Tạo một mật khẩu ngẫu nhiên bằng độ ngẫu nhiên an toàn về mật mã học. Được tạo mới ở mỗi yêu cầu - không bao giờ được ghi nhật ký hay lưu trữ.
Không có gì bạn tạo ra bị lưu trữ - mật khẩu được tạo và trả về trong cùng một yêu cầu, không bao giờ được ghi vào đĩa, cơ sở dữ liệu, bộ nhớ đệm hay nhật ký.
Mật khẩu mạnh là mật khẩu mà kẻ tấn công không thể đoán hay dự đoán, vì vậy nó phải đến từ một nguồn cũng không thể dự đoán. Công cụ này tạo mật khẩu bằng bộ sinh số ngẫu nhiên mật mã của Python, không phải loại nhanh hơn nhưng dễ dự đoán có sẵn trong hầu hết ngôn ngữ lập trình, và cho bạn thấy chính xác cần bao nhiêu công sức để đoán ra nó.
Mô-đun random thông thường của Python là Mersenne Twister: nhanh và rất tốt cho mô phỏng, nhưng toàn bộ trạng thái bên trong có thể được dựng lại từ 624 đầu ra 32 bit liên tiếp, sau đó mọi số nó tạo tiếp theo đều dự đoán được. Công cụ này thay vào đó lấy từ nguồn ngẫu nhiên mật mã của chính hệ điều hành qua mô-đun secrets của Python, mô-đun mà tài liệu Python khuyến nghị cho mật khẩu và token bảo mật. Mọi quyết định ngẫu nhiên, kể cả bước xáo trộn ký tự, đều dùng nguồn này.
Entropy theo bit là độ dài mật khẩu nhân với logarit cơ số 2 của số ký tự khác nhau có thể xuất hiện ở mỗi vị trí. Ví dụ, một mật khẩu 16 ký tự từ cả bốn loại (26 chữ hoa, 26 chữ thường, 10 chữ số và 26 ký hiệu, tổng 88 ký tự) có khoảng 103 bit entropy. Mỗi bit thêm làm gấp đôi số mật khẩu kẻ tấn công phải thử, và mỗi ký tự thêm từ tập đó cộng khoảng 6,5 bit, nên thêm bốn ký tự sẽ nhân công sức đoán lên khoảng 60 triệu lần. Mức hiển thị (Yếu, Khá, Mạnh, Rất mạnh) đến từ các ngưỡng bit cố định, không phải đánh giá chủ quan.
NIST SP 800-63B-4 (2025), mục 3.1.1.2, yêu cầu mật khẩu dùng riêng để đăng nhập phải dài ít nhất 15 ký tự, và ít nhất 8 ký tự khi chỉ là một phần của đăng nhập đa yếu tố. Các trang web cũng phải chấp nhận mật khẩu dài ít nhất 64 ký tự và không được bắt trộn các loại ký tự hay đổi mật khẩu định kỳ. Độ mạnh đến từ độ dài: 20 chữ thường cho 94 bit, nhiều hơn 12 ký tự từ cả bốn loại (77,5 bit). Nếu trang web giới hạn độ dài hoặc không nhận ký hiệu, hãy chọn độ dài lớn nhất được phép và bỏ chọn Ký hiệu.
Tùy chọn Ký hiệu chọn từ 26 ký tự: ! @ # $ & * ( ) - _ = + [ ] { } ; : , . < > ? / ~ ^. Dấu cách, dấu gạch chéo ngược, dấu ngoặc kép, dấu backtick, % và | bị loại vì một số hệ thống cũ từ chối hoặc làm hỏng chúng. Các ký tự trông giống nhau như 0 và O, hay l, 1 và I không bị loại, nên hãy sao chép và dán mật khẩu thay vì gõ lại. Số bit hiển thị giả định mật khẩu được giữ bí mật và không dùng lại: dùng trên nhiều trang hoặc lưu trong tệp chia sẻ thì mật khẩu yếu hơn con số cho thấy.
Không. Nó được tạo và trả về trong cùng một yêu cầu, và không bao giờ ghi vào ổ đĩa, cơ sở dữ liệu, bộ nhớ đệm hay nhật ký.
Luôn có đủ, miễn là độ dài bạn chọn không nhỏ hơn số loại đã chọn: một ký tự của mỗi loại đã chọn được bảo đảm, không phó mặc cho may rủi.
