Pembuat Kata Sandi

Panjang kata sandi

16chars

Set karakter yang disertakan

Pembuatan massal

Pembuat kata sandi online gratis, menghasilkan kata sandi kuat acak, frasa sandi mudah diingat, dan PIN angka berdasarkan sumber acak aman Web Crypto. Mendukung deteksi kekuatan, pengecualian karakter yang mudah tertukar, ekspor massal. Dibuat secara lokal di browser, tidak ada unggahan.

Rekomendasi Terkait

PBKDF2 Generator

Hash MD5

Hash SHA-256

Alat Pemeriksa Kekuatan Kata Sandi

Enkripsi dan Dekripsi AES

Apa itu pembuat kata sandi aman?

Pembuat kata sandi adalah alat untuk menghasilkan kata sandi acak yang tidak dapat diprediksi. Berbeda dengan kata sandi yang dirancang manusia, pembuat kata sandi sejati menggunakan **Generator Angka Pseudorandom Aman Kriptografis (CSPRNG)** untuk memilih karakter secara acak dari kumpulan karakter yang ditentukan, menghindari pola yang dapat diprediksi yang melekat saat manusia membuat kata sandi (nama+tanggal lahir, tombol berurutan di keyboard seperti qwerty, nama perusahaan+tahun, dll.), sehingga secara signifikan mengurangi risiko serangan credential stuffing, serangan kamus, dan brute force.

**Mengapa tidak bisa menggunakan Math.random()**: Status internal generator angka pseudorandom biasa dapat ditebak mundur dari sejumlah kecil output, penyerang dapat memprediksi angka «acak» yang dihasilkan selanjutnya. Alat ini menggunakan crypto.getRandomValues() dari Web Crypto API browser, yang pada dasarnya memanggil CSPRNG tingkat sistem operasi (seperti getrandom Linux, SecRandomCopyBytes macOS, BCryptGenRandom Windows), angka acak yang dihasilkan lulus uji keacakan kriptografis, tidak dapat diprediksi.

**Inti kekuatan kata sandi adalah entropi**: Entropi = log₂(ukuran kumpulan karakter^panjang kata sandi), satuannya bit. Misalnya kata sandi 16 karakter dipilih secara acak dari 94 karakter ASCII yang dapat dicetak, entropinya sekitar 104 bit, berarti penyerang rata-rata perlu mencoba 2¹⁰³ kali untuk menemukan kata sandi yang benar — bahkan jika mencoba 1 triliun kali per detik, itu membutuhkan sekitar 200 miliar tahun.

**Frasa sandi mudah diingat (Passphrase)**: Terdiri dari beberapa kata yang dipilih secara acak (seperti Brave-Cloud-Star42), meskipun terlihat «lebih sederhana» daripada kata sandi acak, tetapi jika kata-kata dipilih secara acak nyata, entropi total dapat mencapai di atas 60 bit, cukup aman untuk sebagian besar skenario, dan jauh lebih mudah diingat daripada kata sandi acak dengan kekuatan yang sama. Ini juga merupakan ide inti dari komik klasik XKCD #936 dan metode Diceware.

**Semua kata sandi dibuat secara lokal di browser**, tidak dikirim ke server mana pun. Alat ini juga menyediakan deteksi kekuatan: perhitungan entropi, estimasi waktu peretasan brute force, deteksi pola kata sandi lemah (karakter berulang, angka/huruf berurutan, pencocokan dengan kata sandi lemah umum), membantu Anda memahami kekuatan keamanan sebenarnya dari kata sandi yang dihasilkan.

Kasus penggunaan

Buat kata sandi kuat acak saat mendaftar akun baru, lihat entropi dan waktu peretasan, pastikan keamanan akun
Buat kata sandi sementara secara massal untuk tim atau lingkungan pengujian, distribusikan dengan cepat
Buat frasa sandi mudah diingat untuk kata sandi Wi-Fi atau kata sandi perangkat yang perlu diingat secara manual
Atur PIN perangkat, inisialisasi akun admin, atau reset kata sandi
Ganti kata sandi lemah, ganti kata sandi buatan manusia yang mudah ditebak dengan kata sandi acak berkekuatan tinggi

Cara Penggunaan

Pilih mode kata sandi: kata sandi acak, frasa sandi mudah diingat, atau PIN angka
Atur panjang kata sandi, opsi kumpulan karakter (disarankan di atas 16 karakter), dapat mengaktifkan pengecualian karakter yang mudah tertukar
Lihat hasil deteksi kekuatan: entropi, estimasi waktu peretasan, deteksi kata sandi lemah
Salin kata sandi atau ekspor file TXT secara massal untuk pendaftaran, reset, atau distribusi

