Parola Oluşturucu

Sifre uzunlugu

16chars

Dahil edilen karakter setleri

Toplu uretim

Güçlü rastgele parolalar, parola cümleleri ve PIN'ler için Web Crypto'nun CSPRNG'sini kullanan ücretsiz çevrimiçi parola oluşturucu. Güç algılama, belirsiz karakterleri hariç tutma, toplu dışa aktarma. Tarayıcıda yerel olarak oluşturulur.

İlgili Öneriler

PBKDF2 Anahtar Türetme

MD5 Özeti

SHA-256 Özeti

Parola Gücü Denetleyici

AES şifreleme ve çözme

Güvenli bir parola oluşturucu nedir?

Parola oluşturucu, rastgele, tahmin edilemez parolalar oluşturur. İnsanların seçtiği parolaların aksine, gerçek bir oluşturucu, belirtilen bir havuzdan karakterleri rastgele seçmek için Kriptografik Olarak Güvenli Sözde Rastgele Sayı Üreticisi (CSPRNG) kullanır; insanların parola belirlerkenki tahmin edilebilir kalıpları (isim+doğum günü, qwerty gibi klavye dizileri, şirket+yıl) önleyerek sözlük saldırıları ve kimlik bilgisi doldurma riskini önemli ölçüde azaltır.

**Neden Math.random() değil?** Genel PRNG'lerin iç durumu, küçük çıktılardan tersine mühendislikle çıkarılabilir ve saldırganların gelecekteki «rastgele» sayıları tahmin etmesine olanak tanır. Bu araç, işletim sistemi düzeyindeki CSPRNG'ler (Linux getrandom, macOS SecRandomCopyBytes, Windows BCryptGenRandom) tarafından desteklenen ve kriptografik rastgelelik testlerini geçen tarayıcının Web Crypto API'sini kullanır.

**Entropi parola gücünün çekirdeğidir**: Entropi = log₂(N^L) bit, burada N = karakter havuzu boyutu ve L = uzunluktur. 94 yazdırılabilir ASCII karakterinden 16 karakterlik bir parola ~104 bit'e sahiptir — kırmak için ortalama 2¹⁰³ deneme, veya saniyede 1 trilyon denemede yaklaşık 200 milyar yıl.

**Birden fazla rastgele seçilmiş kelimeden oluşan parola cümleleri** (Brave-Cloud-Star42 gibi) «daha basit» görünür ancak kelimeler gerçekten rastgele olduğunda 60+ bit'e ulaşır — çoğu senaryo için yeterlidir ve rastgele karakterli parolalardan çok daha kolay hatırlanır. Bu Diceware / XKCD #936 yaklaşımıdır.

Tüm parolalar tarayıcınızda yerel olarak oluşturulur, sıfır yükleme. Araç ayrıca güç algılama sağlar: entropi hesaplama, kaba kuvvet süresi tahmini ve zayıf desen tespiti (tekrarlayan karakterler, sıralı rakamlar/harfler, yaygın parolalarla eşleşme).

Kullanım senaryoları

Yeni hesaplar için güçlü rastgele parolalar oluşturun, entropiyi ve kırma süresini kontrol edin
Ekipler veya test ortamları için toplu olarak geçici kimlik bilgileri oluşturun
Wi-Fi veya cihaz parolaları için hatırlanabilir parola cümleleri oluşturun
Cihaz PIN'lerini ayarlayın, yönetici hesaplarını başlatın veya parolaları sıfırlayın
İnsan tarafından oluşturulan zayıf parolaları güçlü rastgele olanlarla değiştirin

Nasıl Kullanılır

Mod seçin: Rastgele, Parola Cümlesi veya PIN
Uzunluğu ve karakter seçeneklerini ayarlayın (16+ önerilir), isteğe bağlı olarak belirsiz karakterleri hariç tutun
Gücü gözden geçirin: entropi, kırma süresi tahmini, zayıf parola tespiti
Kopyalayın veya kayıt/sıfırlama/dağıtım için TXT olarak toplu dışa aktarın

Özellikler

CSPRNG oluşturma: kriptografik olarak güvenli rastgelelik için tarayıcının Web Crypto'sunu (crypto.getRandomValues) kullanır
Üç mod: Rastgele Parola, Hatırlanabilir Parola Cümlesi (kelime birleşimi), Sayısal PIN
Tam güç ölçer: karakter havuzu boyutu, entropi, zayıf parola tespiti, sıralı/tekrarlayan karakter riski, kaba kuvvet süresi tahmini
Belirsizleri hariç tut: manuel giriş senaryoları için isteğe bağlı olarak 0/O/1/l/I atla
Toplu oluşturma: tek seferde 5/10/20 parola oluşturun, TXT indirme ile
Yalnızca yerel: tüm oluşturma ve analiz tarayıcıda gerçekleşir, hiçbir veri gönderilmez

Rastgele Parola vs Hatırlanabilir Parola Cümlesi vs Sayısal PIN: Hangisini seçmeli?