Nó phản ánh entropy theo bit: dưới 40 là Yếu, 40-59 là Khá, 60-79 là Mạnh và từ 80 trở lên là Rất mạnh. Các ngưỡng này cố định, không phải đánh giá của mô hình.
Mật khẩu tự nghĩ dựa vào các khuôn mẫu trong trí nhớ và thói quen của bạn, chính điều đó khiến nó dễ đoán. Mật khẩu từ nguồn ngẫu nhiên mật mã không có khuôn mẫu nào để đoán.
Điều này phụ thuộc vào các loại ký tự bạn chọn, vì mỗi loại làm tập ký tự lớn hơn. Với cả bốn loại (88 ký tự, mỗi ký tự khoảng 6,46 bit), 10 ký tự đạt Mạnh và 13 ký tự đạt Rất mạnh. Với chữ cái và chữ số, không có ký hiệu (62 ký tự), cần 11 và 14; chỉ chữ thường (26), 13 và 18; chỉ chữ số (10), 19 và 25. Mặc định là 16 ký tự với cả bốn loại, cho khoảng 103,4 bit. Một mật khẩu 8 ký tự có đủ mọi loại chỉ được khoảng 51,7 bit, tức mức Khá.
Có. Bỏ chọn mọi mục trừ Chữ số (0-9) và đặt độ dài từ 4 trở lên. Mỗi chữ số có khả năng xuất hiện như nhau ở mọi vị trí, kể cả số 0 ở đầu, nên có thể ra 0472 hoặc thậm chí 1111; nếu ngân hàng hay hệ thống cửa từ chối chữ số lặp lại hoặc liên tiếp, hãy bấm Tạo lần nữa. Độ mạnh sẽ hiện Yếu: mã PIN 4 chữ số khoảng 13,3 bit (10.000 mã có thể) và mã 6 chữ số khoảng 19,9 bit (1.000.000). Điều đó bình thường với mã PIN, vốn chỉ an toàn khi thẻ, điện thoại hoặc khóa chặn các lần thử tiếp theo sau vài lần sai. Với bất cứ thứ gì có thể bị đoán ngoại tuyến, hãy dùng một mật khẩu đầy đủ.
Với quy định thông thường ở nơi làm việc thì có. Một chính sách như "ít nhất 12 ký tự gồm chữ hoa, chữ thường, chữ số và ký hiệu" luôn được đáp ứng khi bạn chọn cả bốn loại và đặt độ dài từ 12 trở lên, vì mỗi loại được chọn chắc chắn có một ký tự. Công cụ không thể theo danh sách ký hiệu được phép, lệnh cấm ký tự lặp hoặc liên tiếp, hay quy tắc không chứa tên bạn, nên nếu hệ thống từ chối kết quả, hãy bấm Tạo lại. Nếu hệ thống không nhận ký hiệu, bỏ chọn Ký hiệu (vd. !@#&*) và thêm 2 ký tự: 14 chữ cái và chữ số cho 83,4 bit, nhiều hơn 12 ký tự đủ bốn loại (77,5 bit). Mật khẩu Wi-Fi WPA2-Personal phải dài 8 đến 63 ký tự ASCII in được (IEEE 802.11i-2004, Annex H.4.1; Microsoft MS-TCC, mục 2.2.2.9). Mọi thứ công cụ này tạo ra đều là ASCII in được, nên độ dài bất kỳ từ 8 đến 63 đều dùng được; 20 chữ cái và chữ số (khoảng 119,1 bit) dễ gõ trên TV hoặc máy in.
Không, không theo lịch cố định. NIST SP 800-63B-4 (2025), mục 3.1.1.2, quy định bên xác minh không được yêu cầu người dùng đổi mật khẩu định kỳ, nhưng phải bắt buộc đổi khi có bằng chứng mật khẩu bị lộ. Việc bắt đổi thường dẫn đến những thay đổi dễ đoán, chẳng hạn Winter2026! thành Spring2026!. Hãy đổi mật khẩu ngay sau khi nhận thông báo rò rỉ dữ liệu, lỡ bấm vào liên kết lừa đảo hoặc nếu đã chia sẻ nó, rồi tạo mật khẩu mới tại đây và lưu trong trình quản lý mật khẩu thay vì dùng lại ở trang khác.