Fitur

Pembuatan acak aman: Berdasarkan sumber acak aman kriptografis browser Web Crypto API (crypto.getRandomValues), menghasilkan kata sandi acak yang tidak dapat diprediksi
Tiga mode kata sandi: Mendukung tiga mode: kata sandi acak, frasa sandi mudah diingat (kombinasi kata), dan PIN angka, mencakup tingkat keamanan yang berbeda
Deteksi kekuatan lengkap: Lihat ukuran kumpulan karakter, perhitungan entropi, deteksi kecocokan kata sandi lemah, risiko karakter berulang/berurutan, estimasi waktu peretasan brute force
Kecualikan karakter yang mudah tertukar: Dapat mengecualikan karakter yang mudah tertukar seperti 0/O/1/l/I, cocok untuk skenario input manual, diucapkan lewat telepon
Pembuatan dan ekspor massal: Mendukung pembuatan massal 5/10/20 kata sandi, unduh TXT dalam satu klik, memudahkan distribusi tim dan inisialisasi lingkungan pengujian
Dibuat secara lokal tanpa unggahan: Semua kata sandi dibuat secara lokal di browser, tidak dikirim ke server mana pun

Kata Sandi Acak vs Frasa Sandi Mudah Diingat vs PIN Angka: Mana yang Harus Dipilih?

Tiga mode kata sandi memiliki kelebihan dan kekurangan masing-masing. Memilih mode yang salah berarti tidak bisa diingat, mudah dicuri, atau benar-benar tidak sesuai dengan skenario. Berdasarkan 'siapa yang mengingat, siapa yang memasukkan, siapa yang menyimpan' untuk memilih, dapat menghindari banyak jalan memutar.

Mode	Pertanyaan tipikal untuk memilihnya	Kekuatan Keamanan	Kemudahan Penggunaan	Pengguna Tipikal
Kata Sandi Acak	「Saya tidak pernah mengetik secara manual, biarkan pengelola kata sandi mengisi otomatis」	Tinggi (16 karakter dapat mencapai ~104 bit)	Buruk (tidak bisa diingat, pengelola wajib)	Email utama, bank, akun media sosial, kunci API
Frasa Sandi Mudah Diingat	「Saya perlu bisa menjelaskannya secara lisan, mengetik dengan tangan, dan cukup aman」	Sedang-Tinggi (5-6 kata Diceware ≈ 64-77 bit)	Baik (dapat dibaca manusia, dapat diucapkan)	Kata sandi utama, Wi-Fi, kata sandi yang perlu dimasukkan di banyak perangkat
PIN Angka	「Hanya 0-9, karena keterbatasan perangkat」	Rendah (6 digit hanya ~20 bit, 10 digit pun hanya ~33 bit)	Baik (dapat dimasukkan dengan papan ketik numerik)	Layar kunci perangkat, PIN kartu bank, kode verifikasi sekali pakai

Best Practices

Setelah dihasilkan segera simpan di pengelola kata sandi, jangan biarkan di layar terlalu lama

Kata sandi kuat yang baru dihasilkan dalam kondisi 'teks polos penuh', tinggal di papan klip, layar, riwayat browser semuanya adalah titik risiko. Hasilkan → Segera isi di situs target → Bersihkan papan klip, jangan selipkan pekerjaan lain di antara tiga langkah. **Sama sekali jangan** menyimpan tangkapan layar kata sandi yang dihasilkan ke album, apalagi tulis di kertas lalu difoto dan dikirim ke orang lain. Kata sandi alat ini hanya ada di halaman saat ini, akan hilang setelah menyegarkan atau menutup halaman, harap siapkan lokasi penyimpanan terlebih dahulu sebelum klik hasilkan.

Apakah kata sandi yang dihasilkan diunggah ke server?

Kata sandi utama gunakan 'frasa sandi mudah diingat yang panjang', akun lain gunakan kata sandi acak 16-20 karakter

Strategi berlapis: kata sandi utama (membuka pengelola kata sandi) harus dapat diingat manusia dan cukup kuat → pilih frasa sandi mudah diingat Diceware 5-6 kata. 99% situs web/layanan lainnya gunakan kata sandi acak 16-20 karakter + isi otomatis pengelola kata sandi. **Jangan pernah** menggunakan frasa sandi mudah diingat untuk setiap situs web (sulit diingat, mudah dilemahkan), dan **jangan pernah** menggunakan kata sandi acak untuk kata sandi utama (Anda akan menuliskannya, keamanan menjadi nol). Ini adalah pemikiran berlapis inti dari pengelolaan kata sandi.

