Пароль из 8 символов
Восемь символов — минимум, который ещё принимают сайты, и уже недостаточный для всего важного. Генератор выдаст лучший из возможных восьмизначных, а ниже разбор, где им можно пользоваться.
Пробел — новый пароль · C — копировать · M — скрыть
Длина пароля
Из чего собирать
Выберите хотя бы один набор символов.
Настройки парольной фразы
Словарь на 2048 слов — ровно 11 бит на каждое слово (метод Diceware). Шесть слов дают 66 бит, восемь — 88. Слова выбирает криптографический генератор, а не человек: в этом вся суть.
Шаблон пароля
a — строчная, A — заглавная, L — любая буква, 9 — цифра, # — символ, X — буква или цифра, * — любой выбранный символ, c/v — согласная/гласная. Остальные знаки подставляются как есть, \ экранирует.
Тонкая настройка
«Только безопасные символы» оставляет !@#$%^&*_-+=? — их принимают почти все сайты, и они не ломают командную строку, CSV и SQL.
Последние пароли (только в этой вкладке)
Что происходит с паролем
Пароль собирается в вашем браузере из криптографического источника случайности crypto.getRandomValues с отбраковкой смещения, поэтому все символы равновероятны.
Страница не отправляет пароли на сервер, не пишет их в память браузера и очищает историю при закрытии вкладки.
Пароль по буквам
Фонетическая расшифровка для диктовки по телефону. Регистр указан отдельно.
Сколько держится
Восемь символов из всех четырёх наборов — это 94⁸ вариантов, около 52 бит. Звучит внушительно, но считать надо не варианты, а время.
Против формы входа, где сервер ограничивает попытки сотней в секунду, перебор занял бы тысячи лет — и такой пароль там держится. Но если база хешей утекла, атакующий перебирает офлайн на своих видеокартах со скоростью в десятки миллиардов попыток в секунду. Те же 52 бита превращаются в несколько часов, а на арендованной ферме — в минуты.
Утечки случаются регулярно, и предполагать надо худший сценарий: пароль рано или поздно окажется в чужой базе хешей.
Когда восьми хватает
Одноразовые регистрации. Форум, чтобы задать один вопрос; сервис, которым вы воспользуетесь дважды. Ничего ценного за такой учётной записью нет.
Когда сайт не даёт больше. Такое ещё встречается у старых банковских систем и корпоративных порталов. Тогда включите все наборы символов, никогда не повторяйте этот пароль и обязательно добавьте второй фактор.
Где восьми не хватает никогда: почта, банк, Госуслуги, менеджер паролей, рабочие учётки. Через них восстанавливают доступ ко всему остальному, и там нужно шестнадцать.
Вопросы
Частые вопросы
Насколько надёжен пароль из 8 символов?
Около 52 бит энтропии, если использованы все четыре набора символов. При офлайн-переборе на видеокарте это часы, а при современных фермах — минуты. Для формы входа с ограничением попыток такой пароль ещё держится, для украденной базы хешей — нет.
Почему сайты требуют именно 8?
Это наследие рекомендаций двадцатилетней давности, когда перебор шёл на процессорах со скоростью тысяч попыток в секунду. Сегодня та же цифра означает совсем другой уровень защиты, но требование во многих системах осталось прежним.
Что делать, если сайт не даёт больше восьми?
Использовать все наборы символов, никогда не повторять этот пароль в других местах и обязательно включить двухфакторную защиту — она компенсирует короткую длину. И заведите привычку менять такой пароль, если сервис сообщил об утечке.
Восьми символов хватит для почты или банка?
Нет. Для почты, банка, менеджера паролей и рабочих учёток берите от 16 символов: через них восстанавливают доступ ко всему остальному.
Дальше