Как сгенерировать надёжный пароль онлайн
Генератор создаёт случайный пароль длиной от 6 до 64 символов из выбранных наборов: строчных и заглавных латинских букв, цифр и спецсимволов. Случайность берётся из криптографического генератора браузера crypto.getRandomValues, а не из Math.random, поэтому пароль нельзя предсказать по предыдущим результатам или времени генерации.
Пароль создаётся локально на вашем устройстве: он не передаётся на сервер PingDesk и нигде не сохраняется. После закрытия вкладки значение останется только там, куда вы его скопировали.
Ниже — как выбрать длину и набор символов, сколько бит энтропии даёт каждая комбинация и что говорят о паролях актуальные рекомендации NIST.
Как пользоваться генератором
- 1Передвиньте ползунок «Длина» — от 6 до 64 символов, по умолчанию 20. Для паролей, которые хранит менеджер паролей, разумно брать 20 символов и больше.
- 2Отметьте наборы символов: заглавные (A–Z), строчные (a–z), цифры (0–9) и спецсимволы !@#$%^&*()_+-=[]{}|;:,.<>?. Если снять все галочки, генератор использует только строчные буквы.
- 3Нажмите «Сгенерировать новый» или значок обновления рядом с паролем. Изменение длины и наборов само по себе пароль не обновляет — новое значение появляется только после нажатия.
- 4Проверьте результат, если сайт требует обязательную цифру или спецсимвол. Каждый символ выбирается независимо, поэтому генератор не гарантирует, что в пароле окажется знак из каждого отмеченного набора: при длине 20 со всеми наборами цифры не будет примерно в 9 % случаев. В таком случае просто сгенерируйте пароль ещё раз.
- 5Скопируйте пароль кнопкой копирования и сразу сохраните его в менеджер паролей. Индикатор «Надёжность» — упрощённая оценка по длине и отмеченным наборам; точную стойкость показывает таблица энтропии ниже.
Сколько бит энтропии у пароля: таблица по длине и набору символов
Стойкость случайного пароля измеряют энтропией — количеством бит, которые нужно перебрать в худшем случае. Если пароль из L символов составлен из алфавита размером N и каждый символ выбран равновероятно, энтропия равна log2(N^L) = L × log2(N). Каждый дополнительный бит вдвое увеличивает число вариантов.
Формула верна только для действительно случайных паролей, как у этого генератора. Придуманный человеком пароль вроде «Moskva2024!» формально содержит все классы символов, но подбирается словарными атаками и правилами мутаций гораздо быстрее, чем обещает расчёт.
Ориентиры такие: около 60 бит достаточно против онлайн-перебора, который ограничен лимитами сервера; на случай утечки базы с быстрыми хешами нужен запас — 80 бит и больше; 128 бит соответствуют стойкости симметричного ключа AES-128. Из таблицы видно, что длина влияет сильнее алфавита: 16 символов из строчных букв и цифр (82,7 бита) надёжнее, чем 12 символов из всех 88 знаков (77,5 бита). Если сервис не принимает спецсимволы, просто увеличьте длину.
| Набор символов | N | 8 симв. | 12 симв. | 16 симв. | 20 симв. | 32 симв. |
|---|---|---|---|---|---|---|
| Только цифры | 10 | 26,6 | 39,9 | 53,2 | 66,4 | 106,3 |
| Строчные a–z | 26 | 37,6 | 56,4 | 75,2 | 94,0 | 150,4 |
| Строчные и цифры | 36 | 41,4 | 62,0 | 82,7 | 103,4 | 165,4 |
| Оба регистра и цифры | 62 | 47,6 | 71,5 | 95,3 | 119,1 | 190,5 |
| Все наборы генератора | 88 | 51,7 | 77,5 | 103,4 | 129,2 | 206,7 |
Что рекомендует NIST SP 800-63B
NIST SP 800-63B — американский стандарт цифровой аутентификации, на который ориентируются многие сервисы и корпоративные политики безопасности. Его актуальная, четвёртая редакция отказалась от ряда привычных, но вредных требований. Если вы настраиваете политику паролей для своего сайта, админки или внутренних систем, эти пункты — хорошая отправная точка.
- Длина важнее сложности. Если пароль — единственный фактор входа, его минимальная длина — 15 символов; если он используется вместе со вторым фактором — не меньше 8. Сервис должен принимать пароли длиной как минимум до 64 символов.
- Сервис не должен навязывать правила состава вроде «обязательно заглавная буква, цифра и спецсимвол»: они подталкивают людей к предсказуемым шаблонам типа Password1!.
- Принудительная смена пароля по расписанию не нужна. Менять пароль обязательно, когда есть признаки компрометации: утечка, фишинг, подозрительный вход.
- Новые пароли сверяют со списком утёкших, распространённых и словарных паролей и отклоняют совпадения.
- Пароль может содержать любые печатные символы и пробелы. Вставку из буфера обмена и автозаполнение не блокируют, чтобы пользователи могли работать с менеджером паролей.
Пароль или парольная фраза
Парольная фраза — несколько случайных слов подряд, например «ведро-кактус-орбита-жилет-сурок-маяк». Её проще запомнить и набрать на телефоне, чем 20 случайных символов, а стойкость считается так же: по размеру словаря и числу слов во фразе.
