YUCTS Tools
日本語言語

パスワード強度チェック（推測されやすさ・解読時間の目安）

パスワードの長さ、文字の種類、よく使われるパスワード、キーボードの並びや日付などのパターンから、推測されやすさと解読時間の目安をブラウザ内で推定します。送信・保存はしません。

  • ブラウザ内で処理（アップロードなし）

チェックはこのブラウザの中だけで行います。入力したパスワードは送信・保存・記録しません。

これは漏えい（流出）チェックではありません。Have I Been Pwned などの流出データベースには照会せず、推測されやすさを手元で見積もるだけです。

最初はサンプル「P@ssw0rd2024」が入っています。確認したいパスワードに書き換えてください。

パターンの例

推定結果

強さ: とても弱い（0/4）

推定される推測回数
15,000
エントロピー換算
約 14 ビット
長さ
12 文字
使われている文字の種類
英小文字、英大文字、数字、記号・空白

解読にかかる時間の目安

推定した回数の推測をすべて試すのにかかる時間です。幅は想定した攻撃速度の違いによるもので、実際にはもっと早く当たることも、遅くなることもあります。

  • オンライン攻撃（回数制限あり）ログインの試行が 1 時間に 10〜100 回に制限されている場合6 日〜2 か月
  • オンライン攻撃（制限なし）1 秒に 10〜100 回試せる場合3 分〜25 分
  • オフライン攻撃（低速ハッシュ）流出した bcrypt・scrypt・Argon2 のハッシュを 1 秒に 1,000〜10 万回試せる場合一瞬（1 秒未満）〜15 秒
  • オフライン攻撃（高速ハッシュ）ソルトなしの MD5・SHA-1 などのハッシュを GPU で 1 秒に 100 億〜1 兆回試せる場合一瞬（1 秒未満）

注意点

  • よく使われるパスワードを含んでいます。
  • 年号は推測されやすいです。

改善のヒント

  • 15 文字以上にするか、関係のない単語をいくつか並べたパスフレーズにしましょう。
  • よく使われるパスワードや、その一部を使うのは避けましょう。
  • @ を a の代わりにするような予想しやすい置き換えでは、ほとんど強くなりません。
  • 先頭だけ、または全部を大文字にしても、ほとんど強くなりません。
  • 誕生日や記念日など、自分に関係する日付や年は避けましょう。
  • サービスごとに別のパスワードを使いましょう。パスワードマネージャーで生成・保存すると確実です。

見つかったパターン

該当する文字は「パスワードを表示する」をオンにしたときだけ表示します。

  1. よく使われるパスワード1〜8 文字目 · ••••••••10,001 件中 1 位、記号・数字への置き換えあり、大文字を含む約 3 ビット
  2. 年号9〜12 文字目 · ••••約 4 ビット
よく使われるパスワードのリストの出典とライセンス（SecLists・MIT License）

SecLists, Passwords/Common-Credentials/10k-most-common.txt https://github.com/danielmiessler/SecLists (commit 913b327317496d062bcc7cace524aaad8a693be2) MIT License Copyright (c) 2018 Daniel Miessler Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions: The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software. THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.

使い方

  1. 確認したいパスワードを入力します（最初はサンプルが入っています。「パスワードを表示する」で文字を確認できます）。
  2. 強さの評価、推定される推測回数、攻撃の種類ごとの解読時間の目安を確認します。
  3. 注意点と改善のヒントを参考に、より長く推測されにくいパスワードに変えます。

よくある質問

入力したパスワードはどこかに送られますか？

いいえ。評価はすべてブラウザの中で行い、パスワードを送信・保存・記録することはなく、URL にも含めません。「結果をコピー」でコピーされる内容にもパスワードは含まれません。

流出したパスワードかどうかも分かりますか？

いいえ、漏えいチェックではありません。Have I Been Pwned などの流出データベースには照会しません。照合するのは、公開されている「よく使われるパスワード」約 1 万件のリスト（SecLists）だけです。

推測回数と解読時間はどう計算していますか？

よく使われるパスワード（大文字・記号への置き換え・逆順を含む）、繰り返し、連続した文字、キーボードの並び、日付と年を探し、パスワード全体を最も少ない推測回数で表せる組み合わせを求めます（zxcvbn の論文と同じ考え方を独自に実装）。パターンのない部分は文字の種類の数をもとに総当たりとして数えます。その回数を、1 時間に 10〜100 回（回数制限ありのオンライン攻撃）から 1 秒に 100 億〜1 兆回（高速ハッシュへのオフライン攻撃）までの想定速度で割って時間にしています。

「とても弱い」〜「とても強い」はどう決まりますか？

推定した推測回数で決めています。10^6 回以上で「弱い」（回数制限ありのオンライン攻撃では 1 年以上）、10^12 回以上で「まずまず」（低速ハッシュへのオフライン攻撃でも数か月以上）、10^17 回以上で「強い」（高速ハッシュでも 1 日以上）、10^20 回以上で「とても強い」（高速ハッシュでも 3 年以上）です。

強いパスワードを作るには？

15 文字以上にするか、関係のない単語を 4〜5 個並べたパスフレーズにするのが効果的です。サービスごとに別のパスワードにして、パスワードマネージャーで生成・保存しましょう。可能なら 2 段階認証も有効にしてください。

注意事項・制限

  • 入力内容はこのページ内でのみ処理され、YUCTS のサーバーには送信されません。
  • あくまで推定値です。実際の攻撃者が使う辞書や手順によって、必要な回数や時間は大きく変わります。
  • 照合する辞書は、よく使われるパスワード約 1 万件（SecLists）だけです。一般的な英単語、人名、日本語のローマ字などはリストにない限り検出しないため、単語を使ったパスワードは実際より強めに表示されることがあります。
  • あなたの名前・誕生日・ペットの名前など、個人的な情報は考慮できません。
  • キーボードの並びは英語（US）配列の QWERTY だけを想定しています。
  • 漏えいチェックではありません。流出データベースには照会しません。
  • 入力したパスワードはブラウザの外に送られず、保存も記録もされません。評価できるのは最大 256 文字です。

データ出典