Генератор паролей

Длина пароля

16chars

Включённые наборы символов

Пакетная генерация

Бесплатный онлайн-генератор паролей, использующий CSPRNG Web Crypto для надежных случайных паролей, парольных фраз и PIN. Проверка надежности, исключение неоднозначных символов, пакетный экспорт. Генерируется локально в браузере.

Что такое безопасный генератор паролей?

Генератор паролей создает случайные, непредсказуемые пароли. В отличие от паролей, выбранных человеком, настоящий генератор использует Криптографически Безопасный Генератор Псевдослучайных Чисел (CSPRNG) для случайного выбора символов из заданного пула, избегая предсказуемых человеческих паттернов (имя+день рождения, клавиатурные последовательности вроде qwerty, компания+год), резко снижая риск атак по словарю и подстановки учетных данных.

**Почему не Math.random()?** Общие ГПСЧ имеют внутреннее состояние, которое может быть обратно преобразовано из малых выходов, позволяя злоумышленникам предсказывать будущие «случайные» числа. Этот инструмент использует API Web Crypto браузера — поддерживаемый CSPRNG на уровне ОС (getrandom Linux, SecRandomCopyBytes macOS, BCryptGenRandom Windows), которые проходят тесты криптографической случайности.

**Энтропия — ядро надежности пароля**: Энтропия = log₂(N^L) бит, где N = размер пула символов, L = длина. 16-символьный пароль из 94 печатных ASCII-символов имеет ~104 бит — в среднем 2¹⁰³ попыток для взлома, или около 200 млрд лет при 1 трлн попыток/сек.

**Парольные фразы** из нескольких случайно выбранных слов (как Brave-Cloud-Star42) выглядят «проще», но достигают 60+ бит, когда слова действительно случайны — достаточно для большинства сценариев, и гораздо легче запоминаются, чем пароли из случайных символов. Это подход Diceware / XKCD #936.

Все пароли генерируются локально в вашем браузере без отправки. Инструмент также обеспечивает проверку надежности: расчет энтропии, оценка времени грубой силы и обнаружение слабых паттернов (повторяющиеся символы, последовательные цифры/буквы, соответствие распространенным паролям).

Варианты использования

Генерируйте надежные случайные пароли для новых учетных записей, проверяйте энтропию и время взлома
Пакетно генерируйте временные учетные данные для команд или тестовых сред
Генерируйте запоминаемые парольные фразы для паролей Wi-Fi или устройств
Настраивайте PIN устройств, инициализируйте учетные записи администраторов или сбрасывайте пароли
Заменяйте слабые пароли, созданные человеком, на надежные случайные

Как использовать

Выберите режим: Случайный, Парольная фраза или PIN
Настройте длину и параметры символов (рекомендуется 16+), опционально исключите неоднозначные символы
Проверьте надежность: энтропия, оценка времени взлома, обнаружение слабых паролей
Скопируйте или экспортируйте пакетно в TXT для регистрации/сброса/распространения

Функции

Генерация CSPRNG: использует Web Crypto браузера (crypto.getRandomValues) для криптографически безопасной случайности
Три режима: Случайный пароль, Запоминаемая парольная фраза (комбинация слов), Цифровой PIN
Полный индикатор надежности: размер пула символов, энтропия, обнаружение слабых паролей, риск последовательных/повторяющихся символов, оценка времени грубой силы
Исключать неоднозначные: опционально пропускать 0/O/1/l/I для сценариев ручного ввода
Пакетная генерация: генерируйте 5/10/20 паролей сразу с загрузкой TXT
Только локально: вся генерация и анализ происходят в браузере, данные не отправляются

Случайный пароль vs Запоминаемая фраза vs Цифровой PIN: что выбрать?

У каждого из трех режимов паролей свои компромиссы. Неправильный выбор означает, что пароль невозможно запомнить, его легко украсть или он не подходит для сценария. Выбирайте по принципу «кто запоминает, кто вводит, кто хранит» — это избавит от множества проблем.

