パスワード生成
安全なパスワードを10件まとめて作ります。生成はすべてブラウザの中で行われ、作った値は送信も保存もされません。強さの目安と、覚えやすいパスフレーズにも対応しています。
長さは強さに最も効きます。8〜64文字。迷ったら16文字以上に。
紙に書き写す・口頭で伝えるときに読み違えにくくなります。 そのぶん使える文字が減るので、強さは少し下がります。
- 強さの目安
- とても強い（102.8 ビット）
- 総当たりにかかる時間
- 約1420億年
- 選ばれ方
- 86種類の文字から16文字
1秒あたり1兆回試せる装置で、平均して当たるまでの時間の目安です （下の「強さの見方」で計算式を説明しています）。
生成はすべてこの端末の中（ブラウザ）で行われ、作った値はどこにも送信されず、保存もされません。 ページを閉じると消えるので、使うものは先に保存してください。
「無料のパスワード生成サイトは安全か」の見分け方
パスワードは、入力した値・生成した値を外に出してはいけないデータそのものです。 判断の材料は「通信が起きるか」と「保存されるか」の2点しかありません。
| ブラウザ内で作る（このツール） | サーバーで作る | |
|---|---|---|
| 生成する場所 | あなたの端末 | 提供者のサーバー |
| 値が通信に乗るか | 乗らない | 乗る（結果を受け取るため） |
| 提供者が値を知りうるか | 知りえない | 仕組みのうえでは知りうる |
| 通信を切った状態 | そのまま使える | 使えない |
このサイトは静的なファイル（HTMLとJavaScript）だけで動いていて、 入力や生成結果を受け取るサーバーの仕組みそのものがありません。 乱数は、ブラウザが備える暗号用の乱数生成器（crypto.getRandomValues()）から取り出しています。
安全なパスワードの条件（総務省・IPA・NISTの整理）
公的機関の言っていることは、ここ数年でかなり揃ってきました。要点は3つです。
- 長さが最優先 — 総務省は「最低でも10文字以上」、IPAは「15桁程度」、NISTのガイドライン（SP 800-63B）はパスワードだけで認証する場合に15文字以上を求めています
- 使い回さない — 流出したIDとパスワードの組を他のサービスで試す攻撃（パスワードリスト攻撃）があるため、 1か所の流出が全部に波及します
- 定期変更の強制は不要 — 2017年のNISTのガイドラインを受けて、総務省も「流出した事実がなければ変更の必要はない」としています。 強制するとパターン化・使い回しを招き、かえって弱くなるためです
NISTのガイドラインは「文字種の組み合わせを強制すべきではない」とも書いています。 記号や大文字を必ず入れさせる規則は、利用者に Password1! のような 推測しやすい形を選ばせるためです。 このツールで文字種を選べるようにしてあるのは、サービス側の入力規則に合わせるためであって、 混ぜること自体が目的ではありません。
強さの見方（エントロピーと総当たりの時間）
パスワードの強さはエントロピー（ビット）で表します。 候補の文字がK種類、長さがL文字なら、組み合わせはKL通りで、エントロピーはその2を底とする対数（log2KL）です。1ビット増えると総当たりの手間が2倍になります。
下の表は、流出したパスワードを手元の装置で1秒あたり1兆回試せるとしたときに、平均で当たるまでの時間の目安です （全体の半分を試した時点を平均とみなしています）。
| 使う文字 | 8文字 | 12文字 | 16文字 | 20文字 |
|---|---|---|---|---|
| 英小文字のみ（26種） | 38ビット／1秒未満 | 56ビット／約13時間 | 75ビット／約691年 | 94ビット／約3.2億年 |
| 英大文字＋英小文字（52種） | 46ビット／約27秒 | 68ビット／約6年 | 91ビット／約4,531万年 | 114ビット／約331兆年 |
| 英数字（62種） | 48ビット／約2分 | 71ビット／約51年 | 95ビット／約7.6億年 | 119ビット／1016年超 |
| 英数字＋記号（86種・既定） | 51ビット／約25分 | 77ビット／約2,595年 | 103ビット／約1,420億年 | 129ビット／1018年超 |
表の「8文字」の行を見てください。8文字は文字種を増やしても分単位で破られます。一方で英小文字だけでも16文字あれば数百年かかります。長さが効くというのはこういう意味です。 なお、この目安は総当たりに対してだけのものです。 使い回したパスワードや、サービス側から平文で流出したパスワードには、何ビットあっても意味がありません。
パスフレーズ ——「覚える必要があるもの」の作り方
パソコンのログイン、パスワード管理ツールのマスターパスワードなど、どうしても自分で打つ・覚える必要があるものがあります。 こうした場面のために、総務省は「無関係な（文章にならない）複数の英単語をつなげる」方法を挙げています。 このツールのパスフレーズはこの方式で、日本語の一般名詞をローマ字にした 2,048語のリストから引いています。
| 単語の数 | エントロピー | 総当たりの目安 |
|---|---|---|
| 3語 | 33ビット | 1秒未満 |
| 4語 | 44ビット | 約9秒 |
| 6語（既定） | 66ビット | 約1年 |
| 8語 | 88ビット | 約491万年 |
6語なら kaeru-mizube-yakan-hoshizora-tanuki-momiji のような形になります。 リストがちょうど2,048語（2の11乗）なので、1語がちょうど11ビットです。 4語で44ビット、6語で66ビットと暗算できます。語数が少ないパスフレーズは弱いことも表のとおりで、 「単語をつないだから安全」ではありません。既定を6語にしてあるのはこのためです。
大文字にする・末尾に数字を足すのは、「大文字と数字を必ず含めること」という サービス側の入力規則に合わせるための機能です。先頭を大文字にしても強さは増えません（規則で決まる変換なので、攻撃側の手間が増えないため）。 末尾の2桁の数字だけは、約6.6ビットぶん増えます。
作ったあとの管理
- サービスごとに違うものを使う — これが使い回し対策のすべてです。覚えられない分はパスワード管理ツールやブラウザの保存機能に預けます
- 二要素認証（多要素認証）を有効にする — パスワードが漏れても、それだけでは入られなくなります。 重要なサービスから順に設定してください
- メールやチャットでパスワードを送らない — 送った先の受信箱に残り続けます。総務省も明確に避けるよう挙げています
- やむを得ず紙に書くなら、鍵のかかる場所へ — 画面に貼るのが最も危険です。書き写すときは「紛らわしい文字を除く」を使ってください
- 流出が分かったらすぐ変える — 逆に、その形跡がなければ定期的に変える必要はありません
よくある質問
生成したパスワードは、どこかに送信されますか？
送信されません。パスワードを組み立てる処理はすべてお使いのブラウザ内（JavaScript）で行われ、サーバーには何も送られません。このサイトは静的なファイルだけで動いていて、入力や生成結果を受け取る仕組みそのものを持っていません。確かめたい場合は、ページを開いたあとに機内モードにする（通信を切る）か、Wi-Fiを切ってから「作り直す」を押してみてください。オフラインのまま何度でも生成できます。
生成したパスワードは、このサイトに保存されますか？
保存されません。画面に出ている値はブラウザのメモリ上にあるだけで、Cookieにも localