รหัสผ่าน 2026 — อักษรพิเศษ มาตรฐานสากล กฎหมายไทย และ 2FA/3FA ที่ควรรู้

คำแนะนำเรื่องรหัสผ่านที่คนไทยส่วนใหญ่คุ้นเคยมาจากยุค 2000 ต้น ๆ และหลายข้อถูกมาตรฐานสากลถอดออกไปแล้ว เพราะพิสูจน์ว่าทำให้ปลอดภัยน้อยลง ไม่ใช่มากขึ้น

บทความนี้รวบรวมสิ่งที่ควรรู้ไว้ในที่เดียว พร้อมบอกว่าระบบของเราทำอะไรและเคยพลาดอะไร

1. อักษรพิเศษคืออะไร

อักษรพิเศษคือตัวอักษรที่ไม่ใช่ตัวอักษรภาษาอังกฤษและไม่ใช่ตัวเลข ซึ่งพิมพ์ได้จากแป้นพิมพ์มาตรฐาน

โดยทั่วไปหมายถึงชุดนี้ (32 ตัว)

! " # $ % & ' ( ) * + , - . / : ; < = > ? @ [ ] ^ _ ` { | } ~

บวกกับช่องว่าง ซึ่งมาตรฐานสมัยใหม่บอกว่าควรอนุญาต เพราะทำให้ใช้วลีหลายคำเป็นรหัสผ่านได้

ข้อควรระวังที่คนไม่ค่อยพูดถึง

• บางระบบไม่รับบางตัว — โดยเฉพาะเครื่องหมายคำพูดและ backslash เพราะกลัวปัญหาตอนประมวลผล ซึ่งจริง ๆ เป็นสัญญาณว่าระบบนั้นจัดการข้อความไม่ดี ไม่ใช่ปัญหาของอักษรพิเศษ
• แป้นพิมพ์แต่ละภาษาวางไม่เหมือนกัน — รหัสผ่านที่พิมพ์ง่ายบนแป้นไทย-อังกฤษ อาจพิมพ์ยากบนแป้นอื่น ซึ่งสำคัญเวลาต้องล็อกอินจากเครื่องอื่น
• ตัวอักษรที่หน้าตาคล้ายกัน — เลขศูนย์กับตัว O ใหญ่ · เลขหนึ่งกับตัว l เล็กและ I ใหญ่ — เวลาต้องอ่านหรือจดต่อจะสับสน

เราให้ความสำคัญกับข้อสุดท้ายมากพอที่จะให้ตัวสร้างรหัสผ่านของเราเลี่ยงตัวอักษรเหล่านี้ตั้งแต่ต้น

2. ความยากง่ายวัดกันอย่างไร มีกี่ระดับ

คำตอบสั้น ๆ คือไม่มี “ระดับ” ที่เป็นมาตรฐานสากล — มาตรวัดจริงคือค่าที่เรียกว่า “ความไม่แน่นอน” ซึ่งบอกว่าต้องเดากี่ครั้งจึงจะเจอ

ทำไมแถบวัดความแข็งแรงถึงหลอกลวง

แถบสี “อ่อน / กลาง / แข็ง” ที่เห็นบนเว็บส่วนใหญ่นับองค์ประกอบ ไม่ได้วัดความเดายาก

ผลคือรหัสผ่านที่คาดเดาได้ง่ายมากอย่าง P@ssw0rd1 จะได้แถบเขียวเพราะครบทุกชนิด ทั้งที่มันอยู่ในอันดับต้น ๆ ของรายการรหัสผ่านที่รั่วไหล

