Nemusí být. Uživatel si může klidně pamatovat heslo 2fr2xgf*pc+pcB2t - a na zabezpečení e-mailu běžného BFU je to dostatečně silné heslo.
Sice je to dostatečně silné heslo, ale pořád je to nedostatečná ochrana. Protože uživatel takovéhle heslo klidně napíše do podvodné stránky. Aby byla ochrana dostatečná, je nutné také vyhodnotit, zda je heslo zadáváno na správný web. A to udělá správce hesel, který podle adresy webu vyhledá správné heslo, ale neudělá to uživatel (resp. je velké riziko, že to uživatel udělá špatně).
Navíc takovýchhle hesel si uživatel těžko bude pamatovat desítky, pro každý web jiné.
Uživatel si může pamatovat jedno silné heslo (ke správci hesel), ale správce hesel zajistí, aby hesla byla unikátní a aby se heslo vložilo jen na tu správnou stránku. To jsou dvě nejdůležitější funkce správce hesel. To, že jsou hesla ve správci hesel silná, je ta méně důležitá věc.