ควรใช้รหัสความยาวอย่างน้อย 8 ตัวอักษรหรือมากกว่านั้น
แม้ว่าการตั้งรหัสที่จำนวนตัวอักษรเยอะ จะไม่ช่วยจากการโดน Phishing หรือ การโดน Key Logger แต่การตั้งความยาวตัวอักษรที่น้อยเกินไป อาจโดน Brute Force ได้ จึงแนะนำว่าอย่างน้อยก็ควรใช้รหัสผ่านที่ยาว 12 ตัวอักษรขึ้นไป โดยเฉพาะสำหรับป้องกันข้อมูลด้านการเงิน คละ ตัวเลข สัญลักษณ์ ตัวอักษรพิมพ์ใหญ่ ตัวอักษรพิมพ์เล็ก เพื่อเป็นการสร้างรหัสที่ยากต่อการเดาสุ่ม
รหัสผ่านประกอบด้วยอักขระดังต่อไปนี้อย่างน้อย 2 ใน 3
มีตัวอักษร (a-z, A-Z) มีตัวเลข (0-9) และมีเครื่องหมายหรืออักขระพิเศษ (!@#$%^&*()_+|~-=\`{}[]:”;'<>?,./)
ไม่ควรใช้คำศัพท์ในพจนานุกรม (Dictionary)
ไม่ว่าจะเป็นคำศัพท์แบบเดี่ยว เช่น building หรือนำหลาย ๆ คำมารวมกัน เช่น NiceGreenBuilding เนื่องจาก แฮกเกอร์สามารถใช้โปรแกรมการเดารหัสผ่านโดยเปรียบเทียบจากฐานข้อมูลคำศัพท์
หลีกเลี่ยงการตั้งรหัสผ่านที่เป็นรูปแบบ (Pattern) ที่นิยมใช้กันทั่วไป
หน่วยงานวิจัยของกระทรวงกลาโหมของสหรัฐฯ (Darpa) เคยทำการศึกษาและพบว่ามีรูปแบบหลัก ๆ 3 รูปแบบ ดังนี้
– ตัวพิมพ์ใหญ่ 1 ตัว + ตัวอักษรพิมพ์เล็ก 5 ตัว + ตัวเลข 3 หลัก เช่น Komand123
– ตัวพิมพ์ใหญ่ 1 ตัว + ตัวพิมพ์เล็ก 6 ตัว + ตัวเลข 2 หลัก เช่น Komando12
– ตัวพิมพ์ใหญ่ 1 ตัว + ตัวพิมพ์เล็ก 3 ตัว + ตัวเลข 5 หลัก เช่น Koma12345
อย่าแทนตัวอักษรหรืออักขระบางตัวด้วยตัวเลขที่ดูคล้ายกัน
เช่น ตั้งรหัสผ่านว่า H0use โดยใช้เลข 0 (เลขศูนย์) แทน o (อักษรโอ) คนทั่วไปก็สามารถคาดเดาได้ถึงแม้จะผสมกัน หรือ BigHouse$123 มี 12 ตัวอักษร ได้แก่ ตัวอักษรตัวพิมพ์ใหญ่ ตัวอักษรตัวพิมพ์เล็ก สัญลักษณ์และตัวเลข ซึ่งมันเป็นคำจากพจนานุกรม มีสัญลักษณ์ตัวเดียวและตัวเลขเรียงทั้งหมดอยู่ท้าย รหัสผ่านลักษณะนี้ก็คาดเดาได้ง่ายเช่นกัน
สิ่งที่ไม่ควรนำมาใช้เป็นรหัสผ่าน
ข้อมูลที่ใช้ในการระบุตัวตนทั่วไป อย่างเช่น ชื่อ นามสกุล เลขบัตรประจำตัวต่างๆ หรือวันเดือนปีเกิด
ข้อมูลการติดต่อ อย่างเช่น เบอร์โทรศัพท์
ชื่อบุคคลรอบข้างหรือสัตว์เลี้ยง
คำที่พบในพจนานุกรม
คำทั่วๆไปที่มีการสะกดจากหลังไปหน้า อย่างเช่น password -> drowssap, admin -> nimda, root -> toor
ใช้รูปแบบตัวอักษรหรือตัวเลขที่เป็นที่นิยม อย่างเช่น aaabbb, qwerty, 12345, 123321
ใช้รูปแบบการตั้งรหัสผ่านที่คล้ายคลึงกันในแต่ละบัญชี อย่างเช่น secret1, 1secret, secret?, secret!
