🔐 パスワード生成
crypto API による暗号学的乱数で安全なパスワードをブラウザ内で生成。文字種・長さを自由に設定し、強度判定付き。生成したパスワードはサーバーに送信されません。
⚙️ 設定
🎲 生成結果
クリックして生成
強度: —
— bit
履歴（最新10件）
まだ履歴がありません
crypto API による暗号学的乱数で安全なパスワードをブラウザ内で生成。文字種・長さを自由に設定し、強度判定付き。生成したパスワードはサーバーに送信されません。
本ツールは crypto.getRandomValues() による暗号学的に安全な乱数を使用してパスワードを生成します。生成内容はブラウザ内に留まり、サーバーには送信されません。
強度はエントロピー（情報量、bit）で表され、log₂(文字種数) × 文字数 で計算します。総当たり攻撃に必要な試行回数の理論値です。
| 長さ | 英数字記号 (94種) | 英数字 (62種) | 判定 |
|---|---|---|---|
| 8文字 | ≈52 bit | ≈48 bit | 普通（オフライン攻撃に脆弱） |
| 12文字 | ≈79 bit | ≈71 bit | 強 |
| 16文字 | ≈105 bit | ≈95 bit | 最強 |
| 20文字 | ≈131 bit | ≈119 bit | 最強（推奨） |
password123、qwerty、誕生日、ペット名、P@ssw0rd のような置換近年のセキュリティガイドライン(NIST SP 800-63B、NCSC Password Guidance、内閣サイバーセキュリティセンター指針)では、従来の「複雑なパスワードを定期的に変更する」という方針が見直され、より科学的な指針が示されています。重要なポイントを整理しました。
「数字+記号+大小英字」を混ぜることより、長さのほうが圧倒的に重要です。総当たり攻撃の試行回数は、文字数が1増えるごとに指数的に増加します。例えば「8文字 + 全種記号」より「16文字 + 英字のみ」のほうがはるかに強固です。覚えやすい長文(パスフレーズ)が、現代のベストプラクティスです。
かつては「3 ヶ月ごとに変更」が常識でしたが、現在の NIST ガイドラインでは「侵害が確認された場合のみ変更」を推奨。頻繁な変更は、ユーザーが類似の弱いパターン(Password1 → Password2 → ...)を作る原因となり、かえって安全性を下げると判明しています。
同じパスワードを複数サービスで使うのは最大のリスク。ひとつのサービスから漏洩すると、他のサービスでも「クレデンシャル・スタッフィング攻撃」(漏洩リストを使った自動ログイン試行)で被害が連鎖します。サービスごとに異なるパスワードを使うのが鉄則です。
16 文字以上のランダム文字列を、サービスごとに数十〜数百個覚えるのは現実的に不可能。パスワードマネージャーは、強固なマスターパスワードひとつで全パスワードを管理する仕組みで、現代のセキュリティ運用には欠かせません。
パスワードに加えて、もう一つの要素(SMS コード、認証アプリ、ハードウェアキー)を組み合わせる仕組み。万が一パスワードが漏れても、第二の壁があるためアカウント侵害を防げます。
すべての可能な組み合わせを試す攻撃。文字数を増やすことで指数的に防御できます。8 文字英数字なら現代の GPU で数時間で破られますが、16 文字なら宇宙の年齢分の時間がかかります。
よくあるパスワード(password、123456、qwerty など)を順番に試す攻撃。本ツールが生成するランダム文字列なら防げますが、人間が考えたパスワードはこの攻撃に弱いことが多いです。
過去の漏洩リストを使って、別サービスで同じ ID/パスワードを試す攻撃。パスワード使い回し対策で防げます。
偽サイトに誘導してパスワードを入力させる手口。ドメインを必ず確認、ブックマークから公式サイトを開く、二段階認証で防御。
マルウェアでキーボード入力を盗み取る攻撃。OS・ブラウザを最新版に保つ、不審なファイルを開かない、信頼できる端末からのみログインで対策。
背後からパスワード入力を覗き見する物理的な攻撃。カフェ・電車などで重要なログイン作業をしない、画面プライバシーフィルムを使うなどで対策。
携帯番号を乗っ取り、SMS の二段階認証を突破する高度な攻撃。重要アカウントは認証アプリ・ハードウェアキーで二段階認証を行う。
パスフレーズとは、ランダムな単語を数個組み合わせた長いパスワード(例:「correct horse battery staple」「コーヒー・本棚・27・ピアノ」)。覚えやすく、長く、推測されにくいという三拍子が揃っています。
例:「青ぞう・コーヒー・34階・ピアノ」「Tokyo-pizza-87-cosmos」のような感じ。マスターパスワード(パスワードマネージャーの大元の鍵)に最適です。
2023 年以降、Apple・Google・Microsoft などの大手が推進している「パスキー(Passkey)」は、パスワードの代替となる次世代認証技術です。FIDO2 / WebAuthn という標準規格に基づき、生体認証(指紋・顔)+ デバイス認証で本人確認を行います。
パスキーが普及すれば、長期的にはパスワード自体が不要になる時代が来るかもしれません。現時点では、対応サービスではパスキー、未対応サービスでは強固なパスワード+2FA という運用が現実的です。
自分のメールアドレスやパスワードが過去にデータ漏洩していないか、定期的にチェックする習慣をおすすめします。
送信されません。本ツールはブラウザの crypto.getRandomValues() を使用して暗号学的に安全な乱数からパスワードを生成し、すべての処理はクライアントサイド（ブラウザ内）で完結します。
現在のセキュリティ標準では、英数字＋記号で12文字以上、できれば16文字以上を推奨します。重要なアカウント（金融・メイン）は20文字以上が望ましく、本ツールの強度判定で「強」または「最強」になる長さを目安にしてください。
エントロピー（情報量、bit）= log2(文字種数) × 文字数 で計算しています。50bit未満を「弱」、50–80bitを「普通」、80–100bitを「強」、100bit以上を「最強」と判定。これは総当たり攻撃に対する強度の理論値です。
0（数字のゼロ）と O（大文字オー）、1 と l（小文字エル）と I（大文字アイ）など、紙にメモする際に見間違えやすい文字を除外します。プリンタ印字や手入力する場合に有効です。
履歴は現在のブラウザタブのメモリ内のみに保存されます。ページを閉じる・更新すると消去され、サーバーや LocalStorage には保存されません。