無料パスワード強度チェッカー

実例

「パスワード」の欄をクリックして 9fK2!xQ と入力します。点で表示されるので、「表示」を押すと読めます。ページには、強度「良い」、エントロピー「46ビット」、「高速ハッシュ(毎秒100億回の試行)」「2 時間」、「低速ハッシュ、bcrypt型(毎秒1万回)」「206 年」と表示されます。パスワードが7文字しかないため、「改善点」には「短すぎます(7文字)。長さが最も重要です。」と表示され、「パスワード要件」の一覧では「8 文字以上」と「12 文字以上」に空白の丸が付き、ほかの行は合格になります。「強力なパスフレーズを作る」を押すと、proud-gate-merry-wise-brave-fancy のようなランダムな6つの単語が、「ランダムなパスフレーズ(約53ビット)」というラベルとともに表示されます。次に、テキストを Summer2024 に置き換えます。強度は「非常に弱い」、エントロピーは「0ビット」になり、両方の時間が「即座に」となり、「改善点」には「最も一般的なパスワードのリストに載っています。」と「年(2024)が含まれており、攻撃者が最初に試すパターンです。」と表示されます。

使用する設定と制限事項

• スコアは推定値として読みましょう。 「非常に弱い」「弱い」「良い」「強い」は、エントロピーの推定値と、満たしている要件の数から決まります。28ビット未満ではスコアは「非常に弱い」を超えず、40ビット未満では「弱い」、60ビット未満では「良い」を超えません。内蔵の一般的なパスワードのリストに一致すると、強制的に「非常に弱い」になり、一般的な単語や名前を元にしたパスワードは「弱い」に抑えられます。オレンジ色の注記「ヒューリスティックのみ。」は、スコアが構造と内蔵の短いリストに基づくため、どちらのリストにも載っていない弱いパスワードでも、高いスコアになることがあると警告しています。
• 2つの解読時間を比較しましょう。 どちらの数値も、推測の回数を推測の速度で割ったものです。「高速ハッシュ(毎秒100億回の試行)」は、高速に計算されるハッシュに対して、1秒あたり100億回の推測を想定しています。「低速ハッシュ、bcrypt型(毎秒1万回)」は1秒あたり1万回を想定しています。カードの下の注記には、推定は、ハッシュ化されたパスワードを盗んだ攻撃者がオフラインで推測する場合を想定しており、ログインに回数制限をかけているサイトへの攻撃ははるかに困難だと書かれています。時間は、1秒未満は「即座に」、その後は秒から年まで、さらに 12K 年のような表記、「数百万年」、10億年を超えると「事実上、解読不能」となります。
• 任意の漏洩チェックを使いましょう。 「既知の漏洩をチェック」を押すと、Have I Been Pwned のデータでパスワードが照会されます。ブラウザーはパスワードの SHA-1 ハッシュを作り、その最初の 5 文字だけを api.pwnedpasswords.com に送り、残りの比較はお使いの端末上で行うため、パスワード自体が送信されることはありません。結果は、使用しないよう促す「12,345件の既知の漏洩で見つかりました」か、「既知の漏洩では見つかりませんでした。」です。「入力が止まったら自動でチェックする」にチェックを入れると、入力が止まって0.9秒後、4文字以上から実行されます。この選択はこのブラウザーに記憶されます。パスワードを編集すると、以前の結果は消えます。
• スコアが「強い」でないときは、パスフレーズのボタンを使いましょう。 「強力なパスフレーズを作る」は、何かが入力されていて、スコアが「非常に弱い」「弱い」「良い」のときに、「改善点」の下に表示されます。ブラウザーの安全な乱数生成器を使い、約490語の短い英単語のリストから6語を選んでハイフンでつなぎ、「ランダムなパスフレーズ(約53ビット)」というラベルを付けます。「コピー」でコピーでき、「ここでテストする」で欄に入れて表示できます。そのあと、チェッカーはそれを普通の文字列として採点するため、エントロピーの数値は 53 ビットよりはるかに高くなります。信頼すべきは、ランダムな単語選びだけを数えた 53 ビットのラベルのほうです。
• 要件リストが何をチェックするかを知っておきましょう。 リストには「8 文字以上」「12 文字以上」、小文字と大文字(アラビア語、ヘブライ語、中国語のように大文字小文字のない文字種では「文字を含む(どの文字種でも)」)、「数字を含む」「特殊文字を含む」「よく使われるパスワードではない」「同じ文字の繰り返しなし(3 回以上)」「一般的なパターンなし(123、abc、qwerty、年号)」が表示されます。一般的なパスワードのテストは、大文字小文字、アクセント、両端の数字や記号を無視し、@ を a に、0 を o に置き換えるといった入れ替えも見破るため、P@ssw0rd!! も検出されます。「改善点」には、最大2件の指摘が表示されます。
• 「表示」を使って、入力した内容を確認しましょう。 入力欄はパスワードを点で隠し、スペルチェックと自動大文字化をオフにします。「表示」で読め、「非表示」で再び隠せます。パスワードは開いているページの中にしか存在せず、ブラウザーに保存されるのは自動漏洩チェックの設定だけです。ほかの文字種のパスワードは、文字種ごとに採点されます。キリル文字、ギリシャ文字、アラビア文字、ヘブライ文字、アルメニア文字、ジョージア文字、インド系文字、タイ文字、日本語のかな、韓国語と中国語の文字は、それぞれ使える文字の集合が加わり、記号としては扱われません。

