rizika veřejné Wi-Fi.

Shrnutí

WPA3 je nejbezpečnější volba pro domácí Wi-Fi; WPA2 s AES a silným heslem zůstává přijatelné; WEP a WPA/TKIP nepoužívejte. Použijte dlouhé unikátní heslo, vypněte WPS, aktualizujte router a staré zařízení oddělte či vyměňte. Aktuální informace najdete na Wi-Fi Alliance.

Často kladené otázky k WPA3 a WPA2