ขณะที่วลีธรรมดายาว ๆ ที่ไม่มีอักษรพิเศษเลย กลับเดายากกว่ามากแต่ได้แถบเหลือง

สิ่งที่กำหนดความเดายากจริง ๆ

1. ความยาว — มีผลมากที่สุด และเพิ่มแบบทวีคูณ
2. ความสุ่มจริง — รหัสที่คนคิดเองไม่สุ่ม เพราะคนมีรูปแบบซ้ำ ๆ เช่นขึ้นต้นด้วยตัวใหญ่ ลงท้ายด้วยตัวเลขและเครื่องหมายอัศเจรีย์
3. ไม่เคยรั่วมาก่อน — รหัสที่เคยหลุดออกมาแล้วมีค่าเท่ากับไม่มีรหัส เพราะผู้โจมตีลองจากรายการที่รั่วก่อนเสมอ

ข้อสุดท้ายสำคัญกว่าที่คิด — รหัสผ่านที่ซับซ้อนที่สุดในโลก ถ้าเคยอยู่ในรายการที่รั่ว ก็ถูกเดาได้ในการลองครั้งแรก

3. มาตรฐานสากลว่าอย่างไร

NIST SP 800-63B (สหรัฐฯ) — ฉบับที่เปลี่ยนวงการ

เอกสารนี้เป็นที่อ้างอิงมากที่สุดในโลก และฉบับปี 2017 ได้กลับคำแนะนำเดิมของตัวเอง โดยระบุว่า

• ห้ามบังคับให้ผสมประเภทตัวอักษร — เพราะทำให้คนใช้รูปแบบที่เดาได้ เช่นเติม 1! ท้ายคำเดิม
• ห้ามบังคับเปลี่ยนรหัสตามรอบเวลา — ให้เปลี่ยนเมื่อมีหลักฐานว่ารั่วเท่านั้น เพราะการบังคับเปลี่ยนทำให้คนตั้งรหัสที่อ่อนลงและเดาต่อได้ เช่น Summer2025! แล้วเป็น Summer2026!
• ต้องตรวจกับรายการรหัสผ่านที่รั่วไหล และปฏิเสธถ้าตรงกัน
• รองรับความยาวอย่างน้อย 64 ตัวอักษร และอนุญาตอักษรทุกชนิดรวมช่องว่าง
• ต้องให้วางทับได้ เพื่อให้โปรแกรมจัดการรหัสผ่านทำงานได้
• ห้ามใช้คำใบ้และคำถามกู้บัญชี เช่นชื่อสัตว์เลี้ยง เพราะหาได้จากโซเชียล
• จำกัดจำนวนครั้งที่ลองผิด แทนการเพิ่มความซับซ้อน

แนวทางนี้ยังคงอยู่ในฉบับปรับปรุงล่าสุด

OWASP

มาตรฐานสำหรับตรวจความปลอดภัยของแอปพลิเคชัน แนวทางสอดคล้องกับข้างต้น และแนะนำความยาวขั้นต่ำสูงกว่า โดยทั่วไปที่ 12 ตัวอักษรขึ้นไป

OWASP ยังให้คำแนะนำเรื่องวิธีเก็บรหัสผ่านซึ่งสำคัญไม่แพ้กัน — ต้องผ่านฟังก์ชันที่ออกแบบมาให้ช้าโดยตั้งใจ เพื่อให้การเดาแบบยิงรัวมีต้นทุนสูง

PCI DSS (สำหรับระบบที่แตะข้อมูลบัตร)

เข้มกว่าและเจาะจงกว่า เพราะเป็นข้อบังคับตามสัญญา ไม่ใช่คำแนะนำ — กำหนดความยาวขั้นต่ำ (ฉบับล่าสุดขยับขึ้นเป็น 12 ตัวอักษร) ต้องผสมตัวอักษรและตัวเลข และบังคับใช้การยืนยันตัวตนหลายชั้นกับทุกการเข้าถึงสภาพแวดล้อมข้อมูลบัตร

ISO/IEC 27001 และ 27002

ไม่ระบุจำนวนตัวอักษร แต่กำหนดว่าต้องมีนโยบายการจัดการข้อมูลยืนยันตัวตนที่เป็นลายลักษณ์อักษรและบังคับใช้จริง ซึ่งเป็นแนวทางของมาตรฐานตระกูลนี้ทั้งหมด

