Hur lång tid tar det att knäcka ett lösenord? (Gratis)
Knäcktiden beror på längd, teckentyper och hur sajten lagrade lösenordet. Brute force-matten, de senaste tabellerna och en gratis lösenordsgenerator.
Publicerad · 5 min läsning
Hur lång tid det tar att knäcka ett lösenord beror på tre saker: hur många möjliga lösenord det finns (längd och teckentyper), hur snabbt en angripare kan testa gissningar och om lösenordet alls är slumpmässigt. Ett slumpmässigt lösenord på 8 gemener, lagrat med en långsam hashfunktion, kan falla inom ett par veckor med hyrda grafikkort. Ett slumpmässigt lösenord på 16 tecken med blandade tecken skulle ta längre tid än universums ålder. Den gratis lösenordsgeneratorn skapar det långa, slumpmässiga lösenordet på din egen enhet.
De berömda färgkodade tabellerna som delas online är användbara, men de bygger på antaganden. Om du känner till antagandena förstår du vad som faktiskt skyddar ditt konto.
Vad "knäcka" egentligen betyder
När du skapar ett konto på en webbplats lagrar en väl skött sajt inte ditt lösenord. Den lagrar en hash, ett omvandlat fingeravtryck av lösenordet. När du loggar in hashar sajten det du skriver och jämför fingeravtrycken. Den gratis hashgeneratorn visar idén: skriv password123 så blir MD5-hashen 482c811da5d5b4bc6d497ffa98491e38, varje gång och på varje dator.
Om en sajts databas stjäls får angriparna hasharna, inte lösenorden. Att knäcka handlar om att gissa lösenord, hasha varje gissning och kontrollera om det stämmer, offline, så snabbt deras maskinvara tillåter. Ingen spärr på webbplatsen bromsar dem.
Därför är det två saker som avgör tiden:
- Antalet möjligheter som angriparen kan behöva prova.
- Gissningshastigheten, som beror starkt på vilken hashmetod sajten använde.
Brute force-matten
Antalet möjliga lösenord är storleken på teckenuppsättningen upphöjt till längden.
| Teckenuppsättning | Tecken |
|---|---|
| Bara siffror | 10 |
| Gemener | 26 |
| Gemener + versaler + siffror | 62 |
| Alla fyra typerna i vår generator | 85 |
Ett lösenord med 8 gemener har 26^8, ungefär 209 miljarder, möjligheter. Med alla 85 tecken ger 8 tecken ungefär 2.7 × 10^15. Varje extra tecken multiplicerar totalen med storleken på uppsättningen, och därför slår längden allt annat.
Vad den senaste tabellen säger
Enligt Hive Systems lösenordstabell från 2026 klarade en flotta med 16 RTX 5090-grafikkort, när de angrep lösenord lagrade med bcrypt (en medvetet långsam hash, med arbetsfaktor 10), ungefär 138,675 gissningar per sekund. I den takten uppskattar de att ett lösenord på 8 gemener tar ungefär två veckor att knäcka, och ett 8-teckenslösenord med alla teckentyper ungefär 132 år. Deras tider är värsta fall, där rätt lösenord är den allra sista gissningen.
Med samma gissningshastighet och generatorns 85-teckensuppsättning är här den värsta tiden vi räknat ut för slumpmässiga lösenord:
| Längd | Bara gemener (26) | Alla fyra typerna (85) |
|---|---|---|
| 6 | ungefär 37 minuter | ungefär 32 dagar |
| 8 | ungefär 17 dagar | ungefär 620 år |
| 10 | ungefär 32 år | ungefär 4.5 miljoner år |
| 12 | ungefär 22,000 år | ungefär 32 miljarder år |
| 16 | ungefär 10 miljarder år | ungefär 1.7 × 10^18 år |
Vår siffra för 8 tecken stämmer inte med Hives, eftersom tabellerna skiljer sig i storleken på teckenuppsättningen, i hashinställningar och i hur de räknar gissningar. Poängen är densamma. I genomsnitt kommer rätt gissning ungefär halvvägs, så halvera siffrorna för ett typiskt fall.
Varför tabellen kan vara alldeles för snäll
Tabellen utgår från det bästa scenariot för dig på två sätt.
