Як користуватися

Введіть або вставте пароль у поле. За замовчуванням він прихований; натисніть «Показати», щоб перевірити введене.
Перегляньте рівень надійності, значення ентропії та приблизний час зламу.
Перегляньте знайдені шаблони й скористайтеся порадами, щоб пароль було складніше вгадати.

Як це працює

Спочатку перевірка обчислює ентропію набору символів: кількість можливих символів (26 малих літер, 26 великих літер, 10 цифр, 33 символи ASCII, включно з пробілом, і 100 для будь-якого іншого символу, наприклад літер із діакритичними знаками чи емодзі), піднесену до степеня, що дорівнює довжині пароля, і виражену в бітах за формулою log2(набір) × довжина. Це значення передбачає, що кожен символ вибрано випадково, але для паролів, які люди вигадують самостійно, так буває рідко.

Далі перевірка шукає шаблони, які зловмисники перевіряють насамперед, і враховує для кожного відповідного фрагмента лише кількість бітів, потрібну для його вгадування: вбудований список із 1000 найпоширеніших паролів, приблизно 3000 поширених англійських слів і 600 популярних імен (також після заміни цифр і символів літерами, як-от 4→a, 3→e, 0→o, $→s), послідовності клавіш на клавіатурі, як-от qwerty і asdf, послідовності на зразок abc або 4321, повторення символів чи блоків, роки з 1900 до 2099 і дати на зразок 12/05/1990 або 19900512. Результат називається «оцінкою з урахуванням шаблонів». Метод за принципом схожий на оцінювач із відкритим кодом zxcvbn, але простіший.

Під час оцінювання часу зламу передбачається, що зловмисник може робити 10 мільярдів спроб за секунду — приблизно стільки можуть виконувати кілька сучасних відеокарт проти швидкого хешу без солі, як-от MD5 або SHA-1, під час офлайн-атаки, — і що в середньому потрібно перевірити половину можливих варіантів. Онлайн-атаки на форму входу відбуваються набагато повільніше; добре налаштовані повільні хеші — теж. Сприймайте це значення як приблизну оцінку порядку величини, а не як гарантію. Перевірка не знає, чи з’являвся ваш пароль у витоку даних.

Приклади

Типовий пароль, який здається надійним

У паролі «Summer2023!» 11 символів і представлені всі чотири типи символів, тому ентропія набору символів становить приблизно 72 біти. Перевірка знаходить слово «Summer» і рік 2023, тож оцінка знижується приблизно до 22 бітів: пароль дуже слабкий, його можна вгадати офлайн менш ніж за секунду.

Заміна літер символами не допомагає

«P@55w0rd» розпізнається як «password» із замінами символів. Це один із найпоширеніших паролів. Його оцінка — «дуже слабкий», незалежно від кількості символів у ньому.

Випадковий пароль

Пароль із 16 символів, згенерований, наприклад, генератором («v7#Qm!2pXr9$Lw4z»), не містить виявлених шаблонів. Його оцінка дорівнює приблизно 105 бітам — значенню ентропії набору символів. Такий пароль вважається дуже надійним.

Поширені запитання

Чи безпечно вводити тут справжній пароль?

Аналіз виконується повністю у вашому браузері за допомогою JavaScript на цій сторінці. Пароль не надсилається на сервер, не зберігається й не передається в аналітику. За бажанням перевірте пароль із такою самою структурою замість справжнього.

Чому пароль слабший, ніж випливає зі значення ентропії?

Ентропія набору символів передбачає, що кожен символ вибрано випадково. Засоби для зламу насамперед перевіряють слова, імена, дати й шаблони клавіатури, тому перевірка вважає їх набагато легшими для вгадування. Це враховано в значенні «оцінка з урахуванням шаблонів».

Чи перевіряє інструмент, чи потрапив мій пароль у витік?

Ні. Перевірка лише порівнює пароль із вбудованим списком із 1000 дуже поширених паролів і оцінює, наскільки легко його вгадати. Для перевірки витоків потрібен окремий сервіс; якщо користуєтеся таким, виберіть той, якому передається лише частина хешу пароля.

Який рівень надійності вважати достатнім?

Для більшості облікових записів обирайте рівень «надійний» (від 60 бітів з урахуванням шаблонів). Для головного пароля менеджера паролів або облікового запису електронної пошти обирайте рівень «дуже надійний» (від 80 бітів), наприклад парольну фразу із шести випадкових слів.

Чому різні індикатори надійності показують різні результати?

Кожен індикатор використовує власні списки слів, правила виявлення шаблонів і припущення щодо швидкості зловмисника. Прості індикатори лише підраховують типи символів, через що завищують надійність паролів на зразок «Password1!». Сприймайте будь-яку оцінку як орієнтир, а не точний вимір.

Конфіденційність

Пароль аналізується лише у вашому браузері. Він не завантажується, не зберігається, не реєструється в журналах і не передається в аналітику; записується лише анонімна подія про використання інструмента. Списки поширених паролів і слів вбудовані у сторінку, тож запити до мережі не виконуються.