4. บริษัทใหญ่ใช้รูปแบบไหน

แนวโน้มชัดเจนมากในช่วง 5 ปีที่ผ่านมา — ผู้ให้บริการรายใหญ่กำลังลดความสำคัญของรหัสผ่าน แล้วย้ายน้ำหนักไปที่การยืนยันตัวตนชั้นที่สอง

• เลิกบังคับเปลี่ยนรหัสตามรอบ — Microsoft ถอดคำแนะนำนี้ออกจากชุดค่าความปลอดภัยพื้นฐานของ Windows ตั้งแต่ปี 2019 โดยเรียกมันว่ามาตรการที่ล้าสมัย
• ตรวจกับรายการรหัสผ่านที่รั่ว แทนการบังคับความซับซ้อน — ผู้ให้บริการรายใหญ่ทำเรื่องนี้กันเป็นมาตรฐานแล้ว
• ผลักดันกุญแจผ่าน (passkey) ที่ใช้ลายนิ้วมือหรือใบหน้าบนอุปกรณ์แทนการพิมพ์รหัส ซึ่ง Apple, Google และ Microsoft ผลักดันร่วมกัน
• บังคับยืนยันสองชั้นกับบัญชีที่มีสิทธิ์สูง — หลายรายบังคับกับผู้ดูแลระบบและนักพัฒนาไปแล้ว

ข้อสังเกตที่น่าสนใจคือ บริษัทเหล่านี้ไม่ได้ทำให้รหัสผ่านยากขึ้น แต่ทำให้รหัสผ่านสำคัญน้อยลง

5. ประเทศไทยกำหนดอะไรไว้บ้าง

ส่วนนี้เป็นการสรุปเพื่อความเข้าใจทั่วไป ไม่ใช่ความเห็นทางกฎหมาย — ก่อนใช้อ้างอิงจริงควรให้ที่ปรึกษากฎหมายตรวจสอบฉบับล่าสุด

สิ่งที่กฎหมายไทยกำหนด

พ.ร.บ.คุ้มครองข้อมูลส่วนบุคคล (PDPA) กำหนดให้ผู้ควบคุมข้อมูลส่วนบุคคลต้องจัดให้มีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม

ต่อมามีประกาศของคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลว่าด้วยมาตรการรักษาความมั่นคงปลอดภัย ซึ่งลงรายละเอียดขึ้น โดยครอบคลุมการควบคุมการเข้าถึง ตั้งแต่การระบุตัวตน การยืนยันตัวตน ไปจนถึงการกำหนดสิทธิ์

สำหรับกิจการเฉพาะทางยังมีกฎเพิ่ม เช่นสถาบันการเงินอยู่ภายใต้หลักเกณฑ์ด้านเทคโนโลยีสารสนเทศของธนาคารแห่งประเทศไทย ธุรกิจหลักทรัพย์อยู่ภายใต้หลักเกณฑ์ของ ก.ล.ต. และหน่วยงานโครงสร้างพื้นฐานสำคัญอยู่ภายใต้ พ.ร.บ.การรักษาความมั่นคงปลอดภัยไซเบอร์

จุดที่คนเข้าใจผิดบ่อยที่สุด

หลายคนคาดว่ากฎหมายไทยจะระบุว่า “รหัสผ่านต้องยาวกี่ตัว ต้องเปลี่ยนทุกกี่วัน”

แต่ไม่ได้ระบุแบบนั้น — กฎหมายใช้คำว่า “เหมาะสม” กับ “ได้มาตรฐาน” เป็นหลัก

ซึ่งไม่ได้แปลว่าหละหลวมกว่า แต่แปลว่าภาระการพิสูจน์อยู่ที่ผู้ควบคุมข้อมูล — คุณต้องอธิบายได้ว่าทำไมถึงเลือกแบบนี้ และอ้างอิงมาตรฐานที่เป็นที่ยอมรับได้

