Riferimento dell'API delle password

Gli endpoint

Tutto pende da https://api.password.es. Due rispondono e uno non ancora — e quello lo dice nella propria risposta.

• POST/v1/generate Genera una o più password e ne restituisce l'analisi.
• GET/openapi.json La descrizione dell'API, in OpenAPI 3.1.
• POST/mcp Server MCP per assistenti. Uno strumento: generate_password.
• POST/v1/check 501 Non esiste ancora. L'errore dice che cosa manca e dove andare nel frattempo.

Generare una password

Il corpo è facoltativo: senza, escono 16 caratteri con tutti e quattro i tipi attivi. Con, quello che chiedi.

curl -X POST https://api.password.es/v1/generate \
  -H 'content-type: application/json' \
  -d '{"length":20,"exclude_ambiguous":true}'

{
  "passwords": [
    "P#f.aK+w4pcsx]}Gx;*>"
  ],
  "analysis": {
    "length": 20,
    "pool": 83,
    "bits": 127.50078862693852,
    "log10_guesses": 38.08053185185735,
    "crack_time_log10_seconds": 26.08053185185735,
    "crack_time": {
      "value": "3.8 × 10¹⁸",
      "unit": "years"
    },
    "level": 4,
    "level_scale": "time",
    "ceiling": false
  },
  "notice": "Generated on someone else's machine, which is a security antipattern even though we store nothing. For a password you will actually use, the generator at https://password.es/en/ runs entirely in your browser and sends nothing.",
  "_meta": {
    "plan": "anonymous",
    "lang": {
      "messages": "en",
      "links": "en"
    },
    "limits": {
      "burst": {
        "limit": 60,
        "window_seconds": 60
      }
    },
    "quota": {
      "limit": null,
      "remaining": null,
      "reset": "2026-09-01T00:00:00.000Z"
    },
    "docs": "https://password.es/api/"
  }
}

I parametri

Tutti facoltativi. La tabella è in inglese ed è identica in tutte e diciotto le lingue, di proposito: chi integra un'API scrive i nomi dei campi esattamente come sono, e diciotto traduzioni di exclude_ambiguous sarebbero debito, non portata.

Che cosa significa ogni numero

Stessa idea: il riferimento in inglese, la spiegazione accanto. Nessuno di questi numeri è nuovo — escono tutti dallo stesso motore che disegna l'indicatore in home page.

La lingua della risposta

Per impostazione predefinita risponde in inglese, che è ciò che si aspetta chi integra senza dire nulla. Si cambia in tre modi, e se sono in disaccordo vince il primo: ?lang= nell'URL, "lang" nel corpo e l'intestazione Accept-Language.

Qui c'è un'asimmetria che conviene conoscere: i messaggi esistono in inglese e spagnolo; i link, in tutte e diciotto le lingue del sito. Chiedere il tedesco dà link in tedesco e messaggi ancora in inglese.

curl -X POST 'https://api.password.es/v1/generate?lang=de' \
  -H 'content-type: application/json' \
  -d '{"length":20}'

"_meta": {
  "lang": { "messages": "en", "links": "de" }
}

Non serve indovinare: ogni risposta dichiara in _meta.lang che cosa è stato applicato a ciascuna metà. E una lingua che non esiste non è un errore — ricade sull'inglese, e _meta.lang lo dice.

Controllare una password: non ancora

/v1/check restituisce 501. Non è un bug né una dimenticanza: è voluto, e la risposta spiega che cosa manca e dove andare nel frattempo. checker_url punta al controllo del sito nella lingua che hai chiesto.

curl -X POST https://api.password.es/v1/check \
  -H 'content-type: application/json' \
  -d '{"password":"x"}'

{
  "error": "not_implemented",
  "message": "/v1/check does not exist yet. Returning the same numbers as the password.es checker requires its very same pattern engine, and that costs between 11 ms and 3.6 s of CPU per request depending on the input: it is waiting on a plan cap decision and on a length cap. Meanwhile the web checker does exactly this in your browser, sending nothing: https://password.es/en/checker/",
  "checker_url": "https://password.es/en/checker/",
  "docs": "https://password.es/api/",
  "_meta": { "…": "igual que arriba" }
}

Gli errori

Hanno tutti la stessa forma: un error breve per il codice, un message in chiaro —è quello che un assistente di IA legge al suo utente—, a volte il field che l'ha causato, un docs e lo stesso _meta di sempre.

I limiti

Uno solo, ed è quello che viene davvero applicato: 60 richieste al minuto per IP. Non serve credere a questa pagina: il numero viaggia in ogni risposta, dentro _meta.limits.burst.

Superandolo, la risposta è un 429 con Retry-After e intestazioni RateLimit-*, più un messaggio in chiaro che dice che cosa fare. Non contiene link a registrazione o prezzi, perché non ci sono né registrazione né prezzi.

In _meta c'è anche un blocco quota con entrambi i valori a null. È voluto: è lo spazio riservato a quando esisteranno gli account, ed è vuoto perché oggi nessuno conta le richieste al giorno. Un limite annunciato e non fatto rispettare è peggio che non annunciarne nessuno.

Il server MCP

MCP è il protocollo con cui assistenti come Claude o ChatGPT usano strumenti esterni. Collega questo indirizzo al tuo assistente e genererà password con questi stessi numeri invece di inventarle. Senza registrazione e senza chiave, con lo stesso limite di 60 richieste al minuto.

È un server senza stato, ed è bene saperlo se vieni da altri server MCP: il POST riceve una risposta JSON senza aprire alcuno stream, Mcp-Session-Id non viene emesso né atteso, una notifica riceve 202 senza corpo, e il GET restituisce 405. La specifica 2025-06-18 lo consente esplicitamente.

curl -X POST https://api.password.es/mcp \
  -H 'content-type: application/json' \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/call",
       "params":{"name":"generate_password",
                 "arguments":{"length":20,"lang":"es"}}}'

Pubblica un solo strumento, generate_password, con gli stessi parametri della tabella qui sopra più lang. Non c'è check_password_strength e non ci sarà finché /v1/check non esisterà: uno strumento che restituisce sempre un errore non è uno strumento, è una promessa rotta nel catalogo di un assistente.

L'avviso che questo è un antipattern viaggia nella descrizione dello strumento e in ogni risultato. È deliberato: è ciò che l'assistente finisce per leggere a chi ha chiesto la password.

La documentazione che leggono le macchine

Oltre a questa pagina c'è una descrizione in OpenAPI 3.1, e quella sì è pubblicata: api.password.es/openapi.json. È ciò che legge un generatore di client, un editor con autocompletamento o un agente che voglia sapere quali campi esistono senza che glielo dica nessuno. Descrive gli stessi parametri della tabella qui sopra, i codici d'errore e il perché del quota vuoto.