ตัวสร้างรหัสผ่าน

อย่างน้อย 16 ตัวอักษรสำหรับบัญชีใดๆ ที่คุณให้ความสำคัญ สำหรับอีเมลและธนาคาร: 20+ ตัวอักษร สำหรับสิทธิ์การเข้าถึง root server หรือกุญแจเข้ารหัส: 24-32 ตัวอักษร ความสัมพันธ์ระหว่างความยาวและความปลอดภัยไม่ใช่เส้นตรง — แต่ละตัวอักษรที่เพิ่มขึ้นจะทวีคูณพื้นที่การค้นหา รหัสผ่านแบบผสมตัวอักษรและตัวเลข (alphanumeric) ขนาด 20 ตัวอักษร (62^20) นั้นยากต่อการเดาสุ่ม (brute-force) มากกว่าขนาด 16 ตัวอักษร (62^16) ถึงกว่า 1.4 หมื่นล้านเท่า ที่ความยาว 16 ตัวอักษรโดยเปิดใช้งานทุกประเภทตัวอักษร ค่าเอนโทรปีจะอยู่ที่ประมาณ 100 บิต — ซึ่งไม่สามารถเจาะระบบได้ด้วยเทคโนโลยีใดๆ ที่คาดการณ์ได้ในปัจจุบัน

เอนโทรปี (Entropy) คือการวัดความไม่แน่นอนของรหัสผ่านในหน่วยบิต เอนโทรปีสูงกว่า = เดายากกว่า คำนวณจาก log2(ขนาดชุดตัวอักษร) × ความยาวรหัสผ่าน การใช้ตัวอักษรทั้งสี่ประเภท (ตัวพิมพ์ใหญ่ + ตัวพิมพ์เล็ก + ตัวเลข + สัญลักษณ์) จะทำให้คุณมีชุดตัวอักษรประมาณ 94 ตัว — log2(94) ≈ 6.55 บิตต่อตัวอักษร รหัสผ่านขนาด 16 ตัวอักษรที่มีทุกประเภท: 16 × 6.55 ≈ 105 บิตของเอนโทรปี เพื่อการอ้างอิง 80 บิตถือว่าแข็งแกร่ง และ 100+ บิตถือว่าแข็งแกร่งมากสำหรับเทคโนโลยีปัจจุบัน ตัวบ่งชี้ความแข็งแกร่งในเครื่องมือจะแสดงผลให้เห็นทางสายตา

ใช้ทั้งสี่ประเภท (ตัวพิมพ์ใหญ่, ตัวพิมพ์เล็ก, ตัวเลข, สัญลักษณ์) เมื่อใดก็ตามที่เว็บไซต์หรือระบบอนุญาต — วิธีนี้จะเพิ่มเอนโทรปีต่อตัวอักษรได้สูงสุด บางระบบจำกัดตัวอักษร: รหัสผ่านของระบบ Linux ยอมรับทุกประเภท เว็บไซต์จำนวนมากปฏิเสธสัญลักษณ์บางอย่าง (โดยเฉพาะ <, >, ", ', \, &) เพราะพวกมันขัดแย้งกับโครงสร้าง HTML หรือคำสั่ง query รหัสผ่านของ Windows ยอมรับสัญลักษณ์ส่วนใหญ่ รหัสผ่านของฐานข้อมูลบางครั้งอาจต้องใส่เครื่องหมายอัญประกาศหากมีตัวอักษรพิเศษที่ใช้โดยตัววิเคราะห์ Connection string หากเว็บไซต์ปฏิเสธรหัสผ่านของคุณ ให้ลองใช้การตั้งค่าล่วงหน้าแบบผสมตัวอักษรและตัวเลข (alphanumeric) เป็นทางเลือกสำรอง