ในทางปฏิบัติแปลว่าถ้าคุณทำตาม NIST หรือ OWASP และเขียนบันทึกไว้ว่าทำตามอะไร คุณอยู่ในจุดที่อธิบายได้ ส่วนการตั้งกฎเองตามความเคยชินโดยไม่มีที่มา คือจุดที่อธิบายไม่ได้เมื่อเกิดเหตุ

6. รหัสผ่านแบบไหนที่ถูกแบน

แบนเพราะรั่วไปแล้ว

รายการรหัสผ่านที่รั่วจากเหตุการณ์ข้อมูลหลุดทั่วโลกมีรวมกันหลักหลายร้อยล้านรายการ และเปิดให้ระบบต่าง ๆ นำไปตรวจสอบได้

ตัวที่ติดอันดับต้น ๆ ทุกปีแทบไม่เปลี่ยน — ลำดับตัวเลขเรียงกัน คำว่า password ในรูปแบบต่าง ๆ ลำดับปุ่มบนแป้นพิมพ์อย่าง qwerty และคำว่า admin

แบนเพราะเดาได้จากบริบท

มาตรฐานแนะนำให้ปฏิเสธรหัสที่เกี่ยวข้องกับตัวผู้ใช้หรือตัวบริการ เช่นชื่อบริษัท ชื่อเว็บไซต์ ชื่อผู้ใช้เอง หรืออีเมล เพราะเป็นสิ่งแรกที่ผู้โจมตีลอง

แบนเพราะเป็นรูปแบบซ้ำหรือเรียงกัน

เช่นตัวอักษรเดียวซ้ำกัน หรือเรียงต่อกันตามลำดับ ซึ่งยาวแค่ไหนก็ยังเดาง่าย

แบนโดยกฎหมาย — รหัสผ่านตั้งต้นของอุปกรณ์

เรื่องนี้น่าสนใจเพราะเป็นการแบนโดยกฎหมายจริง ๆ

สหราชอาณาจักรออกกฎหมายห้ามอุปกรณ์เชื่อมต่ออินเทอร์เน็ตสำหรับผู้บริโภคใช้รหัสผ่านตั้งต้นที่เหมือนกันทุกเครื่อง และรัฐแคลิฟอร์เนียมีกฎหมายลักษณะเดียวกัน

เหตุผลคือรหัสตั้งต้นอย่าง admin/admin ที่เหมือนกันทุกเครื่องคือช่องทางที่ทำให้เกิดเครือข่ายอุปกรณ์ที่ถูกยึดขนาดใหญ่ที่สุดในประวัติศาสตร์

7. 2FA คืออะไร และช่วยตรงไหนที่รหัสผ่านช่วยไม่ได้

การยืนยันตัวตนแบ่งเป็น 3 ประเภท ตามหลักสากล

ประเภท	คืออะไร	ตัวอย่าง
สิ่งที่คุณรู้	ความลับในหัว	รหัสผ่าน · PIN
สิ่งที่คุณมี	วัตถุที่ถือครอง	โทรศัพท์ · กุญแจความปลอดภัย · บัตร
สิ่งที่คุณเป็น	ลักษณะทางกายภาพ	ลายนิ้วมือ · ใบหน้า · ม่านตา

2FA คือการใช้สองประเภทที่ต่างกัน ไม่ใช่สองขั้นตอน

รหัสผ่านสองชั้นไม่ใช่ 2FA เพราะอยู่ในประเภทเดียวกัน — ถ้าผู้โจมตีได้ฐานข้อมูลไป เขาได้ทั้งสองอันพร้อมกัน

