Zo gebruik je deze tool

Typ of plak het wachtwoord in het veld. Het is standaard verborgen; gebruik ‘Tonen’ om te controleren wat u hebt ingevoerd.
Bekijk de sterkteaanduiding, de entropiecijfers en de geschatte kraaktijd.
Bekijk de gevonden patronen en volg de tips om het wachtwoord moeilijker te raden te maken.

Hoe het werkt

De controle begint met de entropie op basis van de tekenset: het aantal mogelijke tekens (26 kleine letters, 26 hoofdletters, 10 cijfers, 33 ASCII-symbolen inclusief spatie en 100 voor elk ander teken, zoals letters met accenten of emoji) tot de macht van de lengte, uitgedrukt in bits als log2(tekenset) × lengte. Hierbij wordt ervan uitgegaan dat elk teken willekeurig is gekozen, wat zelden het geval is bij wachtwoorden die mensen zelf bedenken.

Daarna worden patronen gecontroleerd waar aanvallers als eerste naar zoeken. Voor elk gevonden patroon wordt alleen het aantal bits gerekend dat nodig is om dat patroon te raden: een ingebouwde lijst met de 1.000 meestgebruikte wachtwoorden, ongeveer 3.000 veelvoorkomende Engelse woorden en 600 veelvoorkomende voornamen (ook nadat leetspeak is teruggedraaid, zoals 4→a, 3→e, 0→o, $→s), toetsenbordreeksen zoals qwerty en asdf, reeksen zoals abc of 4321, herhaalde tekens of blokken, jaartallen van 1900 tot en met 2099 en datums zoals 12/05/1990 of 19900512. Het resultaat is de ‘schatting na patroonherkenning’. De methode is vergelijkbaar met de open-source schatter zxcvbn, maar eenvoudiger.

Bij de kraaktijd wordt uitgegaan van 10 miljard pogingen per seconde, ongeveer wat een paar moderne grafische kaarten halen bij een offline aanval op een snelle, niet-gezouten hash zoals MD5 of SHA-1, en van gemiddeld de helft van de resterende mogelijkheden die moet worden geprobeerd. Online aanvallen op een inlogformulier gaan veel langzamer; goed ingestelde trage hashes ook. Beschouw dit als een schatting van de orde van grootte, niet als een belofte. De controle weet niet of uw wachtwoord bij een datalek is verschenen.

Voorbeelden

Een wachtwoord dat er sterk uitziet

‘Summer2023!’ is 11 tekens lang en bevat alle vier tekentypen. De entropie op basis van de tekenset is daarom ongeveer 72 bits. De controle vindt het woord ‘Summer’ en het jaartal 2023; de schatting daalt naar ongeveer 22 bits: zeer zwak en offline in ruim minder dan een seconde te raden.

Leetspeak helpt niet

‘P@55w0rd’ wordt herkend als ‘password’ met vervangingen, een van de meestgebruikte wachtwoorden. Het krijgt de beoordeling zeer zwak, ongeacht hoeveel symbolen het bevat.

Een willekeurig wachtwoord

Een wachtwoord van 16 tekens uit een generator, zoals ‘v7#Qm!2pXr9$Lw4z’, bevat geen herkenbare patronen. De schatting komt overeen met de entropie op basis van de tekenset: ongeveer 105 bits. Dat wordt beoordeeld als zeer sterk.

Veelgestelde vragen

Is het veilig om hier mijn echte wachtwoord in te voeren?

De analyse wordt volledig in uw browser uitgevoerd met JavaScript op deze pagina. Het wachtwoord wordt niet naar een server verzonden, opgeslagen of opgenomen in analytics. U kunt ook een wachtwoord met dezelfde structuur controleren in plaats van uw echte wachtwoord.

Waarom is mijn wachtwoord zwakker dan het entropiecijfer doet vermoeden?

Bij entropie op basis van de tekenset wordt ervan uitgegaan dat elk teken willekeurig is. Woorden, namen, datums en toetsenbordpatronen worden als eerste geprobeerd door kraakprogramma’s. Daarom rekent de controle ze als veel makkelijker te raden. De ‘schatting na patroonherkenning’ houdt daar rekening mee.

Controleert dit of mijn wachtwoord is gelekt?

Nee. De controle vergelijkt het wachtwoord alleen met een ingebouwde lijst van 1.000 zeer veelvoorkomende wachtwoorden en schat in hoe makkelijk het te raden is. Voor controle op datalekken is een aparte dienst nodig. Kies dan een dienst die slechts een deel van de hash van het wachtwoord ontvangt.

Wat is een goed streefcijfer?

Streef voor de meeste accounts naar ‘sterk’ (na patroonherkenning 60 bits of meer). Streef voor het hoofdwachtwoord van een wachtwoordmanager of voor uw e-mailaccount naar ‘zeer sterk’ (80 bits of meer), bijvoorbeeld met een wachtwoordzin van zes willekeurige woorden.

Waarom geven verschillende sterktemeters verschillende resultaten?

Elke meter gebruikt eigen woordenlijsten, patroonregels en aannames over de snelheid van aanvallers. Eenvoudige meters tellen alleen tekentypen, waardoor ze wachtwoorden zoals ‘Password1!’ te sterk inschatten. Gebruik elke schatting als richtlijn, niet als exacte meting.

Privacy

Het wachtwoord wordt alleen in uw browser geanalyseerd. Het wordt niet geüpload, opgeslagen, gelogd of naar analytics verzonden; alleen wordt vastgelegd dat de tool anoniem is gebruikt. De lijsten met veelvoorkomende wachtwoorden en woorden maken deel uit van de pagina, dus er wordt niets online opgezocht.