Ett starkt lösenord är en av de enklaste och billigaste sakerna du kan göra för att skydda dina konton. Ändå hamnar ”123456”, ”password” och ”qwerty” fortfarande högst upp på listorna över de vanligaste lösenorden – och många av dem knäcks på under en sekund. Den här guiden visar hur du skapar ett lösenord som faktiskt håller, med konkreta metoder, exempel och vanliga misstag att undvika. Vi förklarar varje begrepp på vägen, så att du kan följa med även om du aldrig tänkt på lösenordssäkerhet tidigare.
Viktiga punkter
- Längd först: minst 12 tecken för vanliga konton, 15+ för e-post och bank.
- Lösenfras: flera slumpmässiga ord är starkt och lätt att minnas.
- Unikt per konto: återanvänd aldrig samma lösenord.
- Slopa tvångsbyten: byt bara vid läcka eller misstanke, inte på schema.
- Ta hjälp: en lösenordshanterare skapar och minns starka lösenord åt dig.
- Dubbla skyddet: slå på tvåfaktorsautentisering där det går.
Vad gör ett lösenord starkt?
Ett lösenord är starkt när det är svårt att gissa och svårt att räkna ut med dator. Angripare använder ofta program som testar miljontals kombinationer i sekunden (så kallade brute force-attacker, alltså uttömmande gissning) och färdiga listor över läckta lösenord. Det som avgör hur länge ditt lösenord står emot kallas ofta entropi – ett mått på hur många möjliga kombinationer en angripare måste gå igenom. Ju fler, desto bättre.
Tre egenskaper avgör styrkan:
- Längd – det enskilt viktigaste. Varje extra tecken mångdubblar antalet möjliga kombinationer. Ett långt lösenord slår nästan alltid ett kort men ”krångligt”.
- Oförutsägbarhet – inga namn, födelsedatum, favoritlag, tangentbordsmönster (qwerty, 12345) eller vanliga ord i obruten form.
- Unikhet – lösenordet används bara på ett enda konto. Återanvänder du samma lösenord kan en läcka hos en tjänst öppna alla dina andra konton.
En viktig förändring är synen på komplexitet. Den amerikanska standardmyndigheten NIST, vars riktlinjer ligger till grund för mycket av dagens säkerhetsarbete, rekommenderar i sin senaste version (SP 800-63B-4, fastställd 2025) att tjänster inte längre ska tvinga fram en blandning av stora och små bokstäver, siffror och specialtecken. Sådana regler leder bara till förutsägbara varianter som ”Password1!”. Istället är det längden och slumpen som ska göra jobbet.
Så skapar du ett starkt lösenord – metoder och exempel
Det finns inte bara ett rätt sätt. Här är tre metoder, från den som är lättast att komma ihåg till den som ger absolut starkast skydd.
Metod 1: Lösenfras av flera slumpmässiga ord
En lösenfras är flera ord satta efter varandra istället för ett enda ord. Det ger stor längd men är ändå lätt att minnas. Knepet är att orden ska vara slumpmässiga och inte bilda en känd mening eller ett vanligt uttryck.
- Välj fyra till fem ord som inte hör ihop, till exempel blå tromb0n cykel fredag.
- Blanda gärna in en siffra eller ett tecken någonstans, och använd svenska ord – de finns mer sällan i angriparnas engelska ordlistor.
- Undvik kända fraser (”hasta la vista baby”), citat och sångtexter. Är de välkända finns de redan i lösenordslistorna.
Internetstiftelsen, som driver det svenska toppdomänregistret .se, lyfter just lösenfraser som ett bra sätt att få ett långt lösenord som ändå går att komma ihåg.
Metod 2: Meningsmetoden (förkortning)
Här utgår du från en egen mening som bara du kan och plockar ut delar av den. Tänk dig meningen ”Min första cykel var grön och köptes 2003 i Malmö”. Ta första bokstaven i varje ord och behåll siffrorna: Mfcvgok2003iM. Resultatet ser slumpmässigt ut men är lätt att återskapa om du minns meningen. Använd en mening som är personlig men inte lätt att googla fram om dig.
Metod 3: Låt en lösenordshanterare skapa det
Det starkaste – och enklaste i längden – är att låta ett program skapa och komma ihåg långa, helt slumpmässiga lösenord åt dig. En lösenordshanterare genererar till exempel ett 20 tecken långt unikt lösenord för varje konto, lagrar det krypterat och fyller i det automatiskt. Du behöver då bara minnas ett enda starkt huvudlösenord. Öppet och gratis alternativ är Bitwarden, men de flesta moderna webbläsare och telefoner har också inbyggda hanterare.
Jämförelse
| Exempel (mönster) | Styrka | Varför |
|---|---|---|
| 123456, password, qwerty | Mycket svagt | Toppar listorna över läckta lösenord – knäcks på under en sekund. |
| Anna1985, Sommar2024 | Svagt | Namn, årtal och vanliga ord är lätta att gissa eller slå upp om dig. |
| P@ssw0rd! | Svagt till medel | Känt mönster; enkla teckenbyten känner angriparnas program till. |
| Tv4!xQ | För kort | Slumpmässigt men för få tecken för att stå emot gissning. |
| blå-tromb0n-cykel-fredag | Starkt | Lång lösenfras av orelaterade ord, lätt att minnas. |
| 20+ slumptecken från lösenordshanterare | Starkast | Maximal oförutsägbarhet och unikt för varje konto. |
Exemplen ovan är just exempel – skriv aldrig av ett lösenord du har sett publicerat någonstans, inte heller i den här artikeln. Hitta på ett eget efter samma mönster.