Üç parola modunun da kendi artıları ve eksileri var. Yanlış mod seçmek parolayı unutmanıza, kolayca çalınmasına veya senaryoya uymamasına neden olur. «Kim hatırlar, kim girer, kim saklar» ilkesine göre seçim yapmak birçok sorundan kurtarır.

Mod	Seçerken tipik soru	Güvenlik gücü	Kullanım kolaylığı	Tipik kullanıcı
Rastgele Parola	«Elle asla girmem, sadece parola yöneticisi otomatik doldurur»	Yüksek (16 karakter ~104 bit)	Kötü (hatırlanamaz, yönetici gerekli)	Ana e-posta, banka, sosyal medya, API anahtarları
Hatırlanabilir Parola Cümlesi	«Telefonla okuyabilmeli, elle yazabilmeli ve yeterince güvenli olmalı»	Orta-yüksek (5-6 kelime Diceware ≈ 64-77 bit)	İyi (insanlar için okunabilir, telaffuz edilebilir)	Ana parola, Wi-Fi, birden fazla cihazda girilen parolalar
Sayısal PIN	«Sadece 0-9, cihaz kısıtlaması var»	Düşük (6 hane sadece ~20 bit, 10 hane bile sadece ~33 bit)	İyi (sayısal tuş takımı yeterli)	Cihaz kilit ekranı, banka kartı PIN'i, tek kullanımlık kodlar

Best Practices

Oluşturduktan hemen sonra parola yöneticisine kaydedin, ekranda uzun süre tutmayın

Yeni oluşturulan güçlü parola «tamamen açık metin» durumundadır; panoda, ekranda, tarayıcı geçmişinde beklemesi risk noktalarıdır. Oluştur → hemen hedef siteye yapıştır → panoyu temizle, bu üç adımın arasına başka iş sokmayın. **Kesinlikle yapmayın**: oluşturulan parolanın ekran görüntüsünü albüme kaydetmek, kâğıda yazıp fotoğrafını başkasına göndermek. Bu aracın parolası yalnızca o anki sayfada bulunur, sayfayı yenilemek veya kapatmak parolayı yok eder, bu yüzden oluştur düğmesine basmadan önce saklama yerini hazırlayın.

Oluşturulan parolalar sunucuya yüklenir mi?

Ana parola için «uzun hatırlanabilir cümle», diğer hesaplar için 16-20 karakter rastgele parola

Katmanlı strateji: ana parola (parola yöneticisini açan) insanların hatırlayabileceği ve yeterince güçlü olmalı → 5-6 kelimelik Diceware parola cümlesi seçin. Diğer %99 web sitesi/hizmet için 16-20 karakter rastgele parola + parola yöneticisi otomatik doldurma. **Her site için hatırlanabilir cümle kullanmayın** (hatırlayamazsınız, zayıflama eğilimi), **ana parolayı da rastgele yapmayın** (yazmak zorunda kalırsınız, güvenlik sıfırlanır). Bu, parola yönetiminin temel katmanlı düşüncesidir.

Bir parola güvenli olmak için ne kadar uzun olmalı?Rastgele parola mı hatırlanabilir parola cümlesi mi?

Belirsiz karakterleri yalnızca elle girilecekse hariç tutun

0/O/1/l/I gibi belirsiz karakterleri hariç tutmak karakter havuzunu önemli ölçüde küçültür (aynı uzunlukta entropi 5-10 bit düşer), **yalnızca elle girilecekse, telefonda okunacaksa veya basılı dağıtılacaksa** açılması önerilir. Parola yalnızca parola yöneticisinde kullanılıyorsa, tüm yazdırılabilir karakterleri korumak daha yüksek entropi sağlar. Basit bir karar yöntemi: «Bu parolayı bir gün parmaklarımla yazmam gerekecek mi?» — evet ise hariç tutun, hayır ise tutmayın.

Neden belirsiz karakterleri (0/O/1/l/I) hariç tutmalıyım?

Toplu oluşturma yalnızca test/dağıtım senaryoları içindir, üretim hesapları için aynı yöntemi kullanmayın

5/10/20 parolayı toplu oluşturma iş akışı esas olarak şunlar için uygundur: test ortamı başlatma, geçici hesap dağıtımı, davet kodu üretimi, API anahtarı tek seferlik çıktısı. **Toplu oluşturma sonucundan birini** üretim hesabınız için tekrar kullanmayın — toplu oluşturulan parolalar genellikle aynı kurallarla üretilir, belirgin özellikler taşır (karakter kümesi, uzunluk, üretici türü); bir hesap sızdığında saldırgan diğer toplu parolaların yapısal farklılıklarını tahmin edebilir. Üretim hesaplarının parolalarını ayrı ayrı oluşturun ve saklayın.

