強力なパスワード生成ツール — ランダムなパスワードとパスフレーズ

はい。「個数」を 1,000 までの任意の数に設定すると、現在の設定（ランダムなパスワード、パスフレーズ、PIN）でその数だけ生成します。それぞれ crypto.getRandomValues から独立に生成し、完全に一致する重複は取り除きます。すべてを一度にコピーするか、.txt ファイル（1 行に 1 つ）または .csv ファイルでダウンロードできます。単体のパスワードと同様、リストはブラウザ内で作成され、どこにも送信されません。数桁しかない PIN の場合は、指定した数より異なる値が少なくなることがあり、その場合はツールがお知らせします。

パスワードは、ブラウザが暗号鍵の生成に使うのと同じ乱数源である crypto.getRandomValues によって、ブラウザ内で作成されます。ネットワーク経由で送信されることも、保存されることも、ページのアドレスに書き込まれることも、記録されることもありません。インターネットを切断すれば確認できます。生成ツールは動き続けます。オンラインの生成ツールに共通する唯一のリスクはページ自体が改ざんされることで、だからこそ最も重要なアカウントには、パスワードマネージャーに組み込まれた生成機能が依然として最も安全な選択肢です。

パスワードマネージャーに保存するパスワードなら、ランダムなテキストで 16 文字以上です。NIST の SP 800-63B 第 4 版は、パスワードが唯一の認証要素である場合は最低 15 文字を推奨し、システムは少なくとも 64 文字まで受け付けるべきだとしています。複雑さよりも長さのほうがはるかに効果があります。小文字だけの 16 文字のパスワードは、大文字・小文字・数字・記号を混ぜた 8 文字のパスワードよりもかなり推測されにくいのです。

デバイスのログインやパスワードマネージャーのマスターパスワードのように、記憶して入力しなければならない数少ないパスワードには優れています。NIST はパスフレーズを明確に推奨しています。このツールの 1,169 語のリストから作った 7 語のパスフレーズは約 71 ビットで、覚えやすく推測されにくい一方、20 文字のランダムな文字列はそのどちらでもありません。それ以外のすべてには、ランダムなパスワードを使ってマネージャーに覚えさせましょう。

ビット単位のエントロピーは、攻撃者が必要とする推測の回数を表す尺度です。1 ビット増えるごとにその回数は 2 倍になります。45 ビット未満は、流出したパスワードデータベースへのオフライン攻撃に対して弱く、80 ビットなら安心で、100 ビットを超えると予見できるどんな総当たり攻撃も及びません。よくある色付きの強度メーターより正直な尺度です。そうしたメーターは「P@ssw0rd!」を記号が含まれているという理由で高く評価しがちですが、それが世界で最も推測されているパスワードの 1 つであることを見逃しています。

いいえ。NIST は現在、それをしないよう勧めています。定期的な変更を強制すると、人は小さく予測可能な変更（Summer2025、Summer2026）に流れ、推測されにくくなるどころか推測されやすくなります。現在の指針は、アカウントごとに長く固有のパスワードを使い、侵害の証拠（漏えいの通知など）があった場合にだけ変更することです。

必要です。生成ツールが解決するのは、推測されにくいパスワードを作るという 1 つの問題です。マネージャーは、より難しい問題を解決します。すべてのアカウントで異なる強力なパスワードを、どれも覚えずに使い分けることです。強力なパスワードを生成しても、それをあちこちで使い回せば、そのうちどれか 1 つのサイトが侵害された瞬間に危険にさらされます。