Режим	Типичный вопрос при выборе	Сила безопасности	Удобство	Типичный пользователь
Случайный пароль	«Я никогда не ввожу вручную, только через менеджер паролей»	Высокая (16 символов ≈ 104 бит)	Низкая (не запоминается, нужен менеджер)	Основная почта, банк, соцсети, API-ключи
Запоминаемая фраза	«Нужно уметь продиктовать, набрать вручную и быть в безопасности»	Средне-высокая (5-6 слов Diceware ≈ 64-77 бит)	Хорошая (читаемая, произносимая)	Главный пароль, Wi-Fi, пароли для разных устройств
Цифровой PIN	«Только 0-9, ограничение устройства»	Низкая (6 цифр всего ~20 бит, 10 цифр — лишь ~33 бит)	Хорошая (вводится с цифровой клавиатуры)	Блокировка устройства, PIN банковской карты, одноразовые коды

Best Practices

Сразу сохраняйте в менеджер паролей, не держите долго на экране

Только что сгенерированный надежный пароль находится в состоянии «открытый текст» — в буфере обмена, на экране, в истории браузера все это точки риска. Сгенерировать → сразу вставить на целевой сайт → очистить буфер обмена, между этими тремя шагами нельзя вставлять другую работу. **Категорически нельзя** делать скриншот пароля и сохранять в галерею, тем более записывать на бумагу и фотографировать для отправки. Пароль в этом инструменте существует только на текущей странице, при обновлении или закрытии страницы он исчезнет, поэтому подготовьте место хранения до нажатия «Сгенерировать».

Отправляются ли сгенерированные пароли на сервер?

Главный пароль — длинная запоминаемая фраза, остальные — случайные пароли 16-20 символов

Стратегия слоев: главный пароль (для разблокировки менеджера паролей) должен запоминаться человеком и быть достаточно сильным → выбирайте фразу Diceware из 5-6 слов. Остальные 99% сайтов/сервисов используют случайные пароли 16-20 символов + автозаполнение менеджера. **Не надо** использовать запоминаемые фразы для каждого сайта (не запомните, легко ослабить), и **не надо** делать главный пароль случайным (вы его запишете, безопасность обнулится). Это ключевая идея слоистого управления паролями.

Какой длины должен быть пароль, чтобы быть безопасным?Случайный пароль или запоминаемая парольная фраза?

Исключайте неоднозначные символы только при ручном вводе

Исключение неоднозначных символов вроде 0/O/1/l/I значительно уменьшает размер пула (при той же длине энтропия падает на 5-10 бит), **включайте только когда нужно вводить вручную, диктовать по телефону или печатать для раздачи**. Если пароль используется только через менеджер, оставьте все символы для большей энтропии. Простой способ решить: «Когда-нибудь мне придется набирать этот пароль пальцами?» — да, исключайте; нет, не исключайте.

Почему исключать неоднозначные символы (0/O/1/l/I)?

Пакетная генерация — только для тестирования/раздачи, не для рабочих аккаунтов

Рабочий процесс пакетной генерации 5/10/20 паролей в основном подходит для: инициализации тестовых сред, раздачи временных аккаунтов, генерации кодов приглашений, одноразовой выдачи API-ключей. **Не берите** один пароль из пакетной выдачи для своего рабочего аккаунта — пакетные пароли обычно генерируются по одним правилам с явными признаками (набор символов, длина, тип генератора), и если один аккаунт утечет, атакующий может угадать структуру остальных пакетных паролей. Рабочие пароли создавайте и сохраняйте по отдельности.

Только локально

Новый пароль + 2FA = реальная безопасность

Даже самый сильный пароль бессилен против фишинга, кейлоггеров, утечек баз паролей и инсайдеров операторов. **Для всех важных аккаунтов (почта, банк, соцсети, облако) обязательно включите двухфакторную аутентификацию (2FA)**, TOTP (Google Authenticator / Authy) > аппаратный ключ (YubiKey) > SMS. **Избегайте SMS 2FA** (SIM-свопинг может обойти). Сильный пароль + 2FA + менеджер паролей — все три обязательны, 2FA это последний рубеж при утечке пароля.