ตัวอักษรอย่าง l ตัวพิมพ์เล็ก, I ตัวพิมพ์ใหญ่ และเลข 1 ดูเหมือนกันมากในหลายฟอนต์ (serif, monospace, บางแบบ sans-serif) ในทำนองเดียวกัน O ตัวพิมพ์ใหญ่ และเลข 0 ก็มักจะทำให้สับสน สิ่งนี้สำคัญเมื่อคุณต้องพิมพ์รหัสผ่านด้วยมือ (การเข้าสู่ระบบอุปกรณ์มือถือ, คอนโซลกู้คืนระบบ, หรืออุปกรณ์ที่คุณไม่สามารถวางข้อความ (paste) ได้) การยกเว้นตัวอักษรเหล่านี้หมายความว่าทุกตัวอักษรจะไม่มีความคลุมเครือทางสายตา ต้นทุนเอนโทรปีนั้นต่ำมาก: คุณจะเปลี่ยนจาก 94 ตัวอักษรเหลือประมาณ 86 ตัว ซึ่งสูญเสียไม่ถึง 0.13 บิตต่อตัวอักษร — ซึ่งคุ้มค่ากับการเพิ่มประสิทธิภาพในการใช้งาน

รหัสผ่านแบบตัวอักษรสุ่ม (เช่นที่เครื่องมือนี้สร้าง) บรรจุเอนโทรปีต่อตัวอักษรได้มากกว่าแต่จำยาก ส่วน Passphrases (คำสุ่มสี่คำหรือมากกว่า: "correct-horse-battery-staple") จดจำได้ง่ายกว่าแต่ยาวกว่า Passphrase แบบ 6 คำจากรายการคำศัพท์ 7,776 คำ (diceware) ให้เอนโทรปีประมาณ 77 บิต — เทียบเท่ากับรหัสผ่านแบบสุ่มขนาด 12 ตัวอักษร สำหรับบัญชีที่คุณต้องจำรหัสผ่าน (เช่น รหัสผ่านหลักของ Password Manager หรือการเข้าสู่ระบบอุปกรณ์) Passphrase มักจะเป็นตัวเลือกที่ดีกว่า สำหรับทุกอย่างอื่นที่เก็บไว้ใน Password Manager ของคุณ รหัสผ่านแบบสุ่มขนาด 20 ตัวอักษรจะเหนือกว่า

หากเว็บไซต์จำกัดรหัสผ่านไว้ที่ 8-12 ตัวอักษร นั่นคือสัญญาณอันตรายด้านความปลอดภัย — ข้อมูลจากเหยื่อการรั่วไหลครั้งใหญ่แสดงให้เห็นว่าเว็บไซต์เหล่านี้มักจะเก็บรหัสผ่านอย่างไม่ปลอดภัย ให้ใช้ความยาวสูงสุดเท่าที่เขาอนุญาต พร้อมกับประเภทตัวอักษรทั้งหมดที่ยอมรับ หากพวกเขาปฏิเสธสัญลักษณ์ ให้ใช้เฉพาะ alphanumeric และชดเชยด้วยความยาว อย่าใช้รหัสผ่านซ้ำกันในหลายไซต์ไม่ว่าคุณภาพของพวกมันจะเป็นอย่างไร เพราะการรั่วไหลที่หนึ่งจะส่งผลต่อบัญชีอื่นๆ ของคุณด้วย เก็บทุกอย่างไว้ใน Password Manager (Bitwarden ฟรีและเป็น Open-source; 1Password และ KeePass เป็นทางเลือกที่ดี)

ไม่เลย ทั้งหมดของการสร้างเกิดขึ้นในหน่วยความจำของเบราว์เซอร์ของคุณ รายการประวัติในหน้าเว็บเป็นแบบ Session-only — ปิดหรือรีเฟรชแท็บแล้วมันจะหายไป ไม่มีอะไรถูกส่งไปยังเซิร์ฟเวอร์ใดๆ ถูกบันทึกไว้ใน localStorage หรือถูกบันทึกไว้ที่ไหนเลย คุณสามารถตรวจสอบได้โดยการเปิด Browser DevTools และตรวจสอบแถบ Network — คุณจะเห็นว่าไม่มีคำขอ (requests) ใดๆ เมื่อคลิก Generate