Come si usa
- Imposta la lunghezza con il cursore oppure inserisci un numero esatto di caratteri (4–128).
- Scegli i tipi di caratteri da includere. Modifica l’elenco dei simboli se un sito ne accetta solo alcuni.
- Se vuoi, escludi i caratteri simili tra loro e lascia attiva l’opzione «Usa almeno un carattere di ogni tipo selezionato» per i siti con requisiti di composizione.
- Copia una singola password oppure usa «Copia tutto» per copiare tutte le password, una per riga. Premi «Genera di nuovo» per crearne un nuovo gruppo.
Come funziona
Ogni carattere viene scelto con crypto.getRandomValues, il generatore di numeri casuali crittograficamente sicuro integrato nel browser. Math.random non viene mai usato. Per scegliere un carattere da un insieme di n caratteri, lo strumento estrae un numero casuale a 32 bit e scarta i valori che rientrano nel piccolo intervallo residuo oltre il multiplo più grande di n. Questo campionamento con rifiuto evita la distorsione del modulo, perciò tutti i caratteri dell’insieme hanno esattamente la stessa probabilità di essere scelti.
Quando è attiva l’opzione «Usa almeno un carattere di ogni tipo selezionato», lo strumento sceglie prima un carattere per ogni tipo selezionato, riempie le posizioni rimanenti usando l’insieme combinato e poi mescola tutte le posizioni con l’algoritmo Fisher–Yates, usando la stessa fonte casuale priva di distorsioni. In questo modo i caratteri garantiti non compaiono sempre all’inizio.
L’entropia è calcolata come log2(numero di caratteri possibili) × lunghezza. Una password di 16 caratteri con tutti gli 89 caratteri predefiniti ha circa 103 bit di entropia; una di 20 caratteri ne ha circa 129. L’opzione «Usa almeno un carattere di ogni tipo» riduce leggermente il numero di password possibili, quindi l’entropia effettiva è un po’ inferiore a quella indicata. Le etichette sono indicative: meno di 28 bit è molto debole, 28–39 debole, 40–59 discreta, 60–99 forte e 100 o più molto forte. L’entropia descrive solo password generate casualmente come queste; non dice nulla sulle password inventate da una persona.
Esempi
Una password da salvare nel gestore di password
Mantieni le impostazioni predefinite (20 caratteri, tutti e quattro i tipi). Il risultato ha circa 129 bit di entropia, un valore ben oltre ciò che si può indovinare, e il gestore di password la ricorderà per te.
Un sito che non accetta alcuni simboli
Se una banca accetta solo !@#$%, sostituisci l’elenco dei simboli con questi cinque caratteri. L’insieme scende a 67 caratteri, quindi una password di 16 caratteri ha comunque circa 97 bit.
Una password Wi-Fi da digitare sulla TV
Disattiva i simboli ed escludi i caratteri simili tra loro. Senza I, l, 1, O, 0 e o, una password di 16 caratteri composta dalle 56 lettere e cifre rimanenti è facile da leggere ad alta voce e ha comunque circa 93 bit.
Domande frequenti
Quanto dovrebbe essere lunga la mia password?
Per gli account protetti da un gestore di password, bastano 16–20 caratteri casuali. Se devi digitare spesso la password, una password più lunga composta solo da lettere e cifre è più facile da inserire e può essere altrettanto sicura di una più corta con simboli.
È sicuro generare password su un sito web?
Questa pagina crea le password interamente nel browser, usando la fonte casuale sicura del sistema operativo. Non vengono inviate a un server, salvate né incluse nelle analisi. Dopo aver caricato la pagina puoi disconnetterti da Internet: continuerà a funzionare.
Perché escludere i caratteri simili riduce l’entropia?
L’entropia dipende dal numero di caratteri che possono occupare ogni posizione. Rimuovendo caratteri, l’insieme si riduce e ogni carattere aggiunge un po’ meno entropia. Basta aumentare leggermente la lunghezza per compensare.
Che cosa significa «distorsione del modulo» e perché è importante?
Un generatore semplice prende un numero casuale e usa il resto della divisione per il numero di caratteri dell’insieme. Se la dimensione dell’insieme non divide esattamente l’intervallo dei numeri casuali, alcuni caratteri vengono scelti un po’ più spesso. Questo strumento scarta la parte residua non uniforme ed esegue una nuova estrazione, così tutti i caratteri hanno la stessa probabilità di essere scelti.
Privacy
Le password vengono generate nel browser con crypto.getRandomValues. Non vengono caricate, salvate, registrate né inviate ai servizi di analisi; viene registrato solo un evento anonimo che segnala l’uso dello strumento. Per copiare si usa gli appunti del dispositivo.