パスワード強度チェック
パスワードを入力すると、文字数・文字の種類・よくある弱いパターンをもとに強度を無料で診断します。入力内容はブラウザ内で完結し外部へ送信されません。
パスワード強度チェックとは
パスワード強度チェックは、入力したパスワードの文字数・使われている文字の種類・よくある弱いパターン（連番・繰り返し・キーボード配列・既知の漏洩パスワード）をもとに、そのパスワードがどれくらい推測されにくいかを診断する無料ツールです。診断結果は「非常に弱い」から「非常に強い」までの5段階と、推定エントロピー（ビット数）、想定される攻撃シナリオごとの破られるまでの目安時間で表示されます。
既存のcrypto.generator.password（ランダムパスワード生成ツール）が新しいパスワードを「作る」ためのツールであるのに対し、本ツールはすでに考えたパスワードや使っているパスワードの強度を「診断する」逆方向のツールです。入力したパスワードは一切外部へ送信されず、診断処理はすべてお使いのブラウザ内で完結します。
パスワード強度チェックの使い方
- 診断したいパスワードを入力する 入力欄に文字列を入力すると、リアルタイムで診断結果が更新されます。
- 表示ボタンで入力内容を確認する 誤入力がないか確認したい場合は「表示」ボタンで文字を可視化できます。
- 強度メーターと注意点を確認する 5段階のメーターと、検出された弱いパターンの一覧を確認します。
- 破られるまでの目安時間を見る オンライン・オフラインの攻撃シナリオ別に、総当たり攻撃で破られるまでの目安時間を確認します。
- 必要に応じて別のパスワードを検討する 強度が不十分な場合は、文字数を増やす・文字種を増やす・既知のパターンを避けるなどの見直しを行います。
使いこなすためのヒント
- 実際に使っているパスワードそのものを入力しなくても、似た構成（長さ・文字種・パターン）のダミーで傾向を確認できます。診断は端末内で完結するため入力しても安全ですが、不安な場合はこの方法が有効です。
- 「非常に強い」と判定されても、他のサービスと使い回している場合は1件の漏洩で他のアカウントも危険にさらされます。サービスごとに別のパスワードを使いましょう。
- 長さを1文字増やすほうが、記号を1文字加えるより強度が上がりやすい傾向があります。迷ったら文字種を増やすより先に長さを伸ばすことを検討してください。
- 診断結果の「総当たり攻撃で破られるまでの目安時間」はあくまで理論値です。実際の攻撃者は辞書攻撃や個人情報からの推測も併用するため、目安を過信しないでください。
- crypto.generator.password（ランダムパスワード生成ツール）で作った候補をここで確認すると、狙った強度になっているかをすぐに検証できます。
パスワード強度チェックの活用シーン
新規登録前のパスワード確認
新しいサービスに登録する際、決めたパスワードが十分な強度かを事前に確認できます。
既存パスワードの棚卸し
長年使っているパスワードが今の基準で見て十分に強いか、見直すきっかけになります。
社内向けパスワードポリシーの説明
複雑さより長さが重要という考え方を、実際の診断結果を見せながら説明する教材として使えます。
パスワード生成ツールの検証
crypto.generator.passwordで生成した候補を貼り付けて、狙った強度になっているかをすぐに確認できます。
用語集
- エントロピー
- パスワードの推測しにくさを表すビット単位の指標です。文字数や文字種が増えるほど値が大きくなり、総当たりで試すべき組み合わせの数が指数的に増えます。
- 総当たり攻撃（ブルートフォース）
- 考えられるすべての組み合わせを機械的に試してパスワードを見つけ出す攻撃手法です。
- 辞書攻撃
- 実際によく使われる単語やフレーズ、過去に漏洩したパスワードのリストを優先的に試す攻撃手法です。単純な単語や既知の弱いパスワードは、総当たり攻撃よりずっと早く見つかります。
- クレデンシャルスタッフィング
- あるサービスから流出したメールアドレスとパスワードの組み合わせを使って、別のサービスへの不正ログインを試みる攻撃です。パスワードの使い回しが被害を広げる原因になります。
- ソルト
- パスワードをハッシュ化して保存する際に付け加えるランダムな文字列です。同じパスワードでも保存される値が変わるため、事前計算した対応表（レインボーテーブル）による攻撃を防ぎます。
- パスワードマネージャー
- サービスごとに異なる複雑なパスワードを生成・記憶・自動入力してくれるソフトウェアです。使い回しを防ぎながら、高強度なパスワードを利用できます。
- パスキー
- パスワードを使わず、端末の生体認証や画面ロックと連携して本人確認を行う認証方式です。フィッシングやパスワードの漏洩に強いとされています。
よくある質問
余談ですが ― パスワードの「複雑さ」神話
かつて多くのサービスは「大文字・小文字・数字・記号をすべて含めること」を必須にしていました。しかしこのルールは、人間がパターンを外れた文字列を覚えるのが苦手なことを見落としていました。結果として、多くの人が「Password1!」のように、単語の先頭を大文字にして末尾に数字と記号を1つ足すだけの、予測しやすい変換パターンに落ち着いてしまいました。攻撃者もこの傾向を知っているため、こうした変換は総当たり攻撃の初期段階で真っ先に試されます。
2017年に米国国立標準技術研究所（NIST）が発表したガイドライン（SP 800-63B）は、この状況を受けて方針を転換しました。定期的な変更の強制や複雑さの要件を課すよりも、単純に「長さ」を確保するほうが実効的な強度につながると明記したのです。ランダムな短い文字列よりも、無関係な単語をいくつかつなげた長いフレーズのほうが、人間には覚えやすく、コンピューターには破りにくいという逆説的な性質があります。
とはいえ、長く複雑なパスワードを人間の記憶力だけに頼る設計そのものに限界があるのも事実です。近年はパスワードマネージャーでランダムな文字列を生成・保管する方法や、生体認証と組み合わせたパスキー（Passkey）のような「パスワードを覚えなくてよい」認証方式への移行が進んでいます。このツールで自分のパスワードの弱点を知ることは、こうした次の一歩を考えるきっかけにもなります。