یک رمز عبور تصادفی با تصادفی‌بودن ایمن از نظر رمزنگاری تولید کنید. در هر درخواست از نو ساخته میشود و هرگز ثبت یا ذخیره نمیشود.
هیچ‌چیزی که تولید میکنید ذخیره نمیشود - رمز عبور در همان درخواست ساخته و بازگردانده میشود و هرگز روی دیسک، در پایگاه داده، حافظه موقت یا گزارش نوشته نمیشود.
رمز عبور قوی رمزی است که مهاجم نتواند آن را حدس بزند یا پیش‌بینی کند، پس باید از منبعی بیاید که خودش هم پیش‌بینی‌پذیر نباشد. این ابزار رمز را با مولد اعداد تصادفی رمزنگاری Python می‌سازد، نه با نوع سریع‌تر ولی پیش‌بینی‌پذیری که در بیشتر زبان‌های برنامه‌نویسی وجود دارد، و دقیقا نشان میدهد چه مقدار کار حدس زدن لازم دارد.
ماژول random معمول Python یک Mersenne Twister است: سریع و عالی برای شبیه‌سازی، اما کل وضعیت درونی آن را می‌توان از 624 خروجی پیاپی 32 بیتی بازسازی کرد و پس از آن هر عددی که تولید کند پیش‌بینی‌پذیر میشود. این ابزار به جای آن از منبع تصادفی رمزنگاری خود سیستم‌عامل از طریق ماژول secrets در Python استفاده میکند که مستندات Python آن را برای رمزهای عبور و توکن‌های امنیتی توصیه میکند. هر تصمیم تصادفی، از جمله درهم‌سازی نویسهها، از همین منبع است.
آنتروپی بر حسب بیت برابر است با طول رمز ضرب در لگاریتم مبنای 2 تعداد نویسههای مختلفی که در هر جایگاه ممکن بود بیایند. برای نمونه، رمزی 16 نویسهای از هر چهار نوع (26 حرف بزرگ، 26 حرف کوچک، 10 رقم و 26 نماد، یعنی 88 نویسه) حدود 103 بیت آنتروپی دارد. هر بیت بیشتر تعداد رمزهایی را که مهاجم باید امتحان کند دو برابر میکند و هر نویسه‌ی بیشتر از این مجموعه حدود 6.5 بیت می‌افزاید، پس چهار نویسه‌ی بیشتر کار حدس زدن را حدود 60 میلیون برابر میکند. سطح نمایش‌داده‌شده (ضعیف، متوسط، قوی، بسیار قوی) از آستانه‌های ثابت بیتی میآید، نه از داوری.
استاندارد NIST SP 800-63B-4 (2025)، بخش 3.1.1.2، می‌گوید رمز عبوری که به‌تنهایی برای ورود به کار می‌رود باید دستکم 15 نویسه باشد، و وقتی فقط بخشی از ورود چندعاملی است دستکم 8 نویسه. همچنین سایت‌ها باید رمزهای دستکم 64 نویسهای را بپذیرند و نباید ترکیب انواع نویسه یا تغییر دوره‌ای را اجباری کنند. قدرت از طول میآید: 20 حرف کوچک 94 بیت میدهد، بیشتر از 12 نویسه از هر چهار نوع (77.5 بیت). اگر سایتی طول را محدود میکند یا نمادها را نمیپذیرد، بیشترین طول مجاز را انتخاب کنید و تیک نمادها را بردارید.
گزینه نمادها از میان 26 نویسه انتخاب میکند: ! @ # $ & * ( ) - _ = + [ ] { } ; : , . < > ? / ~ ^. فاصله، بک‌اسلش، نشانه‌های نقل‌قول، بک‌تیک، % و | کنار گذاشته شده‌اند، چون برخی سیستم‌های قدیمی آن‌ها را نمی‌پذیرند یا خراب می‌کنند. نویسههای شبیه به هم مانند 0 و O، یا l و 1 و I حذف نمی‌شوند، پس رمز را کپی و جای‌گذاری کنید نه اینکه دوباره تایپش کنید. بیت‌های نمایش‌داده فرض می‌کنند رمز محرمانه و یکتا می‌ماند: رمزی که در چند سایت استفاده شود یا در فایلی مشترک بماند، ضعیف‌تر از آن چیزی است که عدد نشان میدهد.
نه. در همان درخواست ساخته و برگردانده میشود و هرگز روی دیسک، پایگاه داده، حافظهی نهان یا گزارش نوشته نمیشود.
همیشه دارد، به شرطی که طول انتخابی دستکم برابر تعداد نوعهای انتخابشده باشد: یک نویسه از هر نوع انتخابشده تضمین میشود و به شانس واگذار نمیشود.
