パスワード強度の確認方法｜弱いパターンと安全性の見方

パスワード強度は、攻撃者がその文字列を当てるまでに必要な試行回数を考えるための目安です。すべての文字列を順番に試す総当たり攻撃だけでなく、よく使われるパスワード、辞書語、名前、日付、キーボード配列など、優先的に試されやすい候補も考慮します。

そのため、同じ12文字でも完全にランダムな文字列と、password123のような一般語＋連番では評価が異なります。文字数と文字種を数えるだけの簡易判定では、この差を正しく捉えられません。

123456、abcdef、qwerty、同じ文字の繰り返しは、攻撃で早い段階に試されやすいパターンです。氏名、誕生日、電話番号、サービス名など、公開情報から推測できる文字列も避けます。

passwordをP@ssw0rdへ変えるような置換、先頭だけを大文字にする方法、末尾へ西暦を足す方法も広く知られています。見た目が複雑でも、元の単語と変換規則を推測できれば大幅な強化にはなりません。

まず登録先が許可する範囲で十分な長さを確保します。NISTのデジタルアイデンティティ指針では、パスワードだけで認証する場合に最低15文字を求める考え方が示されています。ただし、実際の文字数上限と使用可能な記号はサービスごとに異なるため、登録条件を優先します。

英大文字・英小文字・数字・記号を組み合わせると候補数は増えますが、短い一般語へ記号を足すだけでは不十分です。ランダム生成した長い文字列か、自分の公開情報と関係がなく予測しにくい複数語の組み合わせを検討します。

Toolerの強度チェックは、辞書語や規則性を分析して推測回数を見積もり、非常に弱い、弱い、もう少し、強い、非常に強いの5段階で表示します。低い評価では、検出した弱いパターンと改善のヒントも確認できます。

推測時間は、パスワードの保存方式と攻撃速度を仮定した参考値です。サービス側のレート制限、ハッシュ方式、計算能力、すでに漏えいしているかなどで実際の時間は大きく変わるため、表示時間を安全性の保証として扱わないでください。

強度チェックは文字列の構造から推測されにくさを評価します。漏えい確認は、過去の侵害で流出した認証情報に含まれるかを外部データと照合する別の確認です。ランダムで長い文字列でも、過去に漏えいしていれば使用を続けるべきではありません。

Toolerの強度チェックは外部データベースへ問い合わせず、入力した文字列をブラウザ内だけで解析します。このため、漏えい済みかどうかは判定しません。漏えい通知、不審なログイン、フィッシングサイトへの入力などがあれば、評価に関係なく変更します。

同じパスワードを複数サービスで使うと、1件の漏えいからほかのアカウントへログインを試される可能性があります。特にメールアカウントは、ほかのサービスのパスワード再設定にも使われるため、固有の長いパスワードを設定します。

すべてを暗記しようとせず、信頼できるパスワード管理ツールへサービスごとの文字列を保存します。利用できる場合は多要素認証やパスキーも設定し、復旧コードはアカウントとは別の安全な場所へ保管します。

パスワード強度チェックを開き、確認したい文字列を入力します。入力と同時に5段階評価、文字数、異なる文字数、文字種、検出した弱いパターン、推測時間の参考値が表示されます。必要に応じて表示ボタンで入力内容を確認できます。

解析はブラウザ内で行い、入力内容をToolerのサーバーへ送信・保存しません。URL、アクセス解析、端末内ストレージへパスワードを記録する処理もありません。共有端末では確認後にクリアし、ブラウザを閉じてください。