Berapa panjang kata sandi yang aman?Mana yang lebih aman: kata sandi acak atau frasa sandi mudah diingat?

Hanya kecualikan karakter yang mudah tertukar saat perlu input manual

Mengecualikan karakter yang mudah tertukar seperti 0/O/1/l/I akan secara signifikan mengurangi ukuran kumpulan karakter (entropi berkurang 5-10 bit pada panjang yang sama), **hanya saat perlu input manual, penjelasan lewat telepon, pencetakan untuk distribusi** baru disarankan untuk diaktifkan. Jika kata sandi hanya digunakan di pengelola kata sandi, pertahankan semua karakter yang dapat dicetak untuk mendapatkan entropi yang lebih tinggi. Satu metode penilaian sederhana: 「Akankah kata sandi ini suatu hari perlu saya ketik dengan jari?」 — Perlu ya kecualikan, tidak perlu ya jangan.

Mengapa mengecualikan karakter yang mudah tertukar (0/O/1/l/I)?

Pembuatan batch hanya untuk skenario pengujian/distribusi, jangan gunakan metode yang sama untuk akun produksi

Alur kerja membuat 5/10/20 kata sandi dalam batch terutama berlaku untuk: inisialisasi lingkungan pengujian, distribusi akun sementara, pembuatan kode undangan, output satu kali kunci API. **Jangan** menggunakan salah satu hasil pembuatan batch untuk akun produksi Anda — kata sandi yang dihasilkan dalam batch biasanya dihasilkan dengan aturan yang sama, ciri-ciri jelas (set karakter, panjang, jenis generator), setelah satu akun bocor penyerang dapat menebak perbedaan struktural dari kata sandi batch lainnya. Kata sandi akun produksi harap dihasilkan dan disimpan secara terpisah.

Dihasilkan secara lokal, tidak diunggah

Kata sandi baru baru benar-benar aman jika dikombinasikan dengan 2FA

Sebaik apapun kata sandi tidak berdaya di hadapan phishing, keylogger, kebocoran basis data kata sandi, orang dalam operator telekomunikasi. **Akun penting apa pun (email, bank, sosial, penyimpanan cloud) harus mengaktifkan otentikasi dua faktor (2FA)**, TOTP (Google Authenticator / Authy) > kunci perangkat keras (YubiKey) > SMS. **Hindari penggunaan 2FA SMS** (serangan SIM swap dapat dilewati). Kata sandi kuat + 2FA + pengelola kata sandi, ketiganya tidak boleh hilang satu pun, 2FA adalah perlindungan terakhir setelah kata sandi bocor.

NIST SP 800-63B - Pedoman Otentikasi Identitas Digital

Kata sandi yang sudah bocor, periksa dulu dengan HIBP sebelum memutuskan untuk mengatur ulang

Ketika mencurigai suatu kata sandi bocor (melihat berita bahwa suatu situs web diretas, menerima email phishing, dll.), jangan langsung ubah kata sandi — pertama gunakan Pwned Passwords API dari Have I Been Pwned (HIBP) untuk memeriksa apakah kata sandi ini benar-benar muncul di basis data kebocoran. HIBP menyediakan API k-anonim, alat ini di masa depan dapat mempertimbangkan integrasi; sekarang Anda dapat secara manual ke haveibeenpwned.com/Passwords menggunakan 5 karakter pertama SHA-1 untuk melakukan kueri. Hanya jika dikonfirmasi ada di basis data maka perlu perubahan mendesak, yang tidak bocor tidak perlu diubah secara paksa untuk 'ketenangan psikologis' (NIST secara eksplisit tidak lagi merekomendasikan perubahan kata sandi berkala).

Have I Been Pwned - Pemeriksaan Kebocoran Kata Sandi

Pertanyaan Umum

Mengapa menggunakan Web Crypto API daripada Math.random()?

Math.random() adalah generator angka pseudorandom umum, tidak dirancang untuk skenario keamanan, status internalnya dapat ditebak mundur. crypto.getRandomValues() menggunakan sumber acak aman kriptografis (CSPRNG) dari sistem operasi, menghasilkan angka acak yang tidak dapat diprediksi, cocok untuk skenario keamanan seperti kata sandi, kunci.