よくある問題とその解決方法

「漏洩チェックに失敗しました — 接続を確認してもう一度試してください。」と表示されます。

漏洩の照会は、このページでネットワークを使う唯一の部分です。api.pwnedpasswords.com に、5文字の接頭辞が共通するハッシュの末尾の一覧を要求し、そのリクエストが失敗したか、サービスがエラーを返すと、このメッセージが表示されます。オンラインであることと、そのアドレスがブロックされていないことを確認し、もう一度「既知の漏洩をチェック」を押してください。強度のスコアはネットワークを使わないため、引き続き動作します。

複雑に見えるパスワードなのに、強度が「非常に弱い」、エントロピーが「0ビット」と表示されます。

パスワードが一般的なパスワードのリストに一致したため、エントロピーが 0、両方の解読時間が「即座に」、スコアが「非常に弱い」に設定されました。一致の判定では、大文字小文字、アクセント、両端の数字や記号、4 を a に、3 を e に、0 を o に置き換えるような似た文字への入れ替え、先頭の「my」や「the」が無視されます。そのため、Password123!、P@ssw0rd!!、mypassword は、すべて同じ有名なパスワードとして扱われます。単語に関係のないものを選んでください。

「一般的な単語「istanbul」が元になっています。」と表示されます(単語はお使いのものになります)。

両端の数字や記号を取り除き、似た文字への入れ替えを元に戻した結果、パスワードが内蔵リストにある名前、月、都市、日常的な単語になっています。そのため、スコアは最大でも「弱い」に抑えられ、エントロピーは、その単語自体のコストに飾りの数ビットを加えたものに制限されます。数字は1つにつき 3.4 ビット、記号は 5 ビット、大文字は 1 ビットです。末尾の年は合計でおよそ 7 ビット分になります。関係のない単語を足すか、パスフレーズのボタンを使ってください。

「キーボードやアルファベットの連続「qwerty123」があります。」と表示されます(連続部分はお使いのものになります)。

キーボードの行、qazwsx のような斜め、数字の行、アルファベット、数字の 0〜9 の中から、隣り合う3文字以上が、順方向でも逆方向でも並んでいると、連続として扱われます。AZERTY やロシア語キーボードの同じ行も対象です。連続の中の文字は、通常の強さの4分の1として数えられ、「一般的なパターンなし(123、abc、qwerty、年号)」の行は不合格になります。関係のない文字で連続を断ち切ってください。

「強力なパスフレーズを作る」ボタンが見つかりません。

ボタンは「改善点」のパネルの中にあり、そのパネルは、欄が空でなく、強度が「非常に弱い」「弱い」「良い」のときだけ表示されます。スコアが「強い」のときはパネルが非表示になり、欄が空のときは入力欄だけが表示されます。空の状態からパスフレーズを作るには、まず短いテキストを何か入力してから、ボタンを押してください。

比較

このページが示すのは、判定ではなく推定です。一般的なパスワード、名前、単語の短い内蔵リスト、キーボードパターンのテスト、文字集合に基づくエントロピーモデルを使っており、あなたの名前や誕生日、パスワードを設定するサイトのことは何も知りません。任意の漏洩チェックは、公開されている Have I Been Pwned の range サービスを使い、このパスワードそのものが流出データにあるかどうかだけを示し、似たパスワードがあるかどうかはわかりません。ランダムな文字のパスワードについては、パスワード生成ツール(「強力なパスワードを生成」)へのリンクがあり、パスフレーズはこのページ自身が作ります。パスワードを保存したり、サイトがどのようにハッシュ化しているかを確認したりはしないため、2つの解読時間は攻撃者の速度についての仮定です。