使い方

入力欄にパスワードを入力または貼り付けます。初期設定では非表示です。「表示」を使うと、入力内容を確認できます。
強度の判定、エントロピーの数値、解読時間の概算を確認します。
検出されたパターンを確認し、ヒントに従って推測されにくいパスワードにしてください。

仕組み

まず、文字セットのエントロピーを計算します。使用可能な文字数（小文字26文字、大文字26文字、数字10文字、スペースを含むASCII記号33文字、アクセント付き文字や絵文字などのその他の文字は100文字）を文字数乗し、log2（文字セットの文字数）×文字数でビット数に換算します。この値は、すべての文字がランダムに選ばれたと仮定したものですが、自分で考えたパスワードでは、そのようなケースはほとんどありません。

次に、攻撃者が最初に試すパターンを探し、見つかった各パターンを推測するのに必要なビット数だけを残します。対象となるのは、よく使われるパスワード1,000件、よく使われる英単語約3,000語と一般的な名前600件（4→a、3→e、0→o、$→sのようなleet表記を元に戻した場合も含む）、qwertyやasdfのようなキーボード上の並び、abcや4321のような連番、同じ文字や文字列の繰り返し、1900～2099年の年号、12/05/1990や19900512のような日付です。その結果が「パターンを考慮した推定値」です。手法はオープンソースのzxcvbn推定器と基本的な考え方は似ていますが、より簡易的です。

解読時間は、1秒あたり100億回の試行を前提としています。これは、MD5やSHA-1のような高速なソルトなしハッシュへのオフライン攻撃で、最新のグラフィックカード数枚を使った場合におおむね相当する速度です。また、平均して残りの候補の半数を試す必要があると仮定しています。ログインフォームへのオンライン攻撃ははるかに遅く、適切に設定された低速ハッシュも同様に大幅に遅くなります。この値は目安として扱い、確約された数値とは考えないでください。このチェッカーでは、パスワードがデータ侵害で流出したことがあるかどうかは確認できません。

使用例

強そうに見える典型的なパスワード

「Summer2023!」は11文字で、4種類すべての文字を含むため、文字セットのエントロピーは約72ビットです。チェッカーは「Summer」という単語と年号の2023を検出し、推定値は約22ビットまで下がります。強度は非常に弱く、オフラインでは1秒もかからず推測される可能性があります。

leet表記にしても安全性は高まらない

「P@55w0rd」は置き換えを含む「password」と認識されます。これは最もよく使われるパスワードの一つです。記号がいくつ含まれていても、強度は非常に弱いと判定されます。

ランダムなパスワード

「v7#Qm!2pXr9$Lw4z」のような、生成ツールで作った16文字のパスワードには、検出可能なパターンがありません。推定値は文字セットの値と同じ約105ビットで、強度は非常に強いと判定されます。

よくある質問

ここに実際のパスワードを入力しても安全ですか？

このページのJavaScriptにより、分析はすべてブラウザー内で行われます。パスワードがサーバーに送信されたり、保存されたり、アクセス解析に含まれたりすることはありません。必要であれば、実際のパスワードではなく、同じ構成のパスワードを使って確認してください。

エントロピーの数値よりもパスワードが弱く判定されるのはなぜですか？

文字セットのエントロピーは、すべての文字がランダムだと仮定します。単語、名前、日付、キーボード上のパターンは解読ツールで早い段階に試されるため、チェッカーでは推測がずっと簡単なものとして扱われます。「パターンを考慮した推定値」はその点を反映しています。

パスワードが流出したかどうかも確認できますか？

いいえ。非常によく使われるパスワード1,000件のリストと照合し、推測されやすさを推定するだけです。流出の確認には別のサービスが必要です。利用する場合は、パスワードのハッシュの一部だけを受け取るサービスを選んでください。

どの程度の強度を目指せばよいですか？

ほとんどのアカウントでは、「強い」（パターンを考慮して60ビット以上）を目指してください。パスワードマネージャーのマスターパスワードやメールアカウントには、「非常に強い」（80ビット以上）を目指しましょう。たとえば、ランダムな単語6つを使ったパスフレーズが適しています。

強度チェッカーによって結果が異なるのはなぜですか？

強度チェッカーによって、使用する単語リスト、パターンのルール、攻撃速度の想定が異なります。文字の種類だけを数える簡易的なものでは、「Password1!」のようなパスワードが実際より強く評価されます。どの推定値も正確な測定値ではなく、目安として利用してください。

プライバシー

パスワードの分析はブラウザー内でのみ行われます。アップロード、保存、記録、アクセス解析への送信はされません。記録されるのは、このツールが使われたことを示す匿名イベントのみです。よく使われるパスワードと単語のリストはページに含まれているため、ネットワーク経由での照合は行いません。