パスワード生成

入力欄の長さ制限が厳しいサービスには文字列モード、暗記したい・音読で伝えたいときはパスフレーズモード（correct-horse-battery-staple形式）が向いています。同じ強度なら、覚えやすさはパスフレーズの方が上です。

エントロピー（bits）に基づき5段階で評価しています。72bit以上で「強い」、100bit以上で「とても強い」です。エントロピーが低いほど、総当たり攻撃で短時間に突破されるリスクが高くなります。

いいえ。Web Crypto APIによる暗号学的乱数でこの端末内だけで生成しており、サーバーには一切送信されません。

おすすめしません。プロンプトに入れた内容は送信・保持されるおそれがあり、生成された文字列が本当に予測不能（十分なランダム性を持つ）かも保証できません。パスワードは、このツールのように端末内の暗号学的乱数で生成し、どこにも送らないのが安全です。

エントロピー（bits）から、平均で全パターンの半分を試す前提で、毎秒1000億回（オフラインのGPUクラスタを想定）の総当たり時間を概算しています。実際の速度は攻撃者の環境やハッシュ方式で変わるため、あくまで目安です。

文字列モードでは、読み間違いを防ぐため 0/O・1/l/I など見分けにくい文字をあらかじめ除いています。

強くても危険です。どこか1つのサービスから漏えいすると、攻撃者はそのメールアドレスとパスワードの組を他のサービスでも自動的に試します（リスト型攻撃）。使い回していると、無関係のサービスまで連鎖的に乗っ取られます。「サービスごとに別の強いパスワード」が原則で、そのためにこのツールのような生成器とパスワード管理の仕組みを組み合わせます。

全部を暗記する必要はありません。実用的なのはパスワードマネージャー（専用アプリやブラウザ内蔵の保存機能）に覚えさせる方法で、自分で覚えるのはマネージャーを開くためのマスターパスワード1つに絞ります。紙のメモも、自宅で安全に保管でき、ネット経由で盗まれない点では意外に合理的な手段です（ただし紛失・盗み見には注意）。

近年の考え方では、漏えいの兆候がないのに機械的に定期変更することは推奨されなくなっています。定期変更を義務にすると、覚えやすい弱いパスワードや連番の使い回しを招きやすいためです。それよりも「長く強い一意のパスワードを使い、漏えいが疑われたら直ちに変える」ことと、2段階認証の併用が効果的とされています。

2段階認証は、パスワードに加えて認証アプリのコードなど「もう1つの証明」を要求する仕組みで、パスワードが漏れても突破されにくくなります。パスキーは、パスワードそのものを使わず端末の生体認証などで署名する新しいログイン方式で、フィッシングに強いのが特長です。対応しているサービスでは、強いパスワード＋2段階認証、可能ならパスキーへの移行がおすすめです。

長さです。組み合わせの数は文字種を増やすより1文字長くするほうが大きく増えるため、「記号入り8文字」より「英数字だけの16文字」のほうがはるかに強くなります。目安として12文字以上、重要なアカウントは16文字以上を推奨します。記号が使えないサービスでも、長ささえ確保すれば十分な強度にできます。