Apakah kata sandi yang dihasilkan diunggah ke server?

Tidak. Semua kata sandi dibuat secara lokal di browser, analisis kekuatan, perhitungan entropi, dan estimasi waktu peretasan juga sepenuhnya dilakukan secara lokal. Buka panel jaringan alat pengembang dapat memverifikasi tidak ada permintaan jaringan luar.

Berapa panjang kata sandi yang aman?

Disarankan setidaknya 12 karakter yang mencakup huruf besar+huruf kecil+angka+simbol. Kata sandi acak 16 karakter membutuhkan miliaran tahun untuk diretas dengan brute force pada komputasi modern. Setiap kali panjang ditambah satu karakter, ruang pencarian tumbuh secara eksponensial. Lihat tabel waktu peretasan di atas.

Mana yang lebih aman: kata sandi acak atau frasa sandi mudah diingat?

Dengan panjang yang sama, kata sandi acak memiliki entropi lebih tinggi. Namun frasa sandi mudah diingat (terdiri dari 4-6 kata acak) juga memiliki entropi total yang cukup tinggi (di atas ~60bit), dan lebih mudah diingat, cocok untuk skenario yang memerlukan input manual. Kuncinya adalah kata-kata harus dipilih secara acak nyata, bukan frasa yang Anda buat sendiri.

Mengapa mengecualikan karakter yang mudah tertukar (0/O/1/l/I)?

Karakter-karakter ini sulit dibedakan pada beberapa font, mudah menyebabkan kesalahan input. Jika kata sandi perlu dimasukkan secara manual, diucapkan lewat telepon, atau dicetak untuk didistribusikan, disarankan mengaktifkan opsi pengecualian. Jika hanya digunakan oleh pengelola kata sandi, mempertahankan semua karakter akan mendapatkan entropi lebih tinggi.

Apakah mengganti kata sandi secara berkala lebih aman?

Pedoman terbaru NIST (SP 800-63B) tidak lagi menyarankan penggantian kata sandi secara berkala, kecuali jika dipastikan kata sandi telah bocor. Pemaksaan penggantian berkala justru menyebabkan pengguna memilih kata sandi lemah atau menuliskannya. Cara yang lebih baik adalah: gunakan kata sandi acak panjang + pengelola kata sandi + aktifkan otentikasi dua faktor (2FA).

Apa itu entropi kata sandi?

Entropi mengukur ketidakpastian kata sandi, satuannya bit. Entropi = log₂(ukuran kumpulan karakter^panjang kata sandi). Misalnya kata sandi 16 karakter dipilih secara acak dari 94 karakter ASCII yang dapat dicetak, entropinya adalah log₂(94¹⁶) ≈ 104 bit. Semakin tinggi entropi, semakin sulit brute force.

