パスワードジェネレーター

使い方

スライダーで長さを変えるか直接入力し、使う文字種（小文字・大文字・数字・記号）をトグルすると、パスワードが自動で再生成されます。エントロピーバーは結果のブルートフォース耐性をビット数でおおまかに示します。40 ビット未満は弱、60 以上が一般的なアカウントには十分、90 以上は金庫のマスターパスワード相当です。

「曖昧文字を除く」トグルは、フォントによって見分けにくい文字（I・l・1・O・0・o・`・'・"・|）を除外します。画面を見ながら打ち込む場合や電話で口頭で伝える場面で役立ちます。乱数は crypto.getRandomValues から取り、モジュロバイアス防止のためのリジェクションサンプリングで各文字が等確率になるよう調整しています。何もブラウザ外に送信しません。

例

length: 20
sets:   lower + upper + digits + symbols
pool:   87 chars

g7#Lq2!vWp9Bz@Yx5dKr   ≈ 128.7 bits (very strong)

length: 16
sets:   lower + upper + digits (no symbols)
no ambiguous: yes
pool:   52 chars

k7QxR2nbCa3VsT5p   ≈ 91.2 bits (very strong)

length: 6
sets:   digits only
pool:   10 chars

482703   ≈ 19.9 bits (weak)

よくある質問

関連する概念

パスワードの強度は独立した 2 つの要素で決まります。文字列の長さと、各位置に現れうる文字の種類です。対数空間で掛け合わせるとエントロピー（ビット）になり、これは攻撃者が試すべき候補数の log2 です。70 文字プールから 12 文字を引いたパスワードは約 73 ビット、24 文字に倍増させればビットも 146 に倍増します。長さは最も安価な調整つまみで、複雑さは最も過大評価された要素です。

NIST が 2017 年に発表し以後再確認してきた SP 800-63B のルールは、古い助言を明確に廃止しました。定期的な強制変更、文字種混合の必須化（「数字 1 個と記号 1 個を含む」など）、秘密の質問によるフォールバックは廃止です。代わりに、長めの最小長、印字可能な任意の文字を許容、漏洩コーパスとの照合、ログイン回数制限、覚え方はユーザーに任せる、というアプローチです。新規生成したランダムパスワードのエントロピーは、それを保存するパスワードマネージャこそが実体としての対策であることの証拠です。文字列を当てられるよりも、マネージャへのアクセスを失うことのほうが現実的な失敗モードであり、ここを設計で塞ぐ必要があります。