生成したものは何も保存されません。パスワードは同じリクエストの中で作成されて返され、ディスクやデータベース、キャッシュ、ログに書き込まれることは一切ありません。
生成したものは何も保存されません。パスワードは同じリクエストの中で作成されて返され、ディスクやデータベース、キャッシュ、ログに書き込まれることは一切ありません。
強いパスワードとは、攻撃者が推測も予測もできないパスワードです。そのため、パスワード自体も予測できない仕組みから生まれる必要があります。このツールは、多くのプログラミング言語に組み込まれている高速だが予測可能な乱数ではなく、Python の暗号論的乱数生成器でパスワードを作り、推測にどれだけの手間がかかるかを正確に示します。
Python の標準的な random モジュールはメルセンヌ・ツイスタです。高速でシミュレーションには最適ですが、連続する 32 ビットの出力を 624 個集めれば内部状態をすべて復元でき、その後に出る数はすべて予測できてしまいます。このツールは代わりに、Python のドキュメントがパスワードやセキュリティトークン向けに推奨する secrets モジュールを通じて、OS 自身の暗号論的乱数源を使います。文字の並べ替えを含むすべてのランダムな判断がこれを使います。
ビット単位のエントロピーは、パスワードの長さに、各位置に現れうる文字の種類数の 2 を底とする対数を掛けたものです。たとえば 4 種類すべて（英大文字 26、英小文字 26、数字 10、記号 26、計 88 文字）から作った 16 文字のパスワードは約 103 ビットです。1 ビット増えるごとに攻撃者が試すべきパスワードの数は 2 倍になり、この文字集合から 1 文字増やすと約 6.5 ビット増えるので、4 文字増やせば推測の手間は約 6000 万倍になります。表示される強度（弱い・まあまあ・強い・非常に強い）は固定のビット数のしきい値で決まり、主観ではありません。
NIST SP 800-63B-4（2025）の 3.1.1.2 節は、単独でログインに使うパスワードは 15 文字以上、多要素認証の一部としてのみ使う場合は 8 文字以上を求めています。また、サイトは 64 文字以上のパスワードを受け付けなければならず、文字種の組み合わせや定期的な変更を強制してはならないとしています。強さを生むのは長さです。英小文字 20 文字は 94 ビットで、4 種類すべてを使った 12 文字（77.5 ビット）を上回ります。サイトが長さを制限したり記号を受け付けなかったりする場合は、許される最大の長さを選び、「記号」のチェックを外してください。
「記号」オプションは次の 26 文字から選びます：! @ # $ & * ( ) - _ = + [ ] { } ; : , . < > ? / ~ ^。スペース、バックスラッシュ、引用符、バッククォート、% と | は、古いシステムで拒否されたり化けたりすることがあるため含みません。0 と O、l と 1 と I のように見分けにくい文字は除外されないので、パスワードは打ち直さずにコピーして貼り付けてください。表示されるビット数は、パスワードが秘密で使い回されていないことが前提です。複数のサイトで使い回したり、共有ファイルに保存したりすると、数字より弱くなります。
いいえ。同じリクエストの中で生成して返し、ディスク、データベース、キャッシュ、ログには一切書き込みません。
選んだ長さが選んだ種類の数以上であれば、必ずすべて入ります。選んだ種類ごとの 1 文字は運任せではなく保証されています。
ビット単位のエントロピーを表します。40 未満は「弱い」、40 から 59 は「まあまあ」、60 から 79 は「強い」、80 以上は「非常に強い」です。しきい値は固定で、モデルの判断ではありません。
自分で考えたパスワードは記憶や習慣のパターンに頼るため、まさにそこから推測されます。暗号論的乱数源から作ったパスワードには推測できるパターンがありません。
チェックした文字の種類によって変わります。種類を増やすほど使える文字の数が増えるためです。4 種類すべて（88 文字、1 文字あたり約 6.46 ビット）なら、10 文字で「強い」、13 文字で「非常に強い」になります。記号なしの英字と数字（62 文字）では 11 文字と 14 文字、小文字のみ（26 文字）では 13 文字と 18 文字、数字のみ（10 文字）では 19 文字と 25 文字が必要です。初期設定の 4 種類 16 文字は約 103.4 ビットです。すべての種類を含む 8 文字のパスワードは約 51.7 ビットにとどまり、「まあまあ」です。
作れます。数字 (0-9) 以外のチェックをすべて外し、長さを 4 以上にしてください。どの桁にもどの数字も同じ確率で出るため、先頭の 0 を含め 0472 や 1111 のような番号も出ます。銀行やドアのシステムが同じ数字の繰り返しや連番を受け付けない場合は、もう一度 生成 を押してください。強度は 弱い と表示されます。4 桁の PIN は約 13.3 ビット（10,000 通り）、6 桁は約 19.9 ビット（1,000,000 通り）です。PIN としてはこれが普通で、カード、スマートフォン、錠が数回の入力ミスでそれ以上の試行を止める場面でのみ安全です。オフラインで推測される可能性があるものには、通常のパスワードを使ってください。
一般的な社内ルールなら満たせます。「12 文字以上で、大文字・小文字・数字・記号をそれぞれ含む」といったポリシーは、4 種類すべてにチェックを入れて長さを 12 以上にすれば毎回満たされます。チェックした種類ごとに 1 文字が必ず入るためです。使える記号の一覧、同じ文字や連続した文字の禁止、名前を含めないといったルールには対応できないので、システムに拒否されたらもう一度「生成」を押してください。記号が使えない場合は「記号（例：!@#&*）」のチェックを外して 2 文字増やします。英字と数字の 14 文字は 83.4 ビットで、4 種類の 12 文字（77.5 ビット）より強くなります。WPA2-Personal の Wi-Fi パスワードは、印字可能な ASCII 文字で 8 から 63 文字と決められています（IEEE 802.11i-2004、Annex H.4.1、Microsoft MS-TCC 2.2.2.9 節）。このツールが出力する文字はすべて印字可能な ASCII なので、8 から 63 のどの長さでも使えます。英字と数字の 20 文字（約 119.1 ビット）ならテレビやプリンターでも入力しやすくなります。
いいえ、決まった周期で変える必要はありません。NIST SP 800-63B-4 (2025) の 3.1.1.2 節は、検証者は利用者に定期的なパスワード変更を求めてはならず、漏えいの証拠がある場合には変更を強制しなければならないと定めています。強制的な変更は、Winter2026! を Spring2026! にするような推測しやすい変更を生みがちです。漏えいの通知を受けたとき、フィッシングのリンクを開いてしまったとき、他人に教えたときはすぐに変更し、ここで新しいパスワードを生成して、他のサイトで使い回さずにパスワードマネージャーに保存してください。