Vahva salasana

Millainen on vahva salasana?

Minä aloitan salasanan valinnan pituudesta. Traficomin mukaan salasana on sitä turvallisempi, mitä pidempi se on. Kokonainen lause on sen ohjeessa hyvä salasana. Pelkkä pituus ei kuitenkaan ole ohjeen ainoa ehto: salasanan pitää olla myös vaikeasti arvattava.

Traficomin laitteiden ja käyttäjätilien suojaamista käsittelevällä sivulla hyvä salasana on yli 12 merkkiä pitkä. Suomi.fi:n tietovuoto-oppaan muistilistassa turvallisen salasanan pituudeksi annetaan vähintään 16 merkkiä. Kun kirjoitan ohjeen vihkooni, merkitsen mukaan myös lähteen. Näin eri sivujen sanamuodot eivät sekoitu omaksi muistisäännökseni.

Pidän valinnassa rinnakkain nämä ehdot: riittävä pituus, vaikea arvattavuus ja oma salasana jokaiseen palveluun. Pelkkää merkkimäärää ei siis kannata lukea koko ohjeena.

Miten valitsen salasanan käytännössä?

Minä etenisin virallisten ohjeiden perusteella näin:

• Valitse pitkä ja vaikeasti arvattava salasana. Traficomin mukaan kokonainen lause on hyvä vaihtoehto.
• Tee jokaiseen palveluun oma salasana.
• Ota kaksivaiheinen tunnistautuminen käyttöön aina, kun se on mahdollista.
• Pidä salasana omana tietonasi. Älä kerro sitä kenellekään.

Salasanan valitseminen ja sen säilyttäminen ovat kumpikin oma käytännön asiansa. Jälkimmäiseen liittyvät ohjeet löytyvät sivulta salasanojen säilyttämisen ohjeet. Tällä sivulla keskityn siihen, millaisen salasanan viranomaisohjeet kuvaavat hyväksi ja milloin ne kehottavat vaihtamaan sen.

En tarjoa tähän valmista esimerkkisalasanaa kopioitavaksi. Ohjeen olennainen kohta on nimenomaan palvelukohtaisuus: samaa salasanaa ei käytetä eri palveluissa.

Milloin salasana pitää vaihtaa?

Traficomin ohje on selvä, jos salasana on murrettu: vaihda se välittömästi. Tätä tilannetta en jättäisi vihkoon myöhemmin hoidettavaksi asiaksi, vaan nostan sen vaihtamista koskevan ohjeen alkuun.

Toinen Traficomin kuvaama tilanne koskee sähköpostitiliä. Jos epäilet jonkun muunkin käyttävän sitä, ohje on kirjautua ulos tililtä ja vaihtaa salasana. Tässä vaihtamisella on konkreettinen syy: epäily siitä, ettei tili ole vain omassa käytössä.

Minä erotan salasanan valintaa koskevat ehdot ja vaihtamiseen johtavat tilanteet toisistaan. Pitkä, vaikeasti arvattava ja palvelukohtainen salasana kuuluu valintaan. Murrettu salasana tai epäilty sähköpostitilin muu käyttäjä kuuluu tilanteisiin, joissa on toimittava Traficomin vaihto-ohjeen mukaan.

Miksi sama salasana ei sovi eri palveluihin?

Saman salasanan käyttäminen useassa paikassa on juuri se kohta, johon minä pysähdyn. Traficomin mukaan salasanan paljastuminen rikolliselle vaarantaa samalla kaikki sitä käyttävät tilit. Vaikeasti arvattavakaan salasana ei poista tätä uudelleenkäytön riskiä.

Siksi pitkä lause ja oma salasana joka palveluun eivät ole keskenään vaihtoehtoisia neuvoja. Ne koskevat eri puolia samasta asiasta: millainen salasana on ja missä sitä käytetään.

Jos tarkistan omaa toimintaani, kysyn siis myös, onko salasana käytössä muualla. Verkkoasioinnin muista suojauskysymyksistä kirjoitan sivulla verkkoasioinnin tietoturvaohjeet.

Miten kaksivaiheinen tunnistautuminen auttaa?

Traficom suosittelee kaksivaiheista tunnistautumista aina, kun sen käyttäminen on mahdollista. Myös Suomi.fi:n tietovuoto-oppaan muistilista ohjeistaa ottamaan sen käyttöön.

Traficomin mukaan lähes kaikki käyttäjätilien kaappausyritykset voidaan estää monivaiheisella tunnistautumisella. Minä nostan tämän salasanan valinnan rinnalle, en jätä sitä ohjeen sivuhuomautukseksi. Samassa muistilistassa on silti edelleen palvelukohtainen, pitkä ja vaikeasti arvattava salasana.

Jos etsit laajemmin aihetta vahva tunnistautuminen, jatka sivulle tunnistautumisen eri tavat. Tähän salasanan suojaamista koskevaan ohjeeseen liittyvä viranomaisneuvo on ottaa kaksivaiheinen tunnistautuminen käyttöön mahdollisuuksien mukaan.

Saako salasanan kertoa viranomaiselle?

Ei. Traficomin ohjeessa sanotaan, ettei salasanoja pidä koskaan kertoa kenellekään. Samassa kohdassa muistutetaan, etteivät edes viranomaiset kysy niitä.

Minulle tämä on selkeä muistettava asia myös silloin, kun pyyntö esitetään viranomaisen nimissä. Pyynnön esittäjän väite ei muuta salasanan salassa pitämistä koskevaa ohjetta. Salasanaa ei tarvitse kertoa toiselle ihmiselle tämän ohjeen noudattamiseksi.

Viranomaisen nimissä esitetty salasanapyyntö on huijaus. Tällaisiin yhteydenottoihin liittyviä ohjeita löytyy sivulta huijausviestien tunnistamisen ohjeet.

Mistä voin tarkistaa viralliset ohjeet?

Tämän sivun lähdetiedot on tarkistettu 13.11.2026. Minä tarkistan salasanan valintaa ja vaihtamista koskevat sanamuodot seuraavilta Traficomin ja Suomi.fi:n sivuilta:

• Traficom: Pidempi parempi – näin teet hyvän salasanan. Ohje käsittelee pituutta, lausetta salasanana, palvelukohtaisuutta ja salasanan salassa pitämistä.
• Traficom: Näin suojaat laitteesi ja käyttäjätilisi. Sivulla kerrotaan salasanan pituudesta, uudelleenkäytön riskistä ja monivaiheisesta tunnistautumisesta.
• Suomi.fi: Tietovuoto-oppaan muistilista. Listassa turvallinen salasana on vähintään 16 merkkiä pitkä.
• Traficom: Näin suojaudut nettihuijaukselta. Ohje kehottaa vaihtamaan murretun salasanan välittömästi.
• Traficom: Tietoturva kotona ja työpaikalla. Sivulla on toimintaohje tilanteeseen, jossa epäilet jonkun muun käyttävän sähköpostitiliäsi.

Samat tiedot löytyvät kortista Julkisten palvelujen häiriöt, sekä sivuilta K-Ruoka ja Kaksivaiheinen tunnistautuminen.