Yalnızca yerel

Yeni parola ancak 2FA ile birlikte gerçekten güvenli sayılır

Ne kadar güçlü olursa olsun, parola kimlik avı, tuş kaydediciler, parola veritabanı sızıntıları ve operatör içeriden saldırıları karşısında çaresizdir. **Tüm önemli hesaplarda (e-posta, banka, sosyal medya, bulut) iki faktörlü kimlik doğrulama (2FA) mutlaka etkinleştirilmelidir**, TOTP (Google Authenticator / Authy) > donanım anahtarı (YubiKey) > SMS. **SMS 2FA kullanmaktan kaçının** (SIM kart değiştirme saldırısıyla atlatılabilir). Güçlü parola + 2FA + parola yöneticisi üçü birden şarttır; 2FA, parola sızdıktan sonraki son sigortadır.

NIST SP 800-63B - Dijital Kimlik Yönergeleri

Sızdırılmış parolayı sıfırlamadan önce HIBP ile kontrol edin

Bir parolanın sızdırıldığından şüphelendiğinizde (bir sitenin veri ihlali haberi, oltalama e-postası alma vb.), hemen parolayı değiştirmeyin — önce Have I Been Pwned'in (HIBP) Pwned Passwords API'siyle bu parolanın gerçekten sızan veritabanlarında görünüp görünmediğini kontrol edin. HIBP k-anonimlik API'si sunar; bu araç ileride entegre edebilir. Şimdilik haveibeenpwned.com/Passwords adresine gidip SHA-1'in ilk 5 karakteriyle sorgulayabilirsiniz. Yalnızca veritabanında olduğu doğrulanırsa acilen değiştirmek gerekir; sızmamış parolaları «iç rahatlığı» için zorla değiştirmeye gerek yoktur (NIST düzenli değişimi önermediğini açıkça belirtmiştir).

Have I Been Pwned - Parola sızıntısı kontrolü

Sık Sorulan Sorular

Neden Math.random() yerine Web Crypto API kullanmalıyım?

Math.random() güvenlik senaryoları için tasarlanmamış genel bir PRNG'dir — iç durumu potansiyel olarak tersine mühendislikle çıkarılabilir. crypto.getRandomValues() işletim sistemi düzeyindeki CSPRNG'yi kullanarak parolalar ve anahtarlar için uygun, tahmin edilemez rastgelelik üretir.

Oluşturulan parolalar sunucuya yüklenir mi?

Hayır. Tüm parolalar tarayıcınızda yerel olarak oluşturulur. Güç analizi, entropi hesaplama ve kırma süresi tahmini tamamen istemci tarafında çalışır. DevTools Ağ sekmesi sıfır dış istek olduğunu doğrular.

Bir parola güvenli olmak için ne kadar uzun olmalı?

Büyük/küçük harf, rakam ve sembollerle en az 12 karakter. 16 karakterlik rastgele bir parola, modern hızlarda kaba kuvvetle kırılması milyarlarca yıl alır. Yukarıdaki kırma süresi tablosuna bakın.

Rastgele parola mı hatırlanabilir parola cümlesi mi?

Karakter başına rastgele parolalar daha yüksek entropiye sahiptir. Ancak parola cümleleri (4-6 gerçekten rastgele kelime) 60+ bit entropiye ulaşır ve hatırlanması çok daha kolaydır. Anahtar, kendi uydurduğunuz ifadeler değil, gerçekten rastgele kelime seçimidir.

Neden belirsiz karakterleri (0/O/1/l/I) hariç tutmalıyım?

Bunlar birçok yazı tipinde birbirine benzer ve giriş hatalarına neden olur. Parolalar manuel olarak yazılacak, telefonda söylenecek veya yazdırılacaksa bunları hariç tutun. Yalnızca parola yöneticisi aracılığıyla kullanılıyorsa, daha yüksek entropi için tüm karakterleri koruyun.

Parolaları periyodik olarak değiştirmek daha güvenli midir?

NIST SP 800-63B'ye göre, bir güvenlik ihlali onaylanmadıkça düzenli parola rotasyonu ARTIK önerilmez. Zorunlu rotasyon, kullanıcıların zayıf parola seçmesine veya bunları yazmasına neden olur. Daha iyisi: uzun rastgele parolalar + parola yöneticisi + 2FA.

Parola entropisi nedir?