2FA ช่วยตรงไหน

รหัสผ่านมีจุดอ่อนที่แก้ด้วยการทำให้รหัสยากขึ้นไม่ได้เลย

• รหัสรั่วจากที่อื่น — ผู้ใช้ใช้รหัสเดียวกันหลายเว็บ พอเว็บหนึ่งหลุด เว็บอื่นโดนหมด ความยาวไม่ช่วย
• ถูกหลอกให้กรอก — หน้าเว็บปลอมที่เหมือนของจริง ผู้ใช้กรอกเอง ความซับซ้อนไม่ช่วย
• ถูกดักระหว่างพิมพ์ — โปรแกรมดักแป้นพิมพ์บนเครื่องที่ติดมัลแวร์

ทั้งสามกรณี ผู้โจมตีได้รหัสผ่านที่ถูกต้อง — 2FA จึงเป็นชั้นเดียวที่ยังกันได้ เพราะเขาไม่มีอุปกรณ์ในมือ

วิธีทำ 2FA ไม่ได้แข็งแรงเท่ากัน

วิธี	ความแข็งแรง	จุดอ่อน
รหัสทาง SMS	อ่อนที่สุด	ถูกสวมซิม · ดักได้ที่ระดับเครือข่าย — มาตรฐานสากลลดระดับความน่าเชื่อถือลงแล้ว
รหัสทางอีเมล	อ่อน	อีเมลมักเป็นช่องทางกู้บัญชีอยู่แล้ว ถ้าอีเมลโดนยึดก็จบ
แอปสร้างรหัสตามเวลา	ดี	ยังถูกหลอกให้กรอกลงหน้าปลอมได้
กดยืนยันบนแอป	ดี	ถูกยิงคำขอรัวจนผู้ใช้เผลอกดอนุมัติ
กุญแจความปลอดภัย / passkey	แข็งแรงที่สุด	กันการหลอกได้จริง เพราะกุญแจผูกกับชื่อเว็บ ใช้กับเว็บปลอมไม่ได้แม้ผู้ใช้อยากใช้

ข้อสุดท้ายคือความต่างที่สำคัญที่สุด — วิธีอื่นอาศัยให้ผู้ใช้ไม่ถูกหลอก ส่วนวิธีนี้ทำให้การหลอกไม่ได้ผลตั้งแต่แรก

8. 3FA มีไหม ใช้เมื่อไร

มีจริง — คือการใช้ครบทั้งสามประเภท คือรู้ + มี + เป็น

ตัวอย่างที่ใช้จริง เช่นการเข้าห้องเซิร์ฟเวอร์ที่ต้องใช้บัตร แตะลายนิ้วมือ และกดรหัส หรือระบบหลังบ้านของธนาคารและงานที่เกี่ยวกับความมั่นคง

ทำไมไม่ใช้กันทั่วไป

เพราะผลตอบแทนลดลงอย่างชัดเจน — การขยับจากรหัสผ่านอย่างเดียวไปเป็นสองชั้น ตัดการโจมตีออกไปได้เกือบทั้งหมด แต่การเพิ่มชั้นที่สามกันเพิ่มได้ไม่มาก ในขณะที่ต้นทุนและความยุ่งยากเพิ่มขึ้นมาก

สำหรับระบบธุรกิจทั่วไป การลงแรงกับการทำให้ชั้นที่สองแข็งแรงจริง ให้ผลดีกว่าการเพิ่มชั้นที่สาม

สิ่งที่มักถูกเข้าใจผิดว่าเป็นชั้นเพิ่ม

ตำแหน่งที่ตั้ง อุปกรณ์ที่เคยใช้ และพฤติกรรมการใช้งาน ไม่นับเป็นชั้นยืนยันตัวตน เพราะผู้ใช้ไม่ได้ตั้งใจแสดงมันและปลอมได้

สิ่งเหล่านี้ใช้เป็นสัญญาณประเมินความเสี่ยงเพื่อตัดสินว่าควรถามชั้นที่สองหรือไม่ ซึ่งมีประโยชน์มาก แต่คนละหน้าที่กัน

