אכיפה ומעקב אחרי עמידה בדרישות לגבי סיסמאות של המשתמשים

מה קורה כשהמדיניות בנושא סיסמאות לא חלה

• ‫Google לא יכולה לאכוף דרישות לגבי חוזק ואורך של סיסמאות שהוגדרו באמצעות שיטת גיבוב (hash). לדוגמה, סיסמאות שנוצרו באמצעות הכלי להעלאה בכמות גדולה של משתמשים, ה-Directory API או כלי סנכרון כמו "סנכרון סיסמאות" או Google Cloud Directory Sync. פרטים נוספים מופיעים ב-Google Workspace Admin SDK או במאמר בנושא מידע על "סנכרון סיסמאות".
• הדרישות לגבי חוזק ואורך של סיסמאות לא חלות על סיסמאות של משתמשים שאתם מאפסים באופן ידני. אם אתם מאפסים סיסמה באופן ידני, הקפידו לסמן את התיבה לצד המשתמש יתבקש לשנות את הסיסמה בזמן הכניסה במשתמש הרלוונטי.
• המדיניות בנושא סיסמאות שאתם מגדירים לא חלה כשהמשתמשים מבצעים אימות דרך ספק זהויות (IdP) של צד שלישי באמצעות SAML או OIDC.

מה הופך סיסמה לחזקה

אם אתם מחייבים להשתמש בסיסמאות חזקות, Google משתמשת באלגוריתם לדירוג חוזק הסיסמה כדי לוודא:

• שיש לסיסמה רמה גבוהה של רנדומיזציה, שנקראת אנטורפיית סיסמה. כדי להשיג את זה, צריך להשתמש במחרוזת ארוכה של תווים מסוגים שונים, כמו אותיות גדולות וקטנות, מספרים ותווים מיוחדים

  הערה: סיסמה חזקה לא חייבת לכלול מספר ספציפי של תווים מסוג מסוים.

• שלא מדובר בסיסמה חלשה ונפוצה, כמו "123456" או "password123"
• שקשה לנחש את הסיסמה. כלומר, היא לא מורכבת ממילים או מביטויים פשוטים, ולא כוללת חלקים משם המשתמש
• שהסיסמה לא נפרצה. כלומר, היא לא מופיעה במסד נתונים של חשבונות שנפרצו

מידע על תפוגת התוקף של סיסמאות

תוקף הסיסמה מושבת כברירת מחדל כי מחקרים הראו השפעה חיובית מועטה על האבטחה. אם יש סיבות שקשורות לתאימות, אתם יכולים להגדיר שתוקף הסיסמאות של המשתמשים יפוג אחרי מספר מסוים של ימים (למשל 90 או 180 ימים).

התוקף של הסיסמאות נאכף רק בכניסות לאפליקציות שמבוססות על דפדפן. הוא לא נאכף אם המשתמשים נכנסים לאפליקציות רק דרך הטלפונים או מתחברים לאפליקציות שאומתו באמצעות OAuth.

התראות לגבי סיסמאות

אם תגדירו פרק זמן לתפוגת התוקף של הסיסמאות, משתמשים יקבלו התראות קופצות (אבל לא תזכורות באימייל) בשירותי Google, כמו Gmail ויומן, 30 ימים לפני תאריך התפוגה. משתמשים יכולים לשנות את הסיסמה שלהם או לסגור את ההתראה. אם משתמש לא משנה את הסיסמה, ההתראה תופיע בפעם הבאה שהוא ייכנס לחשבון. ההתראה מפסיקה להופיע אחרי שהמשתמש סוגר אותה 3 פעמים. עם זאת, אחרי שתוקף הסיסמה יפוג, המשתמש יצטרך לשנות את הסיסמה בפעם הבאה שהוא ייכנס לחשבון.

מתי משתמשים צריכים לשנות את הסיסמה

כשאתם מגדירים בפעם הראשונה מדיניות לגבי תוקף של סיסמאות, יכול להיות שחלק מהמשתמשים יתבקשו לשנות את הסיסמאות שלהם מיד, בעוד שאחרים לא יצטרכו לשנות את הסיסמאות באותו הרגע. לדוגמה:

• אם הגדרתם מדיניות תפוגה של 90 ימים, ומשתמש שינה את הסיסמה שלו לפני 100 ימים, תוקף הסיסמה שלו יפוג ברגע שתגדירו את המדיניות. בפעם הבאה שהוא ינסה להיכנס לחשבון, הוא יתבקש לשנות את הסיסמה.
• אם הגדרתם מדיניות תפוגה של 90 ימים, ומשתמש שינה את הסיסמה שלו לפני 30 ימים, תוקף הסיסמה שלו לא יפוג. אחרי 60 ימים, המשתמש הזה יתבקש להחליף את הסיסמה בפעם הבאה שהוא ייכנס לחשבון.