ランダムパスワード生成のガイド：長さ優先、乱数は暗号品質で

パスワードの強さは長さと本物の乱数から来ます。「複雑に見えること」からは来ません。このツールはブラウザ内で生成し、送信も保存もしませんが、覚えてはくれません。

使う場面

サービスの登録、データベースの初期化、サーバの一時パスワード、同僚用の読み取り専用アカウント。どれも人間が「覚えやすいもの」を考えるべき場面ではありません。人間が考えるパスワードはパターンに偏り、辞書攻撃で最初に狙われます。

テスト用アカウントや環境ごとの鍵も、重複しない値が必要です。生成してパスワードマネージャに保存し、以後はそこから取り出す。これが現在もっとも負担の少ない運用です。

乱数はブラウザの crypto.getRandomValues から取得します。OS が提供する暗号用の乱数源です。Math.random は予測可能な擬似乱数で、パスワードやトークン、鍵の生成には絶対に使えません。

既定の文字表は紛らわしい文字を除いた56種類で、16文字なら約93ビットです。記号を加えると69種類、約98ビットになります。強くしたいなら長さを優先してください。1文字増えるごとに探索空間が文字表の分だけ広がります。

処理はすべてローカルです。タブを閉じれば消え、保存も送信もしません。その代わり、自分で覚えておく必要があります。すぐにパスワードマネージャへ保存してください。チャットで送る、チケットに貼るのは公開と同じです。

フィッシング、リスト型攻撃、サーバ側の漏洩は防げません。使い回しの問題も解決しません。古いシステムで長さや記号に制限がある場合は、その規則に従い、許される最大の長さで補ってください。

一部の文字がないのはなぜですか

多くのフォントで見分けがつきにくい文字を既定で除外しているからです。手書きや電話での伝達で間違えにくくなります。除外しても56種類が残るため、強度の損失はわずかです。

どのくらいの長さが必要ですか

通常のアカウントは16文字から、重要なものは20文字以上を目安にしてください。文字種を増やすより長さの効果が大きく、使い回さず管理ツールに保存することがさらに重要です。

生成したパスワードは送信されますか

されません。乱数の取得も結合もブラウザ内で完結し、通信は発生しません。オフラインでも使えますし、開発者ツールで送信がないことも確認できます。