Så här använder du det

Skriv eller klistra in lösenordet i rutan. Det är dolt som standard; använd ”Visa” för att kontrollera vad du skrev.
Läs styrkebeteckningen, entropisiffrorna och den grova uppskattningen av knäckningstiden.
Titta på mönstren som hittades och följ tipsen för att göra lösenordet svårare att gissa.

Så fungerar det

Kontrollen börjar med teckenpoolentropi: antalet möjliga tecken (26 gemener, 26 versaler, 10 siffror, 33 ASCII-symboler inklusive mellanslag, och 100 för alla andra tecken som bokstäver med accenter eller emoji) upphöjt till längden, uttryckt i bitar som log2(pool) × längd. Den siffran förutsätter att varje tecken valdes slumpmässigt, vilket sällan stämmer för lösenord som människor hittar på.

Sedan letar den efter mönster som angripare prövar först och räknar varje matchande del som endast de bitar som behövs för att gissa mönstret: en inbyggd lista med de 1 000 vanligaste lösenorden, cirka 3 000 vanliga engelska ord och 600 vanliga förnamn (även efter att leetspeak som 4→a, 3→e, 0→o, $→s har rullats tillbaka), tangentbordsserier som qwerty och asdf, sekvenser som abc eller 4321, upprepade tecken eller block, årtal från 1900 till 2099 samt datum som 12/05/1990 eller 19900512. Resultatet är ”uppskattningen efter mönster”. Metoden liknar i grunden den öppna källkods-estimeraren zxcvbn, men är enklare.

Knäcktiden utgår från 10 miljarder gissningar per sekund, ungefär vad några moderna grafikkort uppnår mot en snabb, osaltad hash som MD5 eller SHA-1 i en offlineattack, och från att hälften av de återstående möjligheterna i genomsnitt måste prövas. Onlineattacker mot ett inloggningsformulär är mycket långsammare; välkonfigurerade långsamma hashfunktioner är också mycket långsammare. Se siffran som en storleksordning, inte ett löfte. Kontrollen vet inte om ditt lösenord har förekommit i ett dataintrång.

Exempel

Ett typiskt lösenord som ser starkt ut

”Summer2023!” har 11 tecken och alla fyra teckentyper, så dess teckenpoolentropi är cirka 72 bitar. Kontrollen hittar ordet ”Summer” och årtalet 2023, och uppskattningen sjunker till ungefär 22 bitar: mycket svagt, gissningsbart på långt under en sekund offline.

Leetspeak hjälper inte

”P@55w0rd” identifieras som ”password” med substitutioner, vilket är ett av de vanligaste lösenorden. Det bedöms som mycket svagt oavsett hur många symboler det innehåller.

Ett slumpmässigt lösenord

Ett lösenord med 16 tecken från en generator, som ”v7#Qm!2pXr9$Lw4z”, har inga upptäckbara mönster. Dess uppskattning motsvarar teckenpoolens värde på cirka 105 bitar, vilket bedöms som mycket starkt.

Vanliga frågor

Är det säkert att skriva mitt riktiga lösenord här?

Analysen sker helt i din webbläsare med JavaScript på den här sidan. Lösenordet skickas inte till en server, sparas inte och inkluderas inte i webbanalys. Om du föredrar kan du testa ett lösenord med samma struktur i stället för det riktiga.

Varför är mitt lösenord svagare än vad entropisiffran antyder?

Teckenuppsättningens entropi antar att varje tecken är slumpmässigt. Ord, namn, datum och tangentbordsmönster testas tidigt av knäckverktyg, så kontrollen räknar dem som mycket lättare att gissa. Siffran ”uppskattning efter mönster” speglar det.

Kontrollerar det här om mitt lösenord har läckt?

Nej. Verktyget jämför bara mot en inbyggd lista med 1 000 mycket vanliga lösenord och uppskattar hur lätt det är att gissa. En kontroll av läckta lösenord kräver en separat tjänst; om du använder en sådan, välj en som bara tar emot en del av lösenordets hash.

Vad är ett bra riktmärke?

För de flesta konton: sikta på ”starkt” (60 bitar eller mer efter mönster). För huvudlösenordet i en lösenordshanterare eller för e-postkontot: sikta på ”mycket starkt” (80 bitar eller mer), till exempel en lösenfras med sex slumpmässiga ord.

Varför ger olika styrkemätare olika resultat?

Varje mätare använder sina egna ordlistor, mönsterregler och antaganden om angreppshastighet. Enkla mätare räknar bara teckentyper, vilket överskattar lösenord som ”Password1!”. Använd varje uppskattning som vägledning snarare än som ett exakt mått.

Integritet

Lösenordet analyseras endast i din webbläsare. Det laddas inte upp, sparas inte, loggas inte och skickas inte till webbanalys; endast en anonym händelse om att verktyget användes registreras. Listorna över vanliga lösenord och ord är en del av sidan, så ingen uppslagning görs över nätverket.