В методе Diceware со словарём из 7776 слов — так устроен список EFF — каждое слово даёт log2(7776) ≈ 12,9 бита. Пять слов — около 64,6 бита, шесть — около 77,5 бита, то есть столько же, сколько 12 случайных символов из всех наборов генератора. Важно, чтобы слова выбирались случайно — кубиками или программой. Фразу из цитаты, песни или поговорки подберут по словарям.
Этот генератор создаёт только символьные пароли. Парольная фраза удобна там, где пароль приходится вводить вручную: мастер-пароль менеджера паролей, вход в операционную систему, шифрование диска. Для остальных аккаунтов лучше длинный случайный пароль, который хранит менеджер.
Как хранить пароли и зачем нужна двухфакторная аутентификация
Надёжный пароль бесполезен, если он повторяется на разных сайтах. Базы сервисов утекают регулярно, и злоумышленники автоматически проверяют утёкшие пары «email + пароль» на других сайтах — эта атака называется credential stuffing. Уникальный пароль для каждого аккаунта ограничивает ущерб одним сервисом.
Запомнить десятки случайных паролей невозможно, поэтому их хранит менеджер паролей — например, KeePassXC, Bitwarden или встроенный менеджер браузера. Вы помните один мастер-пароль, а менеджер подставляет остальные и не предложит автозаполнение на поддельном домене.
Двухфакторная аутентификация защищает аккаунт, даже если пароль утёк. Коды из приложения-аутентификатора (TOTP) надёжнее SMS, а аппаратные ключи и passkey на базе FIDO2/WebAuthn устойчивы и к фишингу. В первую очередь включите 2FA для почты, через которую восстанавливают остальные аккаунты, а также для панели хостинга, регистратора домена, DNS-провайдера и репозитория кода.
Чего не делать с паролями
Даже стойкий случайный пароль легко скомпрометировать небрежным обращением после генерации. Вот что встречается чаще всего.
- Не используйте один пароль повторно и не делайте вариации вроде Пароль-site1 и Пароль-site2: такие шаблоны подбираются автоматически.
- Не пересылайте пароли открытым текстом в мессенджерах и почте. Для передачи коллегам используйте общий сейф менеджера паролей.
- Не храните пароли в текстовых файлах, таблицах и заметках без шифрования, а секреты приложений — в репозитории. Для них есть переменные окружения и хранилища секретов.
- Не добавляйте в пароль личные данные: даты рождения, имена, клички питомцев и номера телефонов легко найти в соцсетях.
- Не укорачивайте сгенерированный пароль «для удобства»: каждый удалённый символ из полного набора отнимает около 6,5 бита энтропии.
- Для строк подключения к базе данных и URL учтите, что символы @, :, ?, # и & из набора спецсимволов ломают разбор адреса. Снимите галочку «Символы» и увеличьте длину или закодируйте пароль через URL-кодирование.
Частые вопросы
Какой длины должен быть надёжный пароль?
+
Для пароля, который хранится в менеджере паролей, разумно брать 16–20 случайных символов и больше: 16 символов из всех наборов генератора дают около 103 бит энтропии. Актуальная редакция NIST SP 800-63B требует минимум 15 символов, если пароль — единственный фактор входа. Для паролей, которые нужно вводить вручную, удобнее парольная фраза из 5–6 случайных слов.
Безопасно ли генерировать пароль онлайн?
+
На этой странице пароль создаётся в вашем браузере функцией crypto.getRandomValues и не передаётся на сервер PingDesk, поэтому он не попадает в логи и базы данных. Главный риск — то, что происходит с паролем потом. Сохраните его сразу в менеджер паролей, а не в заметки или переписку.
Нужно ли менять пароль каждые 90 дней?
+
Нет, если нет признаков компрометации. NIST SP 800-63B не рекомендует принудительную периодическую смену: в ответ пользователи выбирают предсказуемые вариации старого пароля. Меняйте пароль после утечки сервиса, фишинга, подозрительного входа или ухода сотрудника, который его знал.
Можно ли использовать один пароль на разных сайтах?
+
Не стоит. После утечки одного сервиса злоумышленники автоматически проверяют ту же пару email и пароль на других сайтах, и один слабый сервис открывает доступ ко всем остальным. Менеджер паролей позволяет держать уникальный пароль для каждого аккаунта без необходимости их запоминать.
Что надёжнее: длинный пароль или сложный?
+
Длинный. Каждый символ умножает число вариантов, поэтому 16 символов из букв обоих регистров и цифр (95,3 бита) надёжнее, чем 12 символов из всех наборов со спецсимволами (77,5 бита). Спецсимволы полезны, но не заменяют длину.
Почему в сгенерированном пароле нет цифры, хотя галочка стоит?
+
Галочка добавляет цифры в алфавит, из которого случайно выбирается каждый символ, но не гарантирует их появления. При длине 20 со всеми наборами пароль без цифр получается примерно в 9 % случаев. Если сайт требует цифру, нажмите «Сгенерировать новый».
Что такое энтропия пароля?
+
Энтропия — мера непредсказуемости в битах: у пароля с энтропией 80 бит 2^80 равновероятных вариантов. Для случайного пароля она считается как длина × log2(размер алфавита). Для придуманных человеком паролей формула завышает стойкость, потому что люди выбирают предсказуемые слова и шаблоны.