強いパスワードを作る方法
- 長さのスライダーを4〜64文字の範囲で動かします。動かしている間に新しいパスワードが表示されます。
- 文字の種類を選びます：A–Z、a–z、0–9、記号。オンにした種類は必ず1文字以上含まれるので、「大文字・数字・記号をそれぞれ1文字以上」と求めるサイトにも通ります。すべてオフにすると、小文字が自動的にオンに戻ります。
- パスワードを読み上げたり、紙を見て入力したりする可能性があるなら、紛らわしい文字を使わないをオンにします。
- コピーを押して、登録フォームとパスワードマネージャーに貼り付けます。↻で別のパスワードを作り、パスワードを10個生成ではすべてコピーボタン付きの一覧ができます。
パスワードの下の色付きバーと表示は、長さと文字の種類の数から強度を見積もったものです。
各オプションに含まれる文字
| 種類 | 文字 | 数 |
|---|---|---|
| A–Z | ABCDEFGHIJKLMNOPQRSTUVWXYZ | 26 |
| a–z | abcdefghijklmnopqrstuvwxyz | 26 |
| 0–9 | 0123456789 | 10 |
| 記号 | !@#$%^&*()-_=+[]{};:,.?/~ | 25 |
4種類すべてをオンにすると、使う文字は87種類です。紛らわしい文字を使わない設定では I、l、1、O、0、o が除かれ、81種類になります。引用符、バックスラッシュ、スペース、バッククォートは使いません。これらは入力フォームで拒否されたり、コマンドラインや設定ファイルでエスケープが必要になったりしやすい文字です。
パスワードの作り方
各文字は、予測可能な Math.random ではなく、ブラウザの暗号論的に安全な乱数生成器 crypto.getRandomValues で選ばれます。一部の文字が出やすくなってしまう乱数値は捨てて引き直すので、候補のどの文字も同じ確率で選ばれます。選んだ種類ごとに1文字ずつ先に入れ、残りを全体から選んだ後で全体をシャッフルするため、必ず含まれる文字が予測しやすい位置に来ることはありません。
生成はお使いの端末の中で行われます。このページはパスワードを送信も保存もせず、設定を変えるとすぐに新しいパスワードに置き換わります。次の作業に移る前に、パスワードマネージャーにコピーしておきましょう。
「エントロピーのビット数」とは
エントロピーは、総当たり攻撃に必要な推測の回数を表します。N通りの候補から均等に選んだパスワードはlog₂ Nビットで、1ビット増えるごとに攻撃者の手間は2倍になります。ランダムな文字なら 長さ × log₂（文字の種類の数） です。このツールはこの値を四捨五入して評価を付けます。40ビット未満は弱い、40〜59は普通、60〜79は強い、80以上は非常に強いです。選んだ種類を必ず含めるようにしているため、実際の値は表示よりわずかに低くなりますが、通常の長さなら無視できる差です。
| 長さ | a–zのみ（26） | 英字＋数字（62） | すべて（87） |
|---|---|---|---|
| 8 | 38ビット | 48ビット | 52ビット |
| 12 | 56ビット | 71ビット | 77ビット |
| 16 | 75ビット | 95ビット | 103ビット |
| 20 | 94ビット | 119ビット | 129ビット |
数字を具体的にしてみましょう。データベースを盗んだ攻撃者が毎秒100億回推測できると仮定すると、40ビットのパスワードをすべて試すのに2分もかからず、60ビットなら約3.7年、80ビットなら400万年近くかかります。また、多様さより長さが効くことにも注目してください。小文字だけの16文字（75ビット）は、4種類すべてを使った8文字（52ビット）より強いのです。
これらの数値はランダムに生成したパスワードにだけ当てはまります。Summer2026! のように人が考えたパスワードは、長さの割に実際のエントロピーがずっと低くなります。攻撃者は単語、名前、日付、よくある文字の置き換えから試すからです。
場面ごとの設定
- パスワードマネージャーで管理するアカウント：すべての種類で20文字以上。自分で入力しないので、長くしても困りません。
- 手で入力するパスワード（Wi-Fiのキーやパソコンのログインなど）：16文字以上、紛らわしい文字は除外、記号は任意で、代わりに長さを足します。
- ルールが特殊なサイト：一部の記号が拒否されるなら、記号をオフにして4〜5文字長くし、強度を保ちます。
- 数字のPINは事情が異なります。6桁のPINは20ビットに届かず、エントロピーではなく、何回か間違えるとロックされる仕組みで守られています。PINが必要なら乱数生成で選べます。
生成ツールより大切なパスワードの習慣
- アカウントごとに違うパスワードを使いましょう。リスト型攻撃（クレデンシャルスタッフィング）は、あるサイトから漏れたパスワードをほかの多くのサイトで試します。
- 文書や表計算ファイルではなく、パスワードマネージャーに保管しましょう。
- メールや銀行など、ほかのアカウントのリセットにも使われるサービスでは二要素認証をオンにし、できれば認証アプリかセキュリティキーを使いましょう。
- パスワードは決まった周期ではなく、漏えいや共用端末での使用など理由があるときに変えましょう。最新のNISTのガイドライン（SP 800-63B）も、無理に複雑さを求めるルールより長さを重視しています。
よくある質問
パスフレーズはランダムなパスワードより優れていますか？
同じ強度なら覚えやすいことがあります。7,776語の単語リストからランダムに選んだ6語は約77.5ビットで、すべての種類を使った12文字のパスワードと同程度です。ただし単語は自分で選ばず、ランダムに選ぶ必要があります。
パスワードはどのくらいの長さが必要ですか？
大切なアカウントなら最低80ビットを目安にしてください。すべての種類を使うなら13文字以上、小文字だけなら18文字以上です。
サイトで「弱いパスワード」と表示されるのはなぜですか？
ランダムさを測らず、「記号必須」のような単純なルールだけを確認するサイトがあります。そのサイトが求める種類がすべてオンになっているか確認してください。