パスワードジェネレーター
8〜64文字の強力なランダムパスワードを、小文字、大文字、数字、記号から選んで生成し、エントロピーの推定値をビット単位で表示します。パスワードは、お使いのブラウザの暗号学的な乱数生成器で作られ、端末の外に出ることはありません。無料で、登録は不要です。すでに使っているパスワードを確認したい場合は、代わりにPassword Strength Checkerを使ってください。
少なくとも1つの文字の種類を選択してください
強度：非常に強い（エントロピー103ビット）
端末内で生成され、送信されません
パスワードは、お使いの端末上で、ブラウザの暗号学的に安全な乱数生成器（crypto.getRandomValues）を使って生成されます。ネットワークには何も送信されず、保存もされず、私たちが作成したパスワードを見ることもできません。
パスワードのアドバイス
サイトごとに一意のパスワードを使ってください。あるサービスが侵害されると、攻撃者は漏えいしたパスワードをすぐにメールプロバイダー、銀行、SNSで試します。パスワードの使い回しは、1回の侵害を多数の被害に変えてしまいます。
パスワードマネージャーを使ってください。長くランダムなパスワードを何十個も覚えられる人はいません。書き留めたり使い回したりすれば、意味がなくなります。パスワードマネージャーは暗号化して保存し、入力を代行し、覚えておくのは強いマスターパスフレーズ1つだけで済みます。
賢さより長さを優先してください。文字を記号に置き換えること（p@ssw0rd）は、単に長くするよりずっと強度を上げません。サイトが許せば、2段階認証も有効にしてください。
パスワードジェネレーターの使い方
- 1. 長さを設定します。 スライダーは8〜64文字で、初期値は16です。
- 2. 文字の種類を選びます。 小文字、大文字、数字、記号は既定ですべてオンになっており、少なくとも1つはオンのままにする必要があります。紛らわしい文字を除外にチェックを入れると、
0、O、1、l、Iを除きます。 - 3. 強度の表示を読みます。 バーには、弱い、普通、強い、非常に強いのいずれかの区分と、エントロピーがビット単位で表示されます。
- 4. 生成してコピーします。 ページを開くとパスワードが表示されます。新しく生成で別のパスワードを作り、コピーでクリップボードに入れます。すぐにパスワードマネージャーに保存してください。
パスワードの作られ方
- 安全な乱数。 各文字は、ブラウザの暗号学的な生成器である
crypto.getRandomValuesで選ばれ、Math.randomは使いません。値は棄却法で抽出するため、丸め誤差によってどの文字かが選ばれやすくなることはありません。 - 各セットから1文字ずつ。 4つのセットをすべて選ぶと、小文字、大文字、数字、記号を少なくとも1つずつ含むことが保証されます。多くのサイトがいまだに求めているルールです。残りの位置は選ばれたすべての文字から埋められ、その後パスワード全体がシャッフルされるため、保証された文字が先頭に集まることはありません。
- 記号のセットは
!@#$%^&*()-_=+[]{};:,.?の23文字です。サイトによっては一部の記号を拒否するため、その場合は記号のチェックを外し、長さで補ってください。 - 何もページの外に出ません。 パスワードはお使いのブラウザのメモリ内で生成して保持され、どこにも送信されません。OSのクリップボード履歴が有効であれば、コピーした内容が残ることがあります。
長さは複雑さより効く
強度の推定値は、ランダムに一様に選ばれたパスワードのエントロピーです：長さ × log₂（文字セットのサイズ）。4つのセット（85文字）すべてを使うと1文字あたり約6.4ビット、小文字だけでは4.7ビットです。ツールは結果を四捨五入し、40ビット未満を弱い、40ビット以上を普通、60ビット以上を強い、80ビット以上を非常に強いとラベル付けします。これはこのツールの目安であり、業界標準ではありません。
| 長さ | 小文字のみ（26） | 英字と数字（62） | 4セットすべて（85） |
|---|---|---|---|
| 8 | 38ビット、弱い | 48ビット、普通 | 51ビット、普通 |
| 12 | 56ビット、普通 | 71ビット、強い | 77ビット、強い |
