パスワード強度チェック

入力中に何も送信せず、そのことを自分で確かめられるパスワードチェッカーです。このページでは、お使いの端末内でパスワードの強度をチェックし、漏洩回数の多い上位百万件のパスワードと照合します。すべての漏洩データを対象にしたチェックでは、入力が止まるのを待ってから、パスワードのハッシュ値のうち5文字だけを1回送信します。ブラウザの「ネットワーク」タブで通信を確認したり、インターネット接続を切ってもチェック機能が動くことを確かめたりできます。

上の欄に入力するか、貼り付けてください。漏洩回数の多い上位百万件のパスワードに含まれていれば、すぐに表示されます。入力が止まると、既知のすべての漏洩データに対するパスワード漏洩チェックも行います。一件でも見つかったら、そのパスワードの使用をやめましょう。

はい、パスワードのチェックには安全に使えます。パスワードそのものを受け取らない仕組みになっており、ブラウザが送るのはパスワードのハッシュ値の先頭5文字だけです。最終的な照合はブラウザ内で行います。このページでは、応答にダミーのデータを含めるようにも要求するため、応答のサイズから情報が漏れることもありません。

123456です。漏洩データで2億1000万回以上見つかっています。次いで多いのは、123456789、12345678、password、qwertyです（Have I Been Pwnedの集計による）。人がすぐに思いつくものは、すでにこうしたリストに載っています。

公開されている例は、すでにリストに載っているため、もはや強いパスワードではありません。漫画xkcdに登場するcorrecthorsebatterystapleでさえ、漏洩データから数千回も見つかっています。強いパスワードとは、自分専用にランダムに作られたものです。パスワード生成ツールやパスフレーズ生成ツールを使いましょう。

上の欄に入力すると、グラフィックカード1,000枚が、盗まれたパスワードのリストに対して全速力で候補を試す場合の平均解析時間が表示されます。備えておくべきなのは、このようなケースです。ランダムな8文字のパスワードは数秒で解析されますが、ランダムな16文字なら約30億年かかります。

どのパスワードチェッカーも攻撃者の能力を想定する必要がありますが、多くはその想定を明らかにしていません。多くのパスワードチェッカーは、処理にあえて時間がかかる方法でパスワードを保存しているサイトを想定しており、その場合に試せる候補は毎秒数千通りに限られます。何年も前のグラフィックカードの速度を使っているものや、長さだけを数えて単語や日付などのパターンを見落としているものもあります。このチェックでは、より厳しいケースを想定し、その条件を明示しています。盗まれたパスワードのリストに対して、グラフィックカード1,000枚が全速力で候補を試すケースです。適切に運営されているサイトの多くでは、実際の解析にもっと時間がかかります。ただ、利用者にはサイトがどの方式を使っているか分からないため、ここに表示される時間は、備えておくべき最悪のケースとして考えてください。

解析ツールは、文字をひとつずつ推測するわけではないからです。単語、人名、地名、日付、よく使われるパスワードを丸ごと候補にして、それらを組み合わせたり数字を足したりします。LiverpoolFootball1892は21文字ありますが、解析ツールから見れば、よくある単語2つと年の組み合わせです。候補は約1億通りで、グラフィックカード1枚なら1秒未満ですべて試せます。長さが役立つのは、ランダムなパスワードや、ランダムな単語を組み合わせたパスフレーズのように、文字の並びが予測できない場合だけです。

パスワードマネージャーでまとめて確認できます。iPhoneやMacでは、「パスワード」アプリを開き、「セキュリティ」を確認してください。Chromeでは、Google パスワード マネージャーのパスワード チェックアップを使えます。NordPass、Bitwarden、1Passwordなど、ほとんどのパスワードマネージャーにも同様のレポート機能があります。

ランダムな文字なら16文字以上、ランダムな単語なら7語にしましょう。米国の標準化機関NISTは、ウェブサイトに対し、64文字以上のパスワードを受け付け、パスワードだけでアカウントを保護する場合は15文字以上を必須にするよう求めています。