Generator haseł
Silne losowe hasła i frazy hasłowe.
O tym narzędziu
Generuj losowe hasła ze znaków, które wybierzesz, albo frazy hasłowe ze słów, łatwiejsze do wpisania. Wszystko korzysta z kryptograficznie bezpiecznego generatora liczb losowych przeglądarki, a szacowana siła jest pokazywana w bitach.
Jak z tego korzystać
- Wybierz Losowe znaki lub Fraza hasłowa.
- Ustaw długość lub liczbę słów oraz rodzaje znaków do uwzględnienia.
- Obserwuj, jak aktualizuje się szacowana siła w bitach.
- Skopiuj hasło albo kliknij Wygeneruj nowe, aby dostać kolejny zestaw.
Pytania
- Jak długie powinno być hasło?
- Celuj w co najmniej 16 losowych znaków, czyli około 100 bitów, albo w frazę hasłową z 10 lub więcej słów z tego narzędzia. Wszystko powyżej około 80 bitów jest daleko poza zasięgiem zgadywania. Menedżer haseł może je zapamiętać za Ciebie.
- Co oznaczają bity siły?
- Mierzy, ilu prób potrzebowałby atakujący: każdy dodatkowy bit podwaja pracę. Zakłada, że hasło zostało wygenerowane losowo, co tutaj jest prawdą.
- Czy hasła są gdzieś zapisywane lub wysyłane?
- Nie. Są generowane w Twojej przeglądarce za pomocą crypto.getRandomValues i znikają po zamknięciu strony.
- Fraza hasłowa czy losowe znaki?
- Frazy hasłowe łatwiej wpisać i zapamiętać, np. na telefonie lub telewizorze. Losowe znaki mieszczą więcej siły w mniejszej liczbie znaków. Wskaźnik siły pokazuje dokładnie, ile bitów daje każde ustawienie.
- Dlaczego podobne znaki są pomijane?
- Znaki takie jak l, 1, I, O, 0 i o łatwo pomylić, gdy hasło jest czytane na głos, przepisywane z kartki albo z innego ekranu. Ich pominięcie nieco zmniejsza pulę i kosztuje ok. 0,1 bitu na znak. Wyłącz tę opcję, jeśli hasło będzie zawsze tylko wklejane.
- Jak wygenerować losowy klucz API lub tajny token?
- Wybierz Losowe znaki z samymi literami i cyframi, aby klucz był bezpieczny w nagłówkach, URL-ach i plikach konfiguracyjnych, i ustaw długość na 32 lub więcej. To daje znacznie ponad 180 bitów. W wierszu poleceń to samo zrobi openssl rand -hex 32. Jeśli serwer musi takie klucze tylko sprawdzać, przechowuj je w postaci hashy.
- Czy wielkie litery i liczba wzmacniają frazę hasłową?
- Zaczynanie każdego słowa wielką literą nic nie dodaje, bo zawsze odbywa się tak samo. Losowa liczba dodaje ok. 9 bitów dla frazy z sześciu słów: do 100 wartości na dowolnej z siedmiu pozycji. Jedno dodatkowe słowo dodaje ok. 8,7 bitu, więc obie opcje pomagają mniej więcej tak samo, a dodatkowe słowo często łatwiej wpisać.
Jak obliczana jest siła hasła w bitach?
Dla losowo wygenerowanego hasła siła to długość pomnożona przez log2 liczby możliwych znaków. Małe litery, wielkie litery, cyfry i 27 dostępnych tu symboli dają 89 znaków, czyli ok. 6,5 bitu na znak, więc 20 znaków daje około 130 bitów. Pomijanie podobnych znaków usuwa sześć znaków i kosztuje ok. 0,1 bitu na znak. Wzór działa tylko dla losowych haseł, nigdy dla haseł wymyślonych przez człowieka.
Frazy hasłowe działają tak samo, tylko ze słowami. Lista słów ma tu 422 krótkie słowa, więc każde słowo dodaje ok. 8,7 bitu, a sześć słów daje ok. 52. To mniej na słowo niż klasyczna lista Diceware z 7776 słowami, która daje 12,9 bitu na słowo, więc użyj więcej słów, aby osiągnąć tę samą siłę. Wskaźnik liczy to za Ciebie, gdy zmieniasz ustawienia.
Dlaczego wygenerowane hasło jest odrzucane albo coś psuje?
Niektóre strony ograniczają długość do 16 lub 20 znaków albo odrzucają pewne symbole, takie jak cudzysłowy, spacje czy nawiasy ostre. Zmniejsz długość do limitu strony albo wyłącz Symbole i wydłuż hasło o kilka znaków, aby to wyrównać. Każda dodatkowa litera lub cyfra dodaje prawie 6 bitów, więc 22 znaki alfanumeryczne są lepsze niż 20 z symbolami.
Symbole sprawiają kłopoty także poza stronami internetowymi. W powłoce $ i ! w podwójnych cudzysłowach są rozwijane, więc takie hasła ujmuj w pojedyncze cudzysłowy. W pliku .env # może rozpoczynać komentarz, a $ uruchamiać rozwijanie zmiennych. W URL-u połączenia z bazą danych @, : i / psują parsowanie, chyba że zakodujesz je procentowo w narzędziu Kodowanie, dekodowanie i analiza URL. Same litery i cyfry pozwalają uniknąć tego wszystkiego.
Wytyczne NIST dotyczące haseł: co naprawdę się liczy?
NIST SP 800-63B, wytyczne rządu USA, które stosuje wiele firm, stawiają długość przed złożonością. Ich wersja z 2025 roku wymaga co najmniej 15 znaków, gdy hasło jest jedynym czynnikiem, 8 przy logowaniu wieloskładnikowym i obsługi co najmniej 64 znaków. Zalecają też porzucenie reguł typu „jeden symbol i jedna cyfra”, zaprzestanie wymuszania regularnej zmiany haseł i blokowanie haseł znalezionych na listach z wycieków.
W praktyce: unikalne losowe hasło dla każdego konta, przechowywane w menedżerze haseł, plus drugi składnik wszędzie, gdzie jest dostępny. Długiej frazy hasłowej używaj dla tych kilku sekretów, które musisz wpisywać, np. hasła głównego do menedżera. Jeśli logowanie budujesz samodzielnie, przechowuj hasła z użyciem Argon2id lub bcrypt. Szybkie funkcje skrótu, takie jak SHA-256 z narzędzia Generator skrótów (hash), nadają się do sum kontrolnych, a nie do przechowywania haseł.
Coś nie działa albo wynik wygląda na błędny? Zgłoś problem z tym narzędziem