| 16 | 75ビット、強い | 95ビット、非常に強い | 103ビット、非常に強い |
| 20 | 94ビット、非常に強い | 119ビット、非常に強い | 128ビット、非常に強い |
長さは種類の多さより効きます。小文字だけの20文字（94ビット）は、4セットから選んだ12文字（77ビット）より強くなります。文字を1つ増やすと可能性の数が掛け算で増えるのに対し、文字セットを広げても底が大きくなるだけだからです。この推定値は、ランダムに生成されたパスワードにだけ当てはまります。ご自身で考えたパスワードや、p@ssw0rdのように文字を置き換えたものは、長さから想像されるほどの強度はありません。
現在の指針
米国のデジタル本人確認の標準であるNIST SP 800-63B（第4版）は、パスワードだけで使うものには少なくとも15文字を要求し（第2の要素と併用する場合は8文字）、少なくとも64文字は受け付けるよう求めています。また、文字の種類を混ぜることや定期的な変更の強制といった組み合わせのルールを課してはならないとしています。さらに、サービスがパスワードマネージャーと貼り付けを受け付け、新しいパスワードを一般的なものや漏えい済みのものの一覧と照合することを期待しています。実際には、サイトが許す最も長いパスワードを選び、サイトごとに一意にし、パスワードマネージャーに保存し、2段階認証を有効にしてください。
どのツールが必要ですか？
このページは、新しいランダムパスワードを作るためのものです。すでにあるパスワードを確認するには、Password Strength Checkerを使ってください。これは一般的なパスワード、単語、パターンを確認するもので、こちらも何も送信しません。秘密ではない一意の識別子が必要な場合は、UUIDジェネレーターを使ってください。UUIDは一意ですが、秘密にすることは想定されていません。
よくある質問
- ウェブサイトでパスワードを生成しても安全ですか？
- このツールの場合は安全です。パスワードはブラウザ内で暗号学的な乱数生成器によって作られ、ネットワークで送信されることも保存されることもないため、CitationEasyがパスワードを見ることはありません。どのツールでもそうですが、信頼できるブラウザを使い、結果はすぐにパスワードマネージャーに入れてください。
- パスワードの長さはどのくらいにすべきですか？
- パスワードだけで保護されるアカウントには、NIST SP 800-63Bに従って少なくとも15文字、サイトが許す場合はさらに長くしてください。パスワードマネージャーのマスターパスワードには、長いパスフレーズを使ってください。ここのスライダーは64文字まで対応しています。
- 強度の推定値は何を意味しますか？
- エントロピーのビット数です。選ばれた文字からランダムに選ばれたと仮定したとき、そのパスワードを確実に見つけるために必要な二値の推測回数を表します。ビットが1つ増えるごとに作業量は2倍になります。区分は目安です：40未満は弱い、40〜59は普通、60〜79は強い、80以上は非常に強い。
- 紛らわしい文字を除外するとは何をしますか？
- 多くのフォントで見た目が似ている0、O、1、l、Iを除きます。パスワードを声に出して読んだり、手で入力したりする場合に役立ち、強度の低下はわずかです。4セットから16文字を選んだ場合、103ビットから101ビットになります。
- 生成したパスワードがサイトで拒否されるのはなぜですか？
- 通常は、長さを制限している、または一部の記号を受け付けないためです。記号のチェックを外すか、パスワードを長くして、もう一度生成してください。長いパスワードや特殊なパスワードを拒否するサイトは、選べるなら避けることをおすすめします。
- 複数のサイトで同じパスワードを使ってもよいですか？
- いいえ。サービスが侵害されると、攻撃者は漏えいしたパスワードを他のサービスで試します。サイトごとに一意のパスワードを使えば、被害は1つのアカウントに限られます。
- 代わりにパスフレーズを使うべきですか？
- ランダムに選んだ複数の単語は、強力かつ覚えやすく、マスターパスワードに適しています。このジェネレーターは文字のパスワードを作るものです。パスフレーズを作るには、自分で選ぶのではなく、単語をランダムに選んでください。