パスワード強度・漏洩チェック / 生成
文字数・文字種から強度の参考値を表示し、過去の漏洩データとの照合とパスワード生成ができます。参考値は安全性の保証ではありません。計算と生成はブラウザ内で完結し、漏洩照合でもパスワードそのものは送信しません。
強度をチェック
数値と突破時間は、文字数・文字種からランダムな文字列を仮定した参考値です。単語・名前・規則的な並びなどを十分に評価できず、実際の強度や安全性を保証しません。単純な繰り返しは低く評価します。
仕組み：ボタンを押したときだけ、ブラウザ内でパスワードを SHA-1 でハッシュ化し、ハッシュの先頭5文字だけを Have I Been Pwned に送ります。照合もブラウザ内で行うため、パスワードとハッシュ全体は送られず、当サイトのサーバーも経由しません。HIBP に届くのは、その5文字とあなたの IP アドレスです。
今使っているパスワードは、保存しているパスワードマネージャーやブラウザの確認機能で調べるほうが安全です。 パスワードが漏れていないか確認する方法 / パスワードマネージャーは安全？
安全なパスワードを生成
結果を見た後の確認・修正
強度評価と既知の漏洩照会は別の確認です。今使っているパスワードは、保存済みのブラウザ・スマホの確認機能も利用できます。
使い方
- 1
上の欄に入力すると、文字数・文字種による参考評価と突破時間の目安が表示されます。実際の推測耐性を測るものではありません。
- 2
「漏洩データと照合する」を押すと、そのパスワードが Have I Been Pwned の Pwned Passwords（過去の漏洩データ）に含まれているかを確認できます。
- 3
下の生成器で、長さと文字種を選んで安全なパスワードを作成・コピーできます。
- 4
重要なアカウントは生成した長いパスワード＋パスワードマネージャ＋多要素認証で守りましょう。
なぜ重要か
よくある質問
Q入力したパスワードは送信されますか？
パスワードそのものは送信されません。強度計算と生成はブラウザ内で完結します。漏洩チェックのボタンを押したときだけ、ハッシュの先頭5文字を Have I Been Pwned に送ります（次の質問を参照）。
Q「推定突破時間」はどれくらい正確ですか？
計算力やハッシュ方式で大きく変わる目安です。毎秒約100億回の試行とランダム生成を仮定していますが、入力が本当に無作為かは測定できません。bit値も文字数・文字種からの参考値で、単語・名前・規則性を十分評価できません。安全の保証には使わないでください。
Q漏洩チェックはどういう仕組みですか？安全ですか？
k-匿名性という方式です。ブラウザ内でパスワードを SHA-1 でハッシュ化し、先頭5文字だけを Have I Been Pwned に送ります。同じ先頭5文字の候補を受け取り、一致の確認はブラウザ内で行います。パスワード全文とハッシュ全体は送信しませんが、送信先には先頭5文字とあなたのIPアドレスが伝わります。入力のたびには送信せず、ボタンを押した時だけ照会します。送信内容はブラウザの開発者ツールで確認できます。
Q「見つかりませんでした」なら安全ですか？
安全の保証ではありません。含まれるのは出回った漏洩データだけです。短いパスワードや単語を組み合わせただけのパスワードは、漏洩していなくても推測で破られます。強度の表示も合わせて確認し、サイトごとに別の長いパスワードを使ってください。