แล้วระบบของเราทำอะไร

วิธีเก็บรหัสผ่าน

เราไม่เก็บรหัสผ่าน แต่เก็บค่าที่ผ่านการแปลงทางเดียว โดยใช้ฟังก์ชันที่ออกแบบให้ช้าโดยตั้งใจ ตั้งรอบการทำซ้ำไว้ที่ 600,000 รอบตามคำแนะนำของ OWASP พร้อมค่าสุ่มเฉพาะรายบัญชี

และเราใส่ด่านที่ปฏิเสธการตั้งค่าต่ำกว่า 10,000 รอบ เพื่อกันไม่ให้ใครลดค่านี้ลงในอนาคตโดยไม่ตั้งใจ — เพราะค่าที่ลดลงจะไม่มีอาการใด ๆ ให้เห็น

ความยาวขั้นต่ำ

บริการย่อลิงก์ของเราใช้ ขั้นต่ำ 15 ตัวอักษร ซึ่งเดิมตั้งไว้ที่ 8 — เราขยับขึ้นเพราะ 8 ตัวอักษรอยู่ในระยะที่เครื่องปัจจุบันเดาได้ในเวลาที่ยอมรับไม่ได้แล้ว

ตัวสร้างรหัสผ่านให้

มีปุ่มสร้างรหัสผ่านสุ่มความยาว 18 ตัวอักษร โดยเลี่ยงตัวอักษรที่หน้าตาคล้ายกัน แล้วคัดลอกให้อัตโนมัติ

ป้องกันการเดารัว

ล็อกบัญชีชั่วคราวหลังกรอกผิดครบจำนวน ควบคู่กับการจำกัดจำนวนครั้งต่อผู้เรียก และหน้ากู้รหัสผ่านตอบเหมือนกันเสมอไม่ว่าอีเมลนั้นจะมีบัญชีหรือไม่ เพื่อไม่ให้ใช้เป็นเครื่องมือค้นหาว่าใครเป็นสมาชิก

2FA

รองรับแอปสร้างรหัสตามเวลา พร้อมรหัสสำรองที่ต้องสร้างก่อนจึงจะเปิดบังคับได้ — เพราะการเปิด 2FA โดยไม่มีทางออกสำรอง คือการสร้างสถานการณ์ที่ผู้ใช้ทำโทรศัพท์หายแล้วเข้าระบบไม่ได้ตลอดกาล

สองบั๊กของเราเองที่ควรเล่า

เราคิดว่าการเล่าเฉพาะสิ่งที่ทำถูกทำให้บทความแบบนี้ไร้ประโยชน์ จึงขอเล่าสองเรื่องที่เราพลาดเอง

บั๊กที่ 1 — รหัสผ่านที่ระบบแนะนำ เดาได้

ตัวสร้างรหัสผ่านของเราเคยใช้ตัวสุ่มทั่วไปที่เริ่มต้นค่าจากเวลา

ผลคือถ้ารู้คร่าว ๆ ว่าผู้ใช้กดปุ่มตอนไหน จำนวนความเป็นไปได้จะเหลือน้อยมาก — รหัสผ่านที่เราแนะนำให้ผู้ใช้จึงเดาได้

แก้โดยเปลี่ยนไปใช้ตัวสุ่มที่ออกแบบมาสำหรับงานความลับโดยเฉพาะ และเลือกวิธีสุ่มที่ไม่ทำให้ตัวอักษรต้น ๆ ของชุดถูกเลือกบ่อยกว่าตัวอื่น ซึ่งเป็นรายละเอียดที่มองข้ามกันบ่อย

ในการตรวจรอบเดียวกันยังพบว่า สาขาโค้ดที่ต้องเติมตัวเลขกลับไปเรียกฟังก์ชันเติมอักษรพิเศษ (คัดลอกบรรทัดมาแล้วลืมแก้ชื่อ) ทำให้รหัสที่ระบบแนะนำอาจไม่ผ่านกฎของระบบเอง ผู้ใช้กดปุ่มแนะนำแล้วบันทึกไม่ผ่าน

