どのアルゴリズムを使っていますか
zxcvbn です。単語・名前・都市・日付・キーボードの並びの辞書であなたのパスワードを照合し、何回の試行で当てられるかを見積もるオープンソースのライブラリです。以前は PasswordMeter（2006）を使っていました。文字の種類の多さを数える方式で、Password1! を「非常に強い」と呼び、五語のランダムな語句を「非常に弱い」としていました。ちょうど逆です。
セキュリティチェッカー
パスワードを詳しく分析
大文字や記号の数は数えません。あなたのパスワードを単語・名前・都市・日付・キーボードの並びの辞書と照合し、実際に何回の試行で当てられるかを見積もります。
解析はすべてブラウザー内で完結します。データを送信・保存することはありません。
パスワードは初期設定で非表示です。横のボタンで表示／非表示を切り替えられます。
判定はパーセントではなく、時間から出しています。
—
総当たりで破るのにかかる時間
—
- 必要な試行回数
- —
- 使っている文字集合
- 0 文字
- 長さ
- 0 文字
あなたのパスワードから見つかったもの
- 上にパスワードを入力すると解析します。
既知のパターンが見つからなかったので、この数値は上限です。パスワードが本当にランダムなら成り立ちますが、ご自身で考えたものなら、実際はかなり低い可能性が高いです。
総当たりは毎秒 1012 回の試行を前提としています。高速ハッシュに対するオフライン攻撃の規模であり、ジェネレーターと同じモデルです。bcrypt や Argon2 のような低速ハッシュに対しては、この数値は桁違いに大きくなります。
これがどう動くか、そして何を知り得ないか
流出パスワード・単語・名前・姓・都市・日付・キーボードの並びの辞書と照合し、逆から書く、a を @ に置き換えるといった常套手段も見抜きます。オープンソースの zxcvbn-ts を、すべてブラウザ内で実行しています。
知り得ないこと：パターンが見つかれば、その数値は信頼できます。そのパターンこそ攻撃者が使う近道だからです。見つからなければ、数値は上限にすぎません。あなたのパターンを知らないという意味であって、存在しないという意味ではありません。
だからこのサイトで唯一正確な数値はジェネレーターにあります。あちらは機械がランダムに作るので、組み合わせの数が正確に分かります。ここでは見積もることしかできません。
パスワードをどこにも送りませんし、保存もしません。ネットワークを通るのは解析エンジンだけで、入力を始めたときに読み込まれます。
評価の読み方
判定は、破るのにかかる時間から出ています。文字の種類の多さに点を足した合計ではありません。「非常に弱い」はオフライン攻撃に対して一秒未満、「非常に強い」は十万年以上という意味です。それでも、パスワードは決して使い回さず、まともな管理ツールに頼ってください。
文字は混ぜ、予測しやすい並び（1234、qwerty、個人的な日付）は避けてください。オレンジの注意が出たら読んでください。あなたの鍵を本当に弱くしているものを指しています。