使用方式
- 在輸入框中輸入或貼上密碼。密碼預設會隱藏；按一下「顯示」即可確認輸入內容。
- 查看強度標籤、熵值和大致的破解時間估算。
- 查看找到的模式，並依照提示讓密碼更難猜中。
運作方式
檢查器會先計算字元集合熵：可能的字元數量（26 個小寫字母、26 個大寫字母、10 個數字、包含空格在內的 33 個 ASCII 符號，以及其他字元，例如重音字母或表情符號，則計為 100 個）以長度為次方，再以 log2(字元集合大小) × 長度換算成位元。這個數值假設每個字元都是隨機選取的，但人們自訂的密碼很少符合這個假設。
接著，檢查器會搜尋攻擊者優先嘗試的模式，並依照猜中各個模式所需的位元數扣除分數：內建的 1,000 個最常見密碼清單、約 3,000 個常見英文單字和 600 個常見名字（也會還原 leetspeak 替代字元，例如 4→a、3→e、0→o、$→s）、qwerty 和 asdf 等鍵盤連續按鍵、abc 或 4321 等數列、重複字元或區塊、1900 至 2099 年的年份，以及 12/05/1990 或 19900512 等日期。結果即為「模式分析後的估算值」。此方法的概念與開放原始碼的 zxcvbn 估算器類似，但較為簡化。
破解時間假設攻擊者每秒可嘗試 100 億次，這大約是幾張現代顯示卡在離線攻擊中破解 MD5 或 SHA-1 等快速、未加鹽雜湊值的速度；同時假設平均需要嘗試剩餘可能組合的一半。針對登入表單的線上攻擊速度慢得多；設定妥當的慢速雜湊也會讓破解速度慢得多。請將此數值視為大致量級，而非保證。檢查器無法得知您的密碼是否曾出現在資料外洩事件中。
範例
看起來很強的常見密碼
「Summer2023!」有 11 個字元，並包含四種字元類型，因此字元集合熵約為 72 位元。檢查器會找出單字「Summer」和年份 2023，估算值因此降至約 22 位元：強度非常弱，離線攻擊不到一秒就能猜中。
使用 leetspeak 沒有幫助
「P@55w0rd」會被辨識為替換字元版本的「password」，而「password」是最常見的密碼之一。無論包含多少符號，評級都是非常弱。
隨機密碼
由密碼產生器產生的 16 字元密碼，例如「v7#Qm!2pXr9$Lw4z」，沒有可偵測的模式。其估算值與字元集合數值相同，約為 105 位元，評級為非常強。
常見問題
在這裡輸入真正的密碼安全嗎？
分析完全在此頁面的瀏覽器中以 JavaScript 執行。密碼不會傳送到伺服器、儲存或納入分析資料。如果您比較放心，也可以使用結構相同的密碼來檢查，而不輸入真正的密碼。
為什麼我的密碼比熵值顯示的還弱？
字元集合熵假設每個字元都是隨機的。破解工具會優先嘗試單字、名字、日期和鍵盤輸入模式，因此檢查器會將這些內容視為更容易猜中的組合。「模式分析後的估算值」會反映這點。
這項檢查會確認我的密碼是否外洩嗎？
不會。檢查器只會比對內建的 1,000 個非常常見密碼清單，並估算密碼被猜中的難易度。檢查密碼是否外洩需要使用其他服務；如果您要使用，請選擇只接收部分密碼雜湊值的服務。
密碼強度設定多少比較理想？
大多數帳戶建議達到「強」（模式分析後為 60 位元以上）。密碼管理工具的主密碼或電子郵件帳戶，建議達到「非常強」（80 位元以上），例如由六個隨機單字組成的密語。
為什麼不同的密碼強度計算器會得出不同結果？
不同強度計算器使用的單字清單、模式規則和攻擊者速度假設各不相同。簡單的計算器只會計算字元類型，因此容易高估「Password1!」這類密碼的強度。請將估算值作為參考，而非精確測量結果。
隱私權
密碼只會在您的瀏覽器中分析，不會上傳、儲存、記錄或傳送至分析服務；系統只會記錄一筆匿名的工具使用事件。常見密碼和單字清單都包含在此頁面中，因此不會透過網路查詢。