パスワード強度チェッカー
zxcvbn-tsでパスワードの強度を判定。0〜4のスコア、推定試行回数、4種類の攻撃シナリオでの解読時間、具体的な改善案を表示します。入力内容は送信されません。
上にパスワードを入力すると分析します。どこにも送信されません。
すべてブラウザ内で実行されます。データがアップロードされることはありません。
パスワード強度チェッカーとは？
DropboxのzxcvbnをメンテナンスされているTypeScriptに移植したzxcvbn-tsを使い、パスワードの推測されにくさを見積もります。文字種を数えるのではなく、辞書の単語、名前、キーボードパターン、日付、繰り返しを探し、0〜4のスコア、推定試行回数、解読時間、アドバイスを表示します。
パスワード強度チェッカーの使い方
- パスワード欄にパスワードを入力または貼り付けます（表示で内容を確認できます）。
- 強度のラベルとzxcvbn スコアを確認します。
- オンライン攻撃とオフライン攻撃それぞれの解読時間を比較します。
- 警告と提案に従ってパスワードを改善します。
例
Tr0ub4dor&3
Weak – zxcvbn score 1/4, 10^5.9 guesses, about 1 minute against a slow-hash offline attack. Warning: Single words are easy to guess.
パスワード強度チェッカーを使うべき場面
自分で考えたパスワードを評価したり、「P@ssw0rd!」がなぜ弱いのかをユーザーに説明したりするときに使います。パスワードが漏えいしたかどうかは分からないため、その確認には漏えいチェッカーを使ってください。共有PCや信頼できないPCでは、現在使っているパスワードを貼り付けないでください。
パスワード強度チェッカーの仕組み
zxcvbn-tsは、パスワードをよくあるパスワード、英単語、名前、Wikipediaのリスト（leet表記や逆順の変形を含む）、キーボード隣接グラフ、連続文字、繰り返し、日付と照合し、必要な試行回数が最も少ないパターンの組み合わせを探します。スコアのしきい値は、試行回数が<10^3なら0、<10^6なら1、<10^8なら2、<10^10なら3、それ以上なら4です。解読時間は、試行回数を毎時100回（回数制限ありのオンライン）、毎秒10回（制限なしのオンライン）、毎秒10^4回（bcryptなどの低速ハッシュ）、毎秒10^10回（MD5などの高速ハッシュ）で割って求めます。辞書は最初に入力したときにだけ読み込まれます。
一般的な使用例
- 自分で決めたパスワードを使う前の確認
- よくある置き換えが効果的でないことの同僚への説明
- パスフレーズと複雑な短いパスワードの比較
- 研修でのパスワードセキュリティの解説
セキュリティ注意事項
高いスコアは見積もりであり、保証ではありません。どこかで漏えいしたパスワードは、スコアにかかわらず決して再利用しないでください。
よくある質問
なぜTr0ub4dor&3は弱いと判定されるのですか？
zxcvbnはこれを、予測しやすいleet置き換えを含む辞書の単語として認識します。記号や数字が入っていても、必要な試行回数は約10^6回にすぎません。
4つの解読時間は何を表していますか？
回数制限のあるオンライン攻撃、制限のないオンライン攻撃、そしてデータベース漏えい後の低速（bcryptのような）または高速（MD5のような）ハッシュに対するオフライン攻撃です。
パスワードはどこかに送信されますか？
いいえ。分析はブラウザ内で実行され、このサイトからダウンロードされるのは辞書だけです。
どのスコアを目指すべきですか？
重要なものにはスコア4（10^10回超の試行）を目指してください。長いランダムなパスフレーズなら簡単に到達します。