บั๊กที่ 2 — 2FA ที่เปิดไว้ ถูกข้ามได้

อันนี้ร้ายแรงกว่า

เจ้าของระบบทดสอบแล้วพบว่าตั้งค่า 2FA ไว้แล้ว แต่ล็อกอินไม่ถูกถามรหัส เข้าได้เลย

กลไกมีครบตั้งแต่ต้น ทั้งตัวตรวจ หน้าจอกรอกรหัส และการบันทึกว่าผ่านด่านแล้ว — แต่ไม่มีใครต่อสายเข้าเส้นทางล็อกอินจริง ตัวตรวจถูกเรียกอยู่ที่เดียวคือตอนขอสิทธิ์เข้าระบบอื่น

บรรทัดที่เราเขียนไว้ในบันทึกการแก้ไขสรุปได้ดีที่สุด

ผู้ใช้เชื่อว่าตัวเองมีการป้องกันอยู่ทั้งที่ไม่มี — อันตรายกว่าไม่มีฟีเจอร์เลย

เพราะคนที่รู้ว่าตัวเองไม่มี 2FA จะระวังตัวมากกว่า

วิธีแก้ที่เลือก และเหตุผล

ทางแก้ที่ง่ายที่สุดคือส่งผู้ใช้ไปหน้ากรอกรหัสหลังล็อกอินสำเร็จ แต่เราไม่เลือกทางนั้น

เหตุผลคือการส่งต่อหลังล็อกอินเป็นแค่การย้ายป้ายบอกทาง ไม่ใช่การล็อกประตู — เซสชันที่ยังไม่ผ่านด่านยังพิมพ์ที่อยู่หน้าอื่นเข้าไปตรง ๆ ได้ทั้งหมด

เราจึงทำเป็นด่านกลางที่ครอบทุกคำขอ ไม่ว่าจะเข้าทางไหน เซสชันที่ยังไม่ผ่านจะถูกส่งกลับมาที่หน้ากรอกรหัสเสมอ

กฎข้อแรกของงานนี้ — ห้ามล็อกคนออกจากระบบ

งานที่แตะเส้นทางล็อกอินมีความเสี่ยงเฉพาะตัว คือถ้าพลาด ทุกคนในระบบเข้าไม่ได้พร้อมกัน

เราจึงเขียนชุดทดสอบที่ยึดทิศทางนี้ไว้โดยเฉพาะ — ตรวจว่าผู้ใช้ที่ไม่ได้เปิด 2FA ต้องไม่ได้รับผลกระทบใด ๆ ครอบทั้งกรณีที่ไม่มีข้อมูล 2FA เลย และกรณีที่มีแต่ปิดไว้

สรุปสั้นสำหรับคนที่ต้องตัดสินใจ

1. ความยาวสำคัญกว่าความซับซ้อน — เลิกบังคับผสมประเภทตัวอักษร แล้วเพิ่มความยาวขั้นต่ำแทน
2. เลิกบังคับเปลี่ยนตามรอบ — เปลี่ยนเมื่อมีหลักฐานว่ารั่วเท่านั้น
3. ตรวจกับรายการที่รั่ว ได้ผลกว่ากฎความซับซ้อนทุกข้อรวมกัน
4. เก็บด้วยฟังก์ชันที่ช้าโดยตั้งใจ และตั้งค่าตามคำแนะนำปัจจุบัน ไม่ใช่ค่าที่ตั้งไว้เมื่อห้าปีก่อน
5. เปิด 2FA แล้วต้องทดสอบว่ามันทำงานจริง — ฟีเจอร์ที่เปิดแล้วไม่ทำงานแย่กว่าไม่มี
6. ถ้าเลือกได้ ให้ใช้วิธีที่กันการหลอกได้ แทนรหัสทาง SMS
7. เขียนบันทึกไว้ว่าทำตามมาตรฐานอะไร — เพราะกฎหมายไทยถามหาความ “เหมาะสม” ซึ่งต้องอธิบายได้