パスワード強度チェッカー

チェックリストスコアが評価する項目

判定は単純な 0 から 6 のスコアから導かれます。以下の各項目が 1 点ずつ加算されます。

長さだけで 6 点中 3 点を占めます。長さこそが実際の強度における最大の単一要因だからです。

エントロピーと解読時間の推定方法

エントロピーとは、すべての文字がランダムだと仮定した場合にそのパスワードを表現するのに必要なビット数です：length × log2(alphabet size)。文字集合サイズは使用したクラスを合計します。小文字 26、大文字 26、数字 10、一般的な記号 33 なので、4 種類すべてを使うパスワードは 95 個の可能な文字から選ばれます。

解読時間の推定は、盗まれたハッシュをすでに手にしていて、高速なコンシューマー向け GPU で毎秒約100億（10^10）回の推測を試せるオフライン攻撃者を想定しています。この数値は MD5 や SHA-1 のような弱くて高速なハッシュに相当します。bcrypt や Argon2 のように意図的に遅く設計されたハッシュは、その速度を数百万分の一に落とすため、それらが使われている場所では同じパスワードでもはるかに安全です。

このツールがチェックすること、しないこと

• チェックすること：長さ、存在する文字クラス、ビット単位の素のエントロピー、そしてそのエントロピーから求めた解読時間の推定。
• チェックしないこと：あなたのパスワードを辞書、漏洩パスワードリスト、キーボード配列（qwerty、1qaz2wsx）、一般的な置換（p@ssw0rd）と照合すること。パスワードはすべての文字クラスチェックを通過しても、それが既知の単語や漏洩済みのパスワードであれば、依然として簡単に推測されうるのです。

スコアは保証ではなく下限とみなしてください。パスワードが短すぎる、あるいは単純すぎることは教えてくれますが、高スコアはそのパスワードが予測不可能であることを証明しません。

実際にパスワードを強くするもの

1. まず長さ。 1 文字増やすことは、他のどんな単一の変更よりも価値があります。14 文字のランダムなパスワードは、毎回 8 文字の複雑なパスワードに勝ります。
2. ランダム性。 人は頭の中で貧弱なエントロピーしか生み出せません。文字選びはジェネレーターに任せましょう。
3. 多様性を分散させる。 数字と記号を、解読者が予期する末尾だけでなく、どこにでも配置しましょう。
4. サイトごとに 1 つのパスワード。 50 個のアカウントで使い回された強いパスワードは、それを保存している最も弱いサイトと同じ安全性しかありません。

安全のための推奨事項

• パスワードマネージャーを使い、サイトごとに 16 文字以上の一意なランダムパスワードを作成・保存しましょう。
• パスフレーズを使い、5 から 8 個のランダムな単語で構成して、マネージャーのマスターパスワードなど手で入力せざるを得ない数少ないパスワードに使いましょう。
• 提供されている場所ではどこでも二要素認証を有効にしましょう。
• どのパスワードも使い回し続ける前にpwnedpasswords.com を確認しましょう。本ツールはあなたのパスワードがすでに漏洩しているかどうかを見ることができないからです。