NIST SP 800-63B - Рекомендации по цифровой идентификации

Скомпрометированный пароль: сначала проверьте в HIBP, потом решайте о сбросе

Когда подозреваете утечку пароля (новость о взломе сайта, фишинговое письмо и т.п.), не спешите менять — сначала проверьте через API Pwned Passwords от Have I Been Pwned (HIBP), действительно ли пароль появился в утечках. HIBP предоставляет k-anonymity API, инструмент может интегрировать его в будущем; сейчас вы можете вручную зайти на haveibeenpwned.com/Passwords и запросить по первым 5 символам SHA-1. Только подтвердив наличие в базе, нужно срочно менять; если в базе нет, не нужно менять ради «душевного спокойствия» (NIST явно не рекомендует регулярную смену паролей).

Have I Been Pwned - Проверка утечки паролей

Часто задаваемые вопросы

Почему использовать Web Crypto API вместо Math.random()?

Math.random() — это общий ГПСЧ, не предназначенный для сценариев безопасности; его внутреннее состояние потенциально может быть обратно преобразовано. crypto.getRandomValues() использует криптографически безопасный ГПСЧ на уровне ОС, создавая непредсказуемую случайность, подходящую для паролей и ключей.

Отправляются ли сгенерированные пароли на сервер?

Нет. Все пароли генерируются локально в вашем браузере. Анализ надежности, расчет энтропии и оценка времени взлома выполняются на стороне клиента. Вкладка Сеть в DevTools подтверждает отсутствие внешних запросов.

Какой длины должен быть пароль, чтобы быть безопасным?

Как минимум 12 символов с прописными, строчными буквами, цифрами и символами. 16-символьный случайный пароль потребует миллиарды лет для взлома грубой силой при современных скоростях. См. таблицу времени взлома выше.

Случайный пароль или запоминаемая парольная фраза?

На символ случайные пароли имеют более высокую энтропию. Но парольные фразы (4-6 действительно случайных слов) достигают 60+ бит энтропии и гораздо легче запоминаются. Ключ — действительно случайный выбор слов, а не придуманные фразы.

Почему исключать неоднозначные символы (0/O/1/l/I)?

Они похожи во многих шрифтах и вызывают ошибки ввода. Если пароли вводятся вручную, диктуются по телефону или печатаются, исключите их. Если используются только через менеджер паролей, сохраните все символы для большей энтропии.

Безопаснее ли периодически менять пароли?

Согласно NIST SP 800-63B, регулярная ротация паролей БОЛЬШЕ НЕ рекомендуется, если компрометация не подтверждена. Принудительная смена заставляет пользователей выбирать слабые пароли или записывать их. Лучше: длинные случайные пароли + менеджер паролей + 2FA.

Что такое энтропия пароля?

Энтропия измеряет непредсказуемость в битах. Энтропия = log₂(размер_пула ^ длина). 16-символьный пароль из 94 печатных ASCII-символов имеет ~104 бит, что означает в среднем 2¹⁰³ попыток для взлома — около 200 млрд лет при 1 трлн попыток/сек.