آنتروپی بر حسب بیت را نشان میدهد: کمتر از 40 ضعیف، 40 تا 59 متوسط، 60 تا 79 قوی و 80 یا بیشتر بسیار قوی است. این آستانهها ثابتاند، نه داوری یک مدل.
رمزی که خودتان میسازید بر الگوهای حافظه و عادتهایتان تکیه دارد و همین آن را قابل حدس میکند. رمزی که از منبع تصادفی رمزنگاری میآید الگویی برای حدس زدن ندارد.
به انواع نویسهای که انتخاب میکنید بستگی دارد، چون هر نوع مجموعه نویسهها را بزرگتر میکند. با هر چهار نوع (88 نویسه، حدود 6.46 بیت برای هر نویسه) 10 نویسه به قوی و 13 نویسه به بسیار قوی میرسد. با حروف و ارقام بدون نماد (62 نویسه) 11 و 14، فقط حروف کوچک (26) 13 و 18، و فقط ارقام (10) 19 و 25 نویسه لازم است. تنظیم پیشفرض، 16 نویسه با هر چهار نوع، حدود 103.4 بیت میدهد. یک رمز 8 نویسهای با همه انواع فقط حدود 51.7 بیت دارد، یعنی متوسط.
بله. تیک همه چیز بهجز ارقام (0-9) را بردارید و طول را از 4 به بالا تنظیم کنید. هر رقم در هر جایگاه احتمال برابر دارد، از جمله صفرهای ابتدایی، پس ممکن است 0472 یا حتی 1111 بیاید؛ اگر بانک یا سیستم درِ ورودی ارقام تکراری یا پشتسرهم را نمیپذیرد، دوباره تولید را بزنید. قدرت ضعیف نشان داده میشود: یک PIN چهاررقمی حدود 13.3 بیت (10,000 کد ممکن) و یک PIN ششرقمی حدود 19.9 بیت (1,000,000) است. این برای PIN عادی است، چون فقط جایی امن است که کارت، گوشی یا قفل پس از چند تلاش اشتباه، تلاشهای بعدی را مسدود کند. برای هر چیزی که بتوان آن را آفلاین حدس زد، از یک رمز عبور کامل استفاده کنید.
برای قاعده رایج محل کار، بله. سیاستی مانند "دستکم 12 نویسه با یک حرف بزرگ، یک حرف کوچک، یک عدد و یک نماد" هر بار برآورده میشود اگر هر چهار نوع را تیک بزنید و طول را 12 یا بیشتر بگذارید، چون از هر نوع تیکخورده یک نویسه تضمین شده است. ابزار نمیتواند فهرست نمادهای مجاز، منع نویسههای تکراری یا پشتسرهم، یا قاعده منع نام شما را دنبال کند؛ اگر سامانهای نتیجه را نپذیرفت، دوباره تولید را بزنید. اگر نماد را نمیپذیرد، تیک نمادها (مثلاً !@#&*) را بردارید و 2 نویسه اضافه کنید: 14 حرف و رقم 83.4 بیت میدهد، بیشتر از 12 نویسه از هر چهار نوع (77.5 بیت). رمز Wi-Fi در WPA2-Personal باید 8 تا 63 نویسه ASCII چاپپذیر باشد (IEEE 802.11i-2004، Annex H.4.1؛ Microsoft MS-TCC، بخش 2.2.2.9). هرچه این ابزار تولید میکند ASCII چاپپذیر است، پس هر طولی از 8 تا 63 کار میکند؛ 20 حرف و رقم (حدود 119.1 بیت) روی تلویزیون یا چاپگر راحت تایپ میشود.
نه، نه طبق یک برنامه ثابت. سند NIST SP 800-63B-4 (2025)، بخش 3.1.1.2، می‌گوید تأییدکننده‌ها نباید کاربران را به تغییر دوره‌ای رمز عبور وادار کنند، اما وقتی شواهدی از لو رفتن رمز وجود دارد باید تغییر آن را الزامی کنند. تغییرهای اجباری معمولاً به تغییرهای قابل حدس منجر می‌شوند، مثلاً Winter2026! به Spring2026! تبدیل میشود. پس از اعلان نشت اطلاعات، کلیک روی یک پیوند فیشینگ یا اگر رمز را با کسی در میان گذاشته‌اید، فوراً آن را عوض کنید؛ سپس اینجا یک رمز تازه بسازید و به جای استفاده دوباره در سایتی دیگر، آن را در یک مدیر رمز عبور نگه دارید.