使用方法
- 在输入框中输入或粘贴密码。密码默认隐藏；点击“显示”可查看输入内容。
- 查看强度等级、熵值和大致破解时间估算。
- 查看检测到的模式，并按照提示提高密码的猜测难度。
工作原理
此检测器首先计算字符集熵：可能使用的字符数量（26 个小写字母、26 个大写字母、10 个数字、包括空格在内的 33 个 ASCII 符号，以及其他任意字符（例如带重音符号的字母或表情符号）对应的 100 个字符）以密码长度为幂，再用 log2(pool) × length 表示为比特数。这个数值假设每个字符都是随机选择的，但人们自行设置的密码很少符合这一假设。
接下来，检测器会查找攻击者优先尝试的模式，并按猜中每种模式所需的比特数进行扣减：内置的 1,000 个最常见密码列表、约 3,000 个常见英文单词和 600 个常见名字（也会先还原 4→a、3→e、0→o、$→s 这类字符替换），qwerty 和 asdf 这类键盘连续按键，abc 或 4321 这类顺序字符，重复字符或字符块，1900 至 2099 年的年份，以及 12/05/1990 或 19900512 这类日期。得出的结果称为“模式调整后估算值”。这种方法的理念与开源的 zxcvbn 估算器类似，但更简单。
破解时间按每秒 100 亿次猜测计算，大致相当于几块现代显卡针对 MD5 或 SHA-1 这类快速、未加盐的哈希值进行离线攻击时的速度；同时假设平均需要尝试剩余可能性的二分之一。针对登录表单的在线攻击要慢得多；配置良好的慢哈希也会让攻击慢得多。请将此数值视为数量级估算，而非保证。此检测器无法得知你的密码是否出现在数据泄露事件中。
示例
一个看似“很强”的常见密码
“Summer2023!”有 11 个字符，且包含四种字符类型，因此字符集熵约为 72 比特。检测器会识别出单词“Summer”和年份 2023，估算值随之降至约 22 比特：非常弱，离线破解远不需要一秒。
字符替换并不能提升安全性
“P@55w0rd”会被识别为经过字符替换的“password”，这是最常见的密码之一。无论包含多少符号，它都会被评为非常弱。
随机密码
由生成器生成的 16 位密码，例如“v7#Qm!2pXr9$Lw4z”，没有可识别的模式。它的估算值与字符集熵一致，约为 105 比特，评级为非常强。
常见问题
在这里输入真实密码安全吗？
分析完全在此页面的浏览器中通过 JavaScript 运行。密码不会发送到服务器、保存或纳入分析统计。如果你愿意，也可以使用结构相同的密码进行检测，而不输入真实密码。
为什么我的密码强度低于熵值所显示的水平？
字符集熵假设每个字符都是随机的。破解工具会优先尝试单词、名字、日期和键盘输入模式，因此检测器会将这些内容视为更容易猜中的密码。“模式调整后估算值”反映了这一点。
此工具会检查我的密码是否已泄露吗？
不会。它只会与内置的 1,000 个极常见密码列表进行比对，并估算密码的可猜测程度。检查密码是否出现在泄露事件中需要使用单独的服务；如果使用这类服务，请选择只接收密码哈希部分内容的服务。
强度达到多少比较合适？
对于大多数账户，建议达到“强”（模式调整后 60 比特或以上）。对于密码管理器主密码或电子邮件账户，建议达到“非常强”（80 比特或以上），例如使用由六个随机单词组成的口令短语。
为什么不同的密码强度计量工具给出的结果不同？
不同强度计量工具使用的词表、模式规则和攻击速度假设各不相同。简单的计量工具只统计字符类型，因此会高估“Password1!”这类密码的强度。请将估算结果作为参考，而非精确测量值。
隐私
密码仅在你的浏览器中分析。它不会被上传、存储、记录或发送到分析服务；系统只会记录一条匿名的工具使用事件。常见密码列表和词表都包含在页面中，因此不会通过网络进行查询。