Как се прави силна парола и как се ползват мениджър на пароли и 2FA

Повечето пробиви на фирмени имейли и онлайн банкиране не стават с хакерски гений, а с парола, която е била изтекла от друг сайт и е същата навсякъде. Силната парола е дълга, уникална и не е нужно да я помните – за това има мениджър на пароли. Вторият фактор (2FA) пък спира нападателя дори когато паролата му е известна.

След тези стъпки ще имате един мениджър с различни пароли за всеки сайт, 2FA на най-важните акаунти и план какво да правите при изтичане на данни.

Какво ще ви трябва

• Мениджър на пароли: Bitwarden (безплатен за лични нужди, с отворен код, синхронизира се между устройства), KeePassXC (безплатен, напълно офлайн) или 1Password (платен, около 3 €/месец, удобен за фирми).
• Приложение за 2FA кодове на телефона: Microsoft Authenticator, Google Authenticator, Aegis (Android) или вграденото в Bitwarden/1Password.
• По желание: хардуерен ключ като YubiKey 5 NFC (около 50–60 €) за администраторски и банкови акаунти.
• Лист хартия и плик за резервните кодове; около 40 минути.

Стъпка по стъпка

1. Разберете какво е „силна“. Дължината е по-важна от специалните символи: 12 знака са минимум, 16+ е добре. Фраза от 4–5 случайни думи като „скрин-котка-77-винт-облак“ е по-силна и по-лесна за помнене от „P@ssw0rd1!“. Не използвайте имена, дати, номера на коли, думи от речника, нито модели като „Лято2026!“.
2. Инсталирайте мениджър на пароли. Изтеглете Bitwarden от bitwarden.com за Windows, добавете разширението за Chrome/Edge/Firefox и приложението за телефона. Създайте акаунт с една главна парола – дълга фраза от 5–6 думи, която помните и не използвате никъде другаде. Тя е единствената, която трябва да знаете.
3. Прехвърлете паролите от браузъра. Bitwarden → Tools → Import data → изберете Chrome/Edge CSV (експорт от chrome://settings/passwords). След успешен импорт изтрийте паролите от браузъра и изключете предлагането му за запазване (Settings → Passwords → Offer to save passwords), за да има едно място на истината.
4. Сменете най-важните пароли първо. Имейл (той нулира всички останали), банка, Microsoft/Google акаунт, НАП/НОИ ПИК, социални мрежи, облак. Използвайте генератора на мениджъра: 20 знака, букви, цифри и символи. Не е нужно да ги помните – мениджърът ги попълва автоматично.
5. Включете 2FA на тези акаунти. В настройките за сигурност на всеки сайт търсете Two-factor authentication / Двустепенна проверка. Изберете „Authenticator app“, сканирайте QR кода с приложението на телефона и въведете 6-цифрения код. Оттук нататък влизането иска парола + код, който се сменя на 30 секунди. SMS кодовете са по-добре от нищо, но се прихващат чрез „клониране“ на SIM картата – ползвайте ги само ако няма друг вариант.
6. Запазете резервните кодове. При включване на 2FA сайтът дава 8–10 еднократни резервни кода. Разпечатайте ги или ги запишете в бележка в мениджъра на пароли (в отделен запис, а не при паролата). Без тях изгубен телефон означава изгубен акаунт. Включете и облачно резервно копие на Authenticator приложението.
7. Добавете passkeys, където ги има. Google, Microsoft, Apple, PayPal, GitHub и все повече банки поддържат passkey – вход с пръстов отпечатък или ПИН на устройството вместо парола. Passkey не може да бъде „фишнат“, защото е обвързан със сайта. Bitwarden и 1Password ги съхраняват и синхронизират.
8. Защитете самия мениджър. Включете 2FA и за Bitwarden/1Password акаунта (за предпочитане с хардуерен ключ), запишете главната парола на хартия в запечатан плик в сейф или при важните документи и задайте автоматично заключване след 15 минути.
9. Във фирмата – общ достъп без общи пароли. Bitwarden Teams (около 4 € на потребител месечно) или 1Password Business позволяват споделени колекции („Счетоводство“, „Социални мрежи“) с права по екипи; при напускане на служител достъпът се спира с едно щракване, вместо да се сменят 30 пароли.
10. Проверявайте за изтекли пароли. Bitwarden Reports → Exposed Passwords и Data Breach Report сравняват паролите ви с известни изтичания; услугата Have I Been Pwned проверява имейла. При съвпадение сменете паролата веднага и навсякъде, където сте я ползвали.

Съвети и чести грешки

• Една парола с малки вариации („Firma2025“, „Firma2026“) – нападателите пробват точно това. Всеки сайт – напълно различна парола.
• Пароли в Excel или в бележника на телефона – незащитени и се синхронизират на непредвидени места. Мениджърът е криптиран и заключен.
• Периодична задължителна смяна – вече не се препоръчва (NIST SP 800-63B); сменяйте при съмнение за изтичане, не на 90 дни.
• 2FA само по SMS за банка – ако банката предлага приложение за потвърждение (push) или токен, преминете към него.
• Главна парола, забравена – Bitwarden не може да я възстанови. Хартиеното копие в плик не е параноя.
• Фишинг имейл за „смяна на парола“ – мениджърът не попълва паролата на фалшив сайт с различен адрес; ако автоматичното попълване мълчи, спрете и проверете URL адреса.
• КЕП и ПИК на НАП – електронният подпис също е „парола“ – не го оставяйте в USB порта на споделен компютър и не изпращайте ПИН кода по имейл.

Често задавани въпроси

Безопасно ли е да държа всички пароли на едно място?

Да, при условие че мястото е мениджър на пароли с дълга главна парола и 2FA. Базата е криптирана на вашето устройство преди синхронизация, така че дори доставчикът не може да я прочете. Рискът от 50 еднакви пароли е многократно по-голям.

Какво да правя, ако загубя телефона с Authenticator?

Използвайте резервните кодове, за да влезете, после махнете стария телефон от настройките на всеки акаунт и добавете новия. Microsoft Authenticator и Google Authenticator имат облачно възстановяване, ако предварително е включено.

Колко често да сменям паролата на имейла?

Ако е дълга, уникална и с 2FA – не е нужно по график. Сменете я веднага, ако получите известие за вход от непознато устройство или имейлът ви се появи в изтичане на данни.