Глоссарий

CSPRNG: Криптографически Безопасный Генератор Псевдослучайных Чисел. Создает непредсказуемые выходы, проходящие строгие тесты случайности; даже зная многие прошлые выходы, не раскрывает будущие.
Энтропия пароля: Измеряет непредсказуемость в битах. Формула: log₂(N^L). 60+ бит = безопасно; 100+ бит = чрезвычайно надежно.
Атака грубой силой: Перебор всех возможных комбинаций символов. Защита — использование длинных случайных паролей, делающих комбинации физически неисчислимыми.
Атака по словарю: Использование списков распространенных паролей (123456, password, qwerty) для угадывания учетных данных. Намного быстрее грубой силы; случайные пароли иммунны.
Подстановка учетных данных: Использование утечек пар логин/пароль с одного сайта для попыток входа на другие. Защита — уникальные пароли для каждого сайта и проверка на Have I Been Pwned.
Парольная фраза: Пароль из нескольких случайных слов. Легче запоминается с высокой энтропией при действительно случайных словах (метод Diceware).
Diceware: Метод Арнольда Рейнхолда 1995 года, использующий 5 бросков кубика для выбора слов из списка 7776 слов. 6 слов Diceware ≈77 бит энтропии.
NIST SP 800-63B: Рекомендации NIST по цифровой идентификации — авторитетный справочник по безопасности паролей. С 2017 года не рекомендует регулярную ротацию и обязательные спецсимволы, подчеркивая длину, проверку на утечки и MFA.
2FA/MFA: Двухфакторная/Многофакторная аутентификация требует второй фактор помимо пароля (TOTP, аппаратный ключ). NIST рекомендует 2FA на всех важных учетных записях.
Черный список скомпрометированных паролей: Списки публично известных скомпрометированных/распространенных паролей (123456, password, admin, qwerty). NIST рекомендует проверку по таким спискам при регистрации/смене пароля.

Длина пароля vs время взлома (верхн+нижн+цифры+символы)

Длина	Энтропия(bit)	Комбинации	Время взлома (1 трлн/сек)	Оценка
`6 символов`	`~37`	~139 млрд	< 1 секунда	❌ Очень слабый
`8 символов`	`~52`	~2.2×10¹⁴	~2.5 дня	❌ Слабый
`10 символов`	`~65`	~3.7×10¹⁸	~116 лет	⚠️ Средний
`12 символов`	`~78`	~6.1×10²²	~1.9 млн лет	✅ Надежный
`16 символов`	`~104`	~6.3×10³⁰	~200 млрд лет	✅✅ Очень надежный
`20 символов`	`~131`	~6.7×10³⁸	Триллионы раз возраст Вселенной	✅✅✅ Невзламываемый

Сравнение трех режимов паролей

Режим	Пример	Типичная энтропия	Запоминаемость	Лучше для
Случайный пароль	`xK9#mP2$vL8@nQ4!`	~6.5bit/символ	Плохая	Мастер-пароли для менеджеров, пароли БД, API-ключи
Запоминаемая парольная фраза	`Brave-Cloud-Star42`	~10bit/слово	Хорошая	Пароли Wi-Fi, пароли входа с ручным вводом
Цифровой PIN	`482917`	3.3bit/цифра	Хорошая	Экран блокировки, PIN банковской карты, одноразовые коды

Генератор паролей

Похожие

PBKDF2

Хеш MD5

SHA-256 хэш

Проверка надёжности пароля

AES-шифрование и расшифровка

Что такое безопасный генератор паролей?

Варианты использования

Как использовать

Функции

Случайный пароль vs Запоминаемая фраза vs Цифровой PIN: что выбрать?

Best Practices

Сразу сохраняйте в менеджер паролей, не держите долго на экране

Главный пароль — длинная запоминаемая фраза, остальные — случайные пароли 16-20 символов

Исключайте неоднозначные символы только при ручном вводе

Пакетная генерация — только для тестирования/раздачи, не для рабочих аккаунтов

Новый пароль + 2FA = реальная безопасность

Скомпрометированный пароль: сначала проверьте в HIBP, потом решайте о сбросе

Часто задаваемые вопросы

Почему использовать Web Crypto API вместо Math.random()?

Отправляются ли сгенерированные пароли на сервер?

Какой длины должен быть пароль, чтобы быть безопасным?

Случайный пароль или запоминаемая парольная фраза?

Почему исключать неоднозначные символы (0/O/1/l/I)?

Безопаснее ли периодически менять пароли?

Что такое энтропия пароля?

Глоссарий

Длина пароля vs время взлома (верхн+нижн+цифры+символы)

Сравнение трех режимов паролей

Authoritative References