Hur långt och hur ofta ska jag byta?
Som tumregel: minst 12 tecken för vardagskonton och gärna 15 tecken eller mer för viktiga konton som e-post, bank och molnlagring. Just e-posten är extra känslig, eftersom den ofta används för att återställa alla andra lösenord. NIST tillåter lösenord på upp till minst 64 tecken, så det finns gott om utrymme för en rejäl lösenfras.
Du behöver inte byta ett starkt och unikt lösenord enligt ett schema. Tvärtom avråder både NIST och Internetstiftelsen från rutinmässiga byten, eftersom de får många att välja svagare, lättare varianter. Byt lösenord bara när det finns en anledning:
- Lösenordet har läckt eller tjänsten har haft ett dataintrång.
- Du har råkat använda samma lösenord på flera ställen.
- Du misstänker att någon fått tag på det.
Vanliga misstag att undvika
- Personlig information. Namn, födelseår, husdjur, registreringsnummer eller personnummer är ofta lätt att hitta på sociala medier.
- Enkla teckenbyten. Att byta a mot @ och o mot 0 (”P@ssw0rd”) känner angriparnas program redan till.
- Återanvändning. Enligt Internetstiftelsen använder omkring varannan svensk samma lösenord på flera konton – den enskilt farligaste vanan.
- Tangentbordsmönster. ”qwerty”, ”asdf” och ”123456” testas allra först.
- Att lita på lösenordet ensamt. Även ett bra lösenord kan läcka. Komplettera med extra skydd (se nedan).
Kontrollera om ditt lösenord har läckt
Ett lösenord som finns i en känd dataläcka är osäkert oavsett hur långt det är, eftersom det redan ligger i angriparnas listor. Du kan kontrollera saken utan att avslöja lösenordet. Tjänsten Have I Been Pwned använder en teknik som kallas k-anonymitet: lösenordet omvandlas till en sifferkod (en hash) i din egen enhet, och bara de fem första tecknen i koden skickas vidare. Servern kan därför aldrig se vilket lösenord du testade. Internetstiftelsen erbjuder en liknande kontroll på svenska.
Får du en träff ska du byta lösenordet direkt på alla konton där det används. Skriv däremot aldrig in ett riktigt lösenord på en okänd ”lösenordstestare” – använd bara etablerade och trovärdiga tjänster.
Extra skydd utöver lösenordet
Ett starkt lösenord är grunden, men det blir rejält mycket säkrare i kombination med andra lager:
- Tvåfaktorsautentisering (2FA) lägger till ett andra steg, till exempel en engångskod eller en bekräftelse i en app. Då räcker det inte att någon kan ditt lösenord. Så kommer du igång med tvåfaktorsautentisering.
- Passkeys (nycklar utan lösenord) är en nyare inloggningsmetod som bygger på din enhet istället för ett lösenord du skriver, och går inte att lura till sig via falska sidor. Läs mer om hur passkeys fungerar.
- Var vaksam på bedrägerier. Det bästa lösenordet hjälper inte om du luras att lämna ifrån dig det. Lär dig att känna igen nätfiske, alltså falska meddelanden som fiskar efter dina uppgifter.
Referenskällor
Vanliga frågor (FAQ)
Hur långt bör ett starkt lösenord vara?
Sikta på minst 12 tecken för vanliga konton och minst 15 tecken för viktiga konton som e-post och bank. Längd är det som betyder mest, så en längre lösenfras slår nästan alltid ett kort men krångligt lösenord.
Är det bättre med krångliga tecken eller en lång lösenfras?
En lång lösenfras av flera slumpmässiga ord är oftast både starkare och lättare att minnas. Moderna riktlinjer kräver inte längre en tvingande blandning av stora bokstäver, siffror och specialtecken – det är längden och slumpen som ger skyddet.
Måste jag byta lösenord regelbundet?
Nej. Har du ett starkt och unikt lösenord finns ingen anledning att byta det enligt ett schema. Byt bara om lösenordet har läckt, om du återanvänt det på flera konton eller om du misstänker att någon fått tag på det.
Är det säkert att spara lösenord i en lösenordshanterare?
Ja, det räknas som ett av de säkrare alternativen. En lösenordshanterare lagrar dina lösenord krypterat och du behöver bara komma ihåg ett starkt huvudlösenord. Det gör det dessutom enkelt att ha ett unikt lösenord för varje konto.
Hur vet jag om mitt lösenord har läckt?
Du kan kontrollera det i en trovärdig tjänst som Have I Been Pwned eller Internetstiftelsens lösenordskontroll. De är byggda så att själva lösenordet inte avslöjas. Får du en träff bör du byta lösenordet direkt överallt där det används.