Entropi, tahmin edilemezliği bit cinsinden ölçer. Entropi = log₂(karakter_havuzu_boyu ^ uzunluk). 94 yazdırılabilir ASCII karakterinden 16 karakterlik bir parola ~104 bit'e sahiptir, yani bir saldırganın ortalama 2¹⁰³ deneme yapması gerekir — saniyede 1 trilyon denemede yaklaşık 200 milyar yıl.

Sözlük

CSPRNG: Kriptografik Olarak Güvenli Sözde Rastgele Sayı Üreticisi. Titiz rastgelelik testlerini geçen tahmin edilemez çıktılar üretir; birçok geçmiş çıktıyı bilmek bile gelecekteki çıktıları ortaya çıkarmaz.
Parola Entropisi: Tahmin edilemezliği bit cinsinden ölçer. Formül: log₂(N^L). 60+ bit = güvenli; 100+ bit = son derece güçlü.
Kaba Kuvvet Saldırısı: Tüm olası karakter kombinasyonlarını denemek. Uzun rastgele parolalar kullanarak kombinasyonları fiziksel olarak sayılamaz hale getirerek savunma yapılır.
Sözlük Saldırısı: Kimlik bilgilerini tahmin etmek için yaygın parola listelerini (123456, password, qwerty) kullanmak. Kaba kuvvetten çok daha hızlıdır; rastgele parolalar buna karşı bağışıktır.
Kimlik Bilgisi Doldurma: Bir siteden sızdırılan kullanıcı adı/parola çiftlerini diğer sitelerde giriş yapmak için kullanmak. Site başına benzersiz parolalar ve Have I Been Pwned'de kontrol ederek savunma yapılır.
Parola Cümlesi: Birden fazla rastgele kelimeden oluşan bir parola. Kelimeler gerçekten rastgele olduğunda yüksek entropiyle hatırlanması daha kolaydır (Diceware yöntemi).
Diceware: Arnold Reinhold'un 1995'te 7776 kelimelik bir listeden kelime seçmek için 5 zar atışı kullanan yöntemi. 6 Diceware kelimesi ≈77 bit entropi.
NIST SP 800-63B: NIST dijital kimlik yönergeleri — parola güvenliği için yetkili referans. 2017'den beri düzenli rotasyonu veya zorunlu özel karakterleri önermemekte, uzunluk, sızdırılmış parola taraması ve MFA'yı vurgulamaktadır.
2FA/MFA: İki Faktörlü/Çok Faktörlü Kimlik Doğrulama, parolanın ötesinde ikinci bir faktör (TOTP, donanım anahtarı) gerektirir. NIST tüm önemli hesaplarda 2FA önermektedir.
Sızdırılmış Parola Kara Listesi: Herkes tarafından bilinen güvenliği ihlal edilmiş/yaygın parola listeleri (123456, password, admin, qwerty). NIST, kayıt/parola değişiminde bu tür listelere karşı kontrol yapılmasını önerir.

Parola Uzunluğu vs Kırma Süresi (büyük+kçük+rakam+sembol)

Uzunluk	Entropi(bit)	Kombinasyonlar	Kırma Süresi (1 trilyon/sn)	Derecelendirme
`6 karakter`	`~37`	~139 milyar	< 1 saniye	❌ Çok zayıf
`8 karakter`	`~52`	~2.2×10¹⁴	~2.5 gün	❌ Zayıf
`10 karakter`	`~65`	~3.7×10¹⁸	~116 yıl	⚠️ Orta
`12 karakter`	`~78`	~6.1×10²²	~1.9 milyon yıl	✅ Güçlü
`16 karakter`	`~104`	~6.3×10³⁰	~200 milyar yıl	✅✅ Çok güçlü
`20 karakter`	`~131`	~6.7×10³⁸	Evren yaşının trilyonlarca katı	✅✅✅ Kırılamaz

Üç Parola Modu Karşılaştırması

Mod	Örnek	Tipik Entropi	Hatırlanabilirlik	En İyi
Rastgele Parola	`xK9#mP2$vL8@nQ4!`	~6.5bit/karakter	Kötü	Yöneticiler için ana parolalar, veritabanı parolaları, API anahtarları
Hatırlanabilir Parola Cümlesi	`Brave-Cloud-Star42`	~10bit/kelime	İyi	Wi-Fi parolaları, manuel giriş gerektiren giriş parolaları
Sayısal PIN	`482917`	3.3bit/rakam	İyi	Cihaz kilit ekranı, banka kartı PIN'i, tek kullanımlık kodlar

Authoritative References

ReferenceNIST SP 800-63B - Dijital Kimlik Yönergeleri
ReferenceOWASP Parola Güvenliği Hile Sayfası
ReferenceMDN Web Docs - crypto.getRandomValues()
ReferenceWikipedia - Parola gücü
ReferenceHave I Been Pwned - Parola sızıntısı kontrolü