🔓 パスワード強度チェッカー

文字種を増やすより、長くするほうが効きます。記号まで混ぜた8文字（52.4ビット）より、 英小文字だけの12文字（56.4ビット）のほうが強いという関係です。 記号を1文字足して増えるのは数ビットですが、4文字伸ばすと20ビット以上増えます。 迷ったら12文字以上、重要なアカウントは16文字以上を目安にしてください。

「流出後にGPUで破られるまで」は、サービス側からハッシュ値が漏れ、攻撃者が手元で 1秒あたり100億回 の速度で総当たりする前提です。ログイン画面から試す場合は回数制限があるため、実際にはもっと長くかかります。 逆に、そのパスワードが過去の漏洩データに載っていれば、強度に関係なく1回で破られます。

このチェッカーは長さと文字種だけを見ているわけではありません。 下の型に当てはまると、計算上のエントロピーが高くても減点します。攻撃側は総当たりの前に、まずこうしたパターンを試すためです。

強度の判定は「総当たりに強いか」だけを見ています。どれだけ強くても、他サービスと使い回していれば意味がありません。そちらから漏れた時点で、正解が分かっている状態で試されるためです。次の順で確認してください。

1. 漏洩パスワードチェックで、過去の流出データに載っていないかを調べる（載っていたら強度に関係なく変更してください）
2. ランダム文字列発行で12文字以上の新しいパスワードを作り、サービスごとに別のものを使う
3. 覚えきれない分はパスワード管理ソフトに預ける。ファイルで渡す必要があるときはパスワード付きZIP作成が使えます

「パスワードの強度」「強さ」「危険度」「安全性」は、どれも同じことを指します。「診断」「判定」「チェック」も同じで、呼び方が違うだけです。 ただし実際に測っているものは2種類あり、こちらは意味がまったく違います。

強度が「非常に強い」と出ても、流出していれば1回で破られます。攻撃者はまず流出リストを試すからです。長さも文字種も足りているのに被害に遭うのはこの経路で、 強度の判定だけでは分かりません。 いま使っているパスワードが流出していないかはパスワード漏洩チェックで確認できます （こちらもパスワードそのものは送信しない作りです）。使い回しているパスワードほど、強度より先にこちらを見てください。

このツールの判定はエントロピー（情報量・bit）を求めて 「危険・弱い・普通・強い・非常に強い」の5段階に割り当てています。 文字の種類を増やすほど、長くするほど上がりますが、よく使われるパスワードの一覧に当てはまるものは、それだけで下げています。見た目が複雑でも辞書にある語や並びは最初に試されるので、 組み合わせの数だけで数えると実態より強く出てしまうためです。