Sajten kan använda en snabb hash. bcrypt är byggd för att vara långsam. Gamla eller slarvigt byggda system använder snabba hashar som MD5 eller ren SHA-1, som ett enda grafikkort kan testa miljarder gånger per sekund. Mot sådana krymper tiderna ovan med en faktor på en miljon eller mer. Du kan inte se hur en sajt lagrar ditt lösenord, så räkna med det värre fallet. Guiden MD5 mot SHA-256 förklarar skillnaden.
Ditt lösenord kanske inte är slumpmässigt. Brute force är den långsammaste attacken. Verklig knäckning börjar med listor över läckta lösenord, ordboksord, namn, datum och vanliga mönster som Password123! (stor bokstav först, siffra och symbol på slutet). Ett sådant lösenord hittas på några sekunder, oavsett hur många teckentyper det har, eftersom angripare provar sådana mönster först.
Det kanske redan har läckt. Om du återanvänder ett lösenord och någon sajt du använde det på blir kapad behöver angripare inte knäcka något. De provar helt enkelt samma e-post och lösenord på andra sajter.
Vad som faktiskt skyddar dig
- Längd och slumpmässighet. Ett slumpmässigt lösenord på 16 tecken eller mer ligger utom räckhåll för brute force för varje realistisk angripare. Enligt NIST:s SP 800-63B (revision 4, 2025) bör tjänster som bara förlitar sig på lösenord kräva minst 15 tecken, och de bör inte tvinga fram sammansättningsregler eller regelbundna byten.
- Ett unikt lösenord för varje sajt. Det stoppar återanvändningsattacker helt.
- En lösenordshanterare. Den minns dussintals långa, slumpmässiga lösenord så att du slipper. Då kostar längden dig ingenting.
- Tvåfaktorsautentisering. Även om ett lösenord knäcks behöver angriparen fortfarande din telefon eller säkerhetsnyckel. Slå på den för e-post, bank och sociala konton först.
Om du behöver ett lösenord du kan komma ihåg och skriva, till exempel huvudlösenordet till din lösenordshanterare, passar en lång lösenfras av slumpmässiga ord bra. Se lösenfras kontra lösenord.
Skapa ett lösenord som inte går att knäcka
Öppna gratis lösenordsgeneratorn, ställ in Längd på 16 eller mer (den börjar på 20), låt Gemener, Versaler, Siffror och Symboler vara ikryssade, tryck på Generera och sedan på Kopiera. Lösenordet skapas på din enhet och skickas aldrig någonstans. Mer om inställningarna finns i så skapar du ett starkt lösenord.
Vanliga frågor
- Hur lång tid tar det att knäcka ett lösenord med 8 tecken?
- Det beror på tecknen och hur lösenordet lagrades. Enligt Hive Systems tabell från 2026 tar det ungefär två veckor för slumpmässiga gemener och ungefär 132 år med alla teckentyper, mot bcrypt. Mot en snabb hash som MD5 går båda betydligt snabbare.
- Är ett lösenord med 12 tecken starkt nog?
- Ett slumpmässigt lösenord med 12 tecken och alla teckentyper ligger utom räckhåll för brute force. För viktiga konton är 16 eller mer fortfarande ett bättre standardval, eftersom det inte kostar något med en lösenordshanterare.
- Gör symboler lösenordet starkare?
- De hjälper lite per tecken, men längd hjälper mer. Ett slumpmässigt lösenord på 16 tecken utan symboler är starkare än ett slumpmässigt lösenord på 10 tecken med symboler.
- Kan hackare knäcka alla lösenord till slut?
- I teorin, ja. I praktiken skulle ett slumpmässigt lösenord på 16 tecken ta längre tid än någon angripare orkar vänta. Svaga, vanliga eller återanvända lösenord är de som faller snabbt.
- Är det säkert att kontrollera styrkan på mitt lösenord på en webbplats?
- Skriv inte in ett riktigt lösenord i onlinetjänster för styrkekontroll. Generera ett nytt slumpmässigt lösenord i stället. Vår generator skapar det på din enhet.
Generatorer
Prova Lösenordsgenerator
Gratis, ingen registrering, fungerar i din webbläsare. Skapa ett starkt, slumpmässigt lösenord: välj längd från 8 till 128 tecken och vilka teckentyper som ska användas.