「複雑さ」より「長さ」が効く理由

パスワードで一つだけ変えるなら、まず長くしてください。1文字増えるごとに組み合わせの数が一気に膨らむため、奇妙な記号を詰め込んだ短いパスワードより、長いパスワードのほうがはるかに破られにくくなります。見た目が「難しそう」な8文字より、16文字のランダムな文字列のほうが圧倒的に安全です。このツールが最大64文字まで対応しているのはそのためで、サイトが許す範囲でスライダーを高めに設定し、長さに仕事をさせるのが近道です。文字種の組み合わせも有効ですが、主役はあくまで長さで、複雑さはその補強と考えてください。

強度（エントロピー）の読み方

パスワードの下に表示される「ビット」はエントロピー、つまり「どれだけ推測されにくいか」のスコアです。長さと文字種プールの大きさから「長さ × log2(プールの文字数)」で算出します。1ビット増えるごとに推測の手間がおよそ倍になるので、値は大きいほど安心です。本ツールでは目安として40ビット未満を弱い、60ビット以上を強い、80ビット以上を非常に強いと表示しています。あくまで目安で、実際の安全性は攻撃者の手法にも左右されます。長さや文字種を足すとメーターが伸びるので、その動きを見ながら調整してください。

パスワードとパスフレーズの使い分け

xK9#mQ2$vR のようなランダム文字列は、パスワードマネージャーに覚えてもらう用途に最適です。一方、自分で入力したり記憶したりする必要があるものは、複数の単語をつないだ「パスフレーズ」のほうが扱いやすく、十分な強度も得られます（パスフレーズタブで生成できます）。目安は、マネージャーが自動入力してくれるものはランダムパスワード、自分で打つ少数のもの（マネージャーのマスターパスワードや端末のログインなど）はパスフレーズ、という使い分けです。

最大の失敗は「使い回し」

同じパスワードを複数のサイトで使い回すことは、多少弱いパスワードを使うことよりも危険です。どこか1つのサイトが情報漏えいを起こすと、流出したメールアドレスとパスワードの組み合わせが他のサイトでも自動的に試されます（パスワードリスト攻撃）。1件の漏えいが、メール・買い物・銀行などへの合鍵になってしまうのです。対策は地味ですが効果的で、アカウントごとに別々のパスワードを使うこと。登録のたびにここで新しく生成すれば、自然とすべて違うものにできます。

記憶はパスワードマネージャーに任せる

何十個もの16文字パスワードを覚えるのは不可能ですし、その必要もありません。パスワードマネージャーは暗号化された保管庫にパスワードを保存し、自動で入力してくれるので、覚えるのは強力なマスターパスワード1つだけで済みます（マスターにはパスフレーズが向いています）。最近は多くのブラウザに簡易版が標準搭載されており、専用アプリなら漏えい警告や端末間同期といった機能も使えます。ここで生成したパスワードを、アカウント作成・更新時にマネージャーへ貼り付けて運用しましょう。

すべてブラウザ内で完結します

このページにバックエンドはありません。パスワードはお使いの端末上で、ブラウザ標準の暗号学的乱数を使って生成され、どこにも送信されず、サーバーに保存されることもありません。保存されるのは設定（長さや使用する文字種）だけで、次回も同じ状態で開けるようローカルに記録されます。ページを一度読み込めば、インターネットを切断しても動作します。心配な方は、オフラインで試してみると「何も送信されていない」ことを確認できます。

捨ててよい思い込み

古い習慣のうち2つは、かえって逆効果です。1つ目は30日や90日ごとの定期的なパスワード変更。NIST などのガイドラインは現在、定期変更を推奨していません。「Spring2024 → Summer2024」のような予測しやすい小変更を招くだけで、実際に漏えいしていない限り安全性は上がらないからです。変更は、漏えい・共有端末・誰かに知られた疑いなど、理由があるときに行いましょう。2つ目は a を @、o を 0 に置き換える小細工（P@ssw0rd など）。攻撃ツールはこの種の変換をすべて知っているので、ほとんど時間稼ぎになりません。小細工より、ランダムな長さが勝ります。