パスワードの強さを本当に決めるもの

やりたいこと

登録フォームにパスワードを拒否された、あるいは新しいパスワードの検分をしたい。チェッカーはエントロピー風の推定値と具体的なチェック項目を返します。

推定の仕組み

エントロピー ≒ 長さ × 文字プールのlog2 — 総当たりに必要な平均試行回数です。文字種を混ぜるとプールは増えますが、長さの方が効きます。小文字だけの16文字のパスフレーズは、記号を詰め込んだ8文字より強くなります。

パターンは減点されます。同じ文字の連続・キーボードの連なり（qwer）・順序（abcd・1234）は実際の探索空間を縮め、漏洩パスワードの短い一致リストは長さに関わらず不合格にします。

• 35ビット未満は弱い、60以上は強い、90以上は一般的な脅威に対して非常に強い、が目安です。
• どのメーターも推定です。実際の攻撃は漏洩リスト・名前・予測可能な置換から始めます（p4ssw0rdは誰も欺きません）。

具体例

Tr0ub4dor&3 は複雑に見えますが単語＋予測可能な置換でできており、チェッカーもクラッカーも見抜きます。correct-horse-battery 式の無作為な単語の並びは、覚えやすいまま高いエントロピーに届きます。

制限

送信も保存もしません。評価はページ内だけで完結します。推定は再利用（現実で最大のリスク）やサイトの長さ制限・貼付禁止を知り得ません。パスワードマネージャーの一意の生成を優先し、提供されている場所では二要素も使ってください。