パスワードポリシー検証
NIST SP 800-63B-4、OWASP ASVS、PCI DSS v4.0、または独自ルールでパスワードを検証。文字数、文字種、繰り返し、ブロックリスト、ユーザー名との一致を確認します。
0 = 上限なし
大文字・小文字・数字・記号のうち（0 = オフ）。
0 = オフ
0 = オフ
NIST SP 800-63B-4：唯一の認証要素として使うパスワードは 15 文字以上（多要素認証と併用する場合は 8 文字以上）、64 文字以上を許可、文字種の組み合わせルールは課さず、よく使われる・漏えいしたパスワードのブロックリストにあるものは拒否します。
辞書を 読み込み中…
パスワードポリシー検証とは？
ポリシーのプリセットを選ぶか独自のルールを定義してから、パスワードを入力すると、どのルールに合格し、どれに不合格かが正確に分かります。プリセットは、NIST SP 800-63B-4、OWASP ASVS 4.0、PCI DSS v4.0、従来の複雑性ルールに対応しています。
パスワードポリシー検証の使い方
- ポリシーのプリセットを選ぶか、ルールを調整します。ルールを変更するとカスタムに切り替わります。
- 必要に応じてユーザー名を入力し、「ユーザー名を含まない」ルールを確認します。
- パスワード欄にパスワードを入力します。
- 概要と、✓/✗のルール一覧を確認します。
例
PCI DSS v4.0 preset, password password123
Fails 1 of 3 rules. ✗ At least 12 characters, ✓ Contains a letter, ✓ Contains a digit (0–9)
パスワードポリシー検証を使うべき場面
特定の組織のルールをパスワードが満たしているか確認したり、ポリシーを比較したりするときに使います。確認するのはルールだけで、合格したパスワードでも弱かったり漏えいしていたりする場合があります。
パスワードポリシー検証の仕組み
有効な各ルールは独立して評価されます。Unicode文字数での最小/最大の長さ、大文字・小文字・英字・数字・記号（英数字以外のすべての文字）の有無、文字カテゴリの数、同一文字の最長連続数、異なる文字の数、スペース、zxcvbn-tsのよくあるパスワードリストでの検索、大文字小文字を区別しないユーザー名の一致です。
一般的な使用例
- 決済システムに設定する前のPCI DSSに対するパスワード確認
- NISTと従来の複雑性ルールの比較
- パスワードポリシーの実装中のエッジケースのテスト
- パスワードが拒否された理由のユーザーへの説明
よくある質問
NIST SP 800-63B-4は何を求めていますか？
単独の認証要素として使うパスワードは15文字以上（多要素認証と併用なら8文字以上）、64文字以上の入力を許可し、構成ルールを課さず、よくあるパスワードや漏えいしたパスワードのブロックリストにあるものを拒否することです。
PCI DSS v4.0は何を求めていますか？
要件8.3.6：12文字以上（システムが12文字に対応できない場合は8文字以上）で、数字と英字の両方を含むことです。
構成ルールが推奨されないのはなぜですか？
Password1!のような予測しやすいパターンに人を向かわせるうえ、実際の強度はほとんど上がらないためです。長さとブロックリストのほうが効果的です。