Glosarium

CSPRNG (Generator Angka Pseudorandom Aman Kriptografis): Cryptographically Secure Pseudo-Random Number Generator, generator angka acak yang lulus uji keacakan kriptografis yang ketat. Output tidak dapat diprediksi, bahkan jika penyerang mengetahui banyak output historis pun tidak dapat menyimpulkan output selanjutnya. Web Crypto API browser pada dasarnya menggunakan CSPRNG.
Entropi Kata Sandi: Indikator yang mengukur ketidakpastian kata sandi, satuannya bit. Rumus perhitungan: entropi = log₂(N^L), di mana N adalah ukuran kumpulan karakter, L adalah panjang kata sandi. Semakin tinggi entropi, semakin sulit brute force. Umumnya di atas 60 bit adalah aman, di atas 100 bit adalah sangat kuat.
Serangan Brute Force: Metode serangan yang mencoba semua kombinasi karakter yang mungkin untuk menebak kata sandi. Metode pertahanan adalah menggunakan kata sandi acak yang cukup panjang, membuat jumlah kombinasi besar secara fisik tidak dapat dihitung.
Serangan Kamus (Dictionary Attack): Metode serangan yang menggunakan daftar kata sandi umum (seperti 123456, password, qwerty, dll.) untuk menebak. Jauh lebih efisien daripada brute force, karena sebagian besar pengguna menggunakan kata sandi lemah umum. Kata sandi yang dihasilkan secara acak secara alami kebal terhadap serangan kamus.
Serangan Credential Stuffing: Menggunakan nama pengguna dan kata sandi yang bocor dari satu situs web untuk mencoba masuk ke situs web lain. Metode pertahanan adalah menggunakan kata sandi unik untuk setiap situs web dan memeriksa apakah kata sandi telah bocor melalui Have I Been Pwned.
Frasa Sandi Mudah Diingat (Passphrase): Kata sandi/frasa sandi yang terdiri dari beberapa kata acak. Dibandingkan dengan kata sandi karakter acak, frasa kata lebih mudah diingat, ketika jumlah kata cukup banyak, entropinya juga sangat tinggi. Diceware adalah metode pembuatan frasa sandi mudah diingat yang paling terkenal, menggunakan dadu untuk memilih secara acak dari daftar 7772 kata.
Diceware: Metode pembuatan frasa sandi yang ditemukan oleh Arnold Reinhold pada tahun 1995, menggunakan 5 dadu untuk menentukan satu kata (dipilih dari daftar 7776 kata). 6 kata Diceware memiliki entropi sekitar 77 bit, keamanannya cukup untuk menahan serangan brute force.
NIST SP 800-63B: Pedoman otentikasi identitas digital yang dikeluarkan oleh Institut Standar dan Teknologi Nasional Amerika Serikat, merupakan referensi paling otoritatif di bidang keamanan kata sandi. Setelah pembaruan tahun 2017, tidak lagi menyarankan penggantian kata sandi secara berkala, tidak lagi mewajibkan karakter khusus, sebaliknya menekankan panjang kata sandi, deteksi daftar hitam, dan otentikasi multi-faktor.
Otentikasi Dua Faktor (2FA/MFA): Memerlukan metode verifikasi identitas kedua selain kata sandi (seperti kode verifikasi ponsel, TOTP, kunci perangkat keras), bahkan jika kata sandi bocor pun dapat melindungi keamanan akun. NIST merekomendasikan mengaktifkan 2FA untuk semua akun penting.
Daftar Hitam Kata Sandi Lemah: Daftar kata sandi yang telah bocor secara publik, sangat umum, atau mengandung pola yang dapat diprediksi. Seperti 123456, password, admin, qwerty, dll. NIST merekomendasikan memeriksa apakah ada dalam daftar hitam saat mendaftar dan mengubah kata sandi.

Estimasi Panjang Kata Sandi dan Waktu Peretasan (huruf besar+huruf kecil+angka+simbol)

Panjang Kata Sandi	Entropi(bit)	Jumlah Kombinasi	Waktu Peretasan Brute Force (1 triliun per detik)	Peringkat Keamanan
`6 karakter`	`~37`	sekitar 139 miliar	< 1 detik	❌ Sangat lemah
`8 karakter`	`~52`	sekitar 2.2×10¹⁴	sekitar 2.5 hari	❌ Lemah
`10 karakter`	`~65`	sekitar 3.7×10¹⁸	sekitar 116 tahun	⚠️ Sedang
`12 karakter`	`~78`	sekitar 6.1×10²²	sekitar 1.93 juta tahun	✅ Kuat
`16 karakter`	`~104`	sekitar 6.3×10³⁰	sekitar 200 miliar tahun	✅✅ Sangat kuat
`20 karakter`	`~131`	sekitar 6.7×10³⁸	miliaran kali usia alam semesta	✅✅✅ Tidak dapat diretas

Perbandingan Tiga Mode Kata Sandi

Mode	Contoh Format	Entropi Khas	Mudah Diingat	Kasus yang Direkomendasikan
Kata Sandi Acak	`xK9#mP2$vL8@nQ4!`	~6.5bit/karakter	Buruk	Kata sandi utama untuk pengelola kata sandi, kata sandi database, kunci API
Frasa Sandi Mudah Diingat	`Brave-Cloud-Star42`	~10bit/kata	Baik	Kata sandi Wi-Fi, kata sandi masuk yang perlu diingat secara manual
PIN Angka	`482917`	3.3bit/angka	Baik	Layar kunci perangkat, PIN kartu bank, kode verifikasi sekali pakai

Authoritative References

ReferenceNIST SP 800-63B - Pedoman Identitas Digital
ReferenceOWASP Lembar Contekan Keamanan Kata Sandi
ReferenceMDN Web Docs - crypto.getRandomValues()
ReferenceWikipedia - Kekuatan Kata Sandi
ReferenceHave I Been Pwned - Pemeriksaan Kebocoran Kata Sandi