パスワード生成ツール｜安全な乱数で10個まとめて作成（無料・送信なし）

パスワードを自分で考えると、どうしても「覚えやすさ」が優先されて似た形になります。生年月日、キーボードの並び、サービス名の一部。攻撃者はまさにそこから試すので、自分で考えたパスワードは強度の割に破られやすいという問題があります。

このツールは、ブラウザに用意されている暗号学的に安全な乱数（crypto.getRandomValues）を使ってパスワードを生成します。JavaScript でよく使われる Math.random は乱数の質が保証されておらず、パスワード生成には使ってはいけないとされているものです。生成した文字列はページの中だけに存在し、通信は一切発生しません。

「複雑さ」より「長さ」が効く

パスワードの強さはエントロピー（bit）という値で測れます。総当たりで破るのに何通り試す必要があるか、を対数で表したものです。

作り方	文字数	エントロピー	GPU総当たりの目安
英小文字のみ	8文字	約37.6 bit	約1秒
英大小＋数字＋記号	8文字	約50 bit	約1.5時間
英小文字のみ	16文字	約75.2 bit	約6800年
英大小＋数字＋記号	16文字	約100 bit	約2000億年

いずれも「1秒間に1000億回試せるGPU」で総当たりした場合の平均時間です。表を見ると分かるとおり、記号を足すより文字数を倍にするほうが効きます。8文字に記号を混ぜて覚えにくくするより、英小文字16文字のほうが桁違いに強い。この計算はエントロピーの定義そのものから出てくるので、例外はありません。

目安として、重要なアカウントには70 bit 以上を確保しておけば、当面の総当たりでは破られません。上のツールでは生成のたびにエントロピーを表示しています。

「発音しやすい形式」は何のためにあるのか

完全ランダムな文字列は最強ですが、Wi-Fiのパスワードのように人に口頭で伝える場面や、テレビのリモコンで入力する場面には向きません。

そこで用意したのが発音しやすい形式です。子音と母音を交互に並べるため「ホテヌキサ」のように読み上げられます。そのぶんエントロピーは下がりますが、これも表示しているので、必要なら長さを伸ばして補ってください。20文字あればランダム文字列12文字と同等の強さになります。

紛らわしい文字を除くべき場面

0（ゼロ）とO（オー）、l（小文字のエル）と1（イチ）とI（大文字のアイ）は、フォントによってほぼ見分けがつきません。

• 除いたほうがいい：紙に印刷して渡す、口頭で伝える、別の端末に手で入力する
• 除かなくていい：パスワード管理ソフトに保存して自動入力する

除外すると使える文字が5種類減るぶん、わずかに強度が落ちます。管理ソフトを使うなら除外しないほうが得です。

生成したあと、どこに保存するか

強いパスワードを作っても、保存方法が甘ければ意味がありません。現実的な選択肢は3つです。

パスワード管理ソフト（推奨）

1つのマスターパスワードだけを覚え、残りはすべてソフトに任せます。ブラウザ内蔵の機能（Chrome、Safari、Edge）でも十分実用になります。専用ソフトなら 1Password や Bitwarden が定番です。サービスごとに違うパスワードを使うという最重要の原則を、無理なく守れるのがこの方法だけです。

紙に書いて物理的に保管する

意外に思われますが、遠隔から盗めないという点で悪くない方法です。ただし付箋をモニタに貼るのは論外で、引き出しの奥や金庫など、他人の目に触れない場所に限ります。

ブラウザやスマホのメモアプリに平文で置く（非推奨）

端末が乗っ取られた時点で全滅します。とくにクラウド同期されるメモアプリは、そのクラウドアカウントが破られると全部持っていかれます。

使い回しが最大のリスク

実際の被害で圧倒的に多いのは、総当たりではなくパスワードリスト攻撃です。どこかのサービスから流出したメールアドレスとパスワードの組み合わせを、別のサービスでそのまま試す手口です。

この攻撃には、パスワードがどれだけ長くても意味がありません。他人が知っている時点で強度はゼロだからです。防ぐ方法はひとつで、サービスごとに違うパスワードを使うことです。だからこそ管理ソフトが必要になります。

あわせて、二段階認証を有効にできるサービスでは必ず有効にしてください。パスワードが漏れても、もう1つの要素で止められます。

単語をつなぐ「パスフレーズ」という選択肢

ランダムな文字列は強い代わりに、覚えられません。覚える必要があるパスワード（パスワードマネージャーのマスターパスワード、PCのログイン、スマホのバックアップ用）には、単語を組み合わせる方式が向いています。

生成したパスワードが弾かれたときの対処

強いパスワードを作ったのに、サービス側で登録できないことがあります。原因は決まっています。

文字数の上限が厳しいサービスは、パスワードを平文で保存している可能性があります。正しくハッシュ化していれば、元の長さに関係なく一定の長さで保存されるため、上限を設ける理由がないからです。そうしたサービスでは、そこだけで使う専用のパスワードにし、他と絶対に共有しないでください。

定期変更は必要か

「パスワードは3か月ごとに変える」という運用が長く行われてきましたが、現在は推奨されていません。

変更すべきタイミングは次のとおりです。

• そのサービスから情報漏洩の発表があったとき
• 身に覚えのないログイン通知が届いたとき
• 共有していた相手との関係が終わったとき
• フィッシングサイトに入力してしまったとき

漏洩が判明した場合の具体的な手順は、パスワード管理の記事に「流出が判明したときの48時間」としてまとめています。

よくある質問

あわせて読みたい

• パスワード強度チェッカー
• 情報の匠の無料ツール一覧