Kiểm tra độ mạnh mật khẩu (mức dễ đoán và thời gian bẻ khóa)
Ước tính mức độ dễ đoán của mật khẩu từ độ dài, loại ký tự, mật khẩu phổ biến, dãy phím, chuỗi và ngày tháng, kèm thời gian bẻ khóa. Chạy trong trình duyệt, không gửi hay lưu mật khẩu.
- Xử lý trên trình duyệt (không tải lên)
Việc kiểm tra chỉ diễn ra trong trình duyệt này. Mật khẩu bạn nhập không bao giờ được gửi đi, lưu lại hay ghi nhật ký.
Đây không phải công cụ kiểm tra rò rỉ: công cụ không tra cứu cơ sở dữ liệu mật khẩu bị lộ như Have I Been Pwned, mà chỉ ước tính mức độ dễ đoán của mật khẩu ngay trên thiết bị của bạn.
Ô nhập có sẵn mẫu "P@ssw0rd2024". Hãy thay bằng mật khẩu bạn muốn kiểm tra.
Kết quả ước tính
Độ mạnh: Rất yếu (0/4)
Thời gian bẻ khóa ước tính
Thời gian cần để thử hết số lần đoán ước tính. Khoảng thời gian phản ánh tốc độ tấn công giả định; kẻ tấn công thực tế có thể đoán trúng sớm hơn hoặc muộn hơn.
- Tấn công trực tuyến, có giới hạnSố lần thử đăng nhập bị giới hạn ở 10–100 lần mỗi giờ6 ngày – 2 tháng
- Tấn công trực tuyến, không giới hạn10–100 lần đoán mỗi giây3 phút – 25 phút
- Tấn công ngoại tuyến, hàm băm chậm1.000–100.000 lần đoán mỗi giây với hàm băm bcrypt, scrypt hoặc Argon2 bị lộngay lập tức (dưới 1 giây) – 15 giây
- Tấn công ngoại tuyến, hàm băm nhanh10 tỷ – 1 nghìn tỷ lần đoán mỗi giây bằng GPU với hàm băm MD5, SHA-1 hoặc tương tự không có saltngay lập tức (dưới 1 giây)
Cảnh báo
- Mật khẩu này chứa một mật khẩu phổ biến.
- Số năm rất dễ đoán.
Gợi ý cải thiện
- Dùng từ 15 ký tự trở lên, hoặc một cụm mật khẩu gồm vài từ không liên quan đến nhau.
- Tránh dùng mật khẩu phổ biến hoặc một phần của chúng.
- Những kiểu thay thế dễ đoán như @ thay cho a hầu như không làm mật khẩu mạnh hơn.
- Chỉ viết hoa chữ cái đầu, hoặc viết hoa toàn bộ, hầu như không làm mật khẩu mạnh hơn.
- Tránh ngày tháng và năm liên quan đến bạn, như sinh nhật hay ngày kỷ niệm.
- Dùng mật khẩu khác nhau cho mỗi dịch vụ; trình quản lý mật khẩu có thể tạo và lưu giúp bạn.
Các mẫu tìm thấy
Các ký tự tương ứng chỉ hiện khi bật "Hiện mật khẩu".
- Mật khẩu phổ biến
- Năm
Nguồn và giấy phép của danh sách mật khẩu phổ biến (SecLists, MIT License)
SecLists, Passwords/Common-Credentials/10k-most-common.txt https://github.com/danielmiessler/SecLists (commit 913b327317496d062bcc7cace524aaad8a693be2) MIT License Copyright (c) 2018 Daniel Miessler Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions: The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software. THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.
Cách sử dụng
- Nhập mật khẩu bạn muốn kiểm tra (ô nhập có sẵn một mẫu; chọn "Hiện mật khẩu" để xem các ký tự).
- Xem mức đánh giá, số lần đoán ước tính và khoảng thời gian bẻ khóa cho từng kiểu tấn công.
- Dựa vào cảnh báo và gợi ý để làm mật khẩu dài hơn, khó đoán hơn.
Câu hỏi thường gặp
Mật khẩu tôi nhập có bị gửi đi đâu không?
Không. Mọi đánh giá đều diễn ra trong trình duyệt; mật khẩu không bao giờ được gửi đi, lưu lại hay ghi nhật ký, cũng không xuất hiện trong URL. Nút "Sao chép kết quả" cũng không sao chép mật khẩu.
Công cụ có cho biết mật khẩu của tôi đã bị lộ chưa?
Không, đây không phải công cụ kiểm tra rò rỉ. Công cụ không tra cứu Have I Been Pwned hay bất kỳ cơ sở dữ liệu mật khẩu bị lộ nào, mà chỉ so với một danh sách công khai khoảng 10.000 mật khẩu phổ biến (SecLists).
Số lần đoán và thời gian bẻ khóa được tính thế nào?
Công cụ tìm mật khẩu phổ biến (kể cả khi viết hoa, thay ký tự hoặc viết ngược), đoạn lặp lại, chuỗi liên tiếp, dãy phím, ngày tháng và năm, rồi chọn cách ghép phủ toàn bộ mật khẩu với ít lần đoán nhất, theo phương pháp trong bài báo về zxcvbn và được cài đặt độc lập. Phần không có mẫu được tính như dò toàn bộ theo loại ký tự. Số lần đoán sau đó được chia cho tốc độ giả định, từ 10–100 lần mỗi giờ (tấn công trực tuyến có giới hạn) đến 10 tỷ – 1 nghìn tỷ lần mỗi giây (tấn công ngoại tuyến vào hàm băm nhanh).
Mức đánh giá được xác định ra sao?
Theo số lần đoán ước tính: từ 10^6 là "Yếu" (tấn công trực tuyến có giới hạn cần hơn 1 năm), từ 10^12 là "Trung bình" (tấn công ngoại tuyến vào hàm băm chậm cũng cần nhiều tháng), từ 10^17 là "Mạnh" (kể cả hàm băm nhanh cũng cần hơn 1 ngày) và từ 10^20 là "Rất mạnh" (hàm băm nhanh cũng cần hơn 3 năm).
Làm sao để tạo mật khẩu mạnh?
Dùng từ 15 ký tự trở lên, hoặc một cụm mật khẩu gồm 4–5 từ không liên quan. Dùng mật khẩu khác nhau cho mỗi dịch vụ, để trình quản lý mật khẩu tạo và lưu giúp, và bật xác minh hai bước khi có thể.
Lưu ý & giới hạn
- Nội dung bạn nhập chỉ được xử lý trên trang này và không gửi đến máy chủ của YUCTS.
- Kết quả chỉ là ước tính. Kẻ tấn công thực tế dùng từ điển và chiến thuật khác, nên số lần đoán và thời gian thực có thể chênh lệch nhiều.
- Từ điển duy nhất là danh sách khoảng 10.000 mật khẩu phổ biến (SecLists). Các từ thông thường, tên riêng hay cụm từ không có trong danh sách sẽ không được nhận ra, nên mật khẩu ghép từ chữ có thể trông mạnh hơn thực tế.
- Công cụ không thể xét đến thông tin cá nhân như tên, ngày sinh hay tên thú cưng của bạn.
- Dãy phím chỉ tính theo bàn phím QWERTY kiểu Mỹ.
- Đây không phải công cụ kiểm tra rò rỉ; không tra cứu cơ sở dữ liệu mật khẩu bị lộ nào.
- Mật khẩu không rời khỏi trình duyệt và không được lưu hay ghi nhật ký. Tối đa 256 ký tự được đánh giá.
Nguồn dữ liệu
- SecLists: Passwords/Common-Credentials/10k-most-common.txt (MIT License, Copyright (c) 2018 Daniel Miessler)(mở trong thẻ mới) (commit 913b327317496d062bcc7cace524aaad8a693be2) — Ngày kiểm tra: 2026-10-31
- D. L. Wheeler, "zxcvbn: Low-Budget Password Strength Estimation", USENIX Security 2016 (estimation method)(mở trong thẻ mới) — Ngày kiểm tra: 2026-10-31
- NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management (password length guidance)(mở trong thẻ mới) (SP 800-63B-4) — Ngày kiểm tra: 2026-10-31
Công cụ liên quan
- Tạo mật khẩu an toàn (ngẫu nhiên mật mã, không thiên lệch)Tạo mật khẩu ngẫu nhiên ngay trong trình duyệt bằng bộ sinh số ngẫu nhiên an toàn về mật mã (crypto.getRandomValues), không thiên lệch. Chọn độ dài, loại ký tự, loại bỏ ký tự dễ nhầm và xem entropy.
- Tạo và kiểm tra UUID (tạo hàng loạt UUID v4)Tạo cùng lúc tối đa 10.000 UUID ngẫu nhiên phiên bản 4 bằng crypto.randomUUID(), sao chép hoặc tải tệp TXT. Dán một UUID để xem phiên bản, biến thể và thời điểm được nhúng.
- Tính checksum tệp (SHA-256 / SHA-512)Tính giá trị băm SHA-256, SHA-512 của tệp hoặc văn bản ngay trong trình duyệt và đối chiếu với checksum đã công bố. Tệp không bị tải lên.
- Mã hóa và giải mã văn bản (AES-256-GCM bằng mật khẩu)Mã hóa và giải mã văn bản bằng mật khẩu với AES-256-GCM và PBKDF2 ngay trong trình duyệt. Muối và nonce ngẫu nhiên, phát hiện chỉnh sửa, không gửi hay lưu gì.
- Che dữ liệu cá nhân trong văn bảnTìm và che email, số điện thoại, số thẻ, My Number Nhật Bản, số căn cước Đài Loan, địa chỉ IP và URL trong văn bản. Xử lý hoàn toàn trên trình duyệt, không gửi đi và không lưu lại.
- Kiểm tra cấu trúc URL đáng ngờ (@, IP, Punycode, link rút gọn)Dán URL để liệt kê đặc điểm cấu trúc như mẹo dùng “@”, máy chủ là địa chỉ IP, Punycode và trộn hệ chữ, link rút gọn, phần mở rộng kép. Không mở liên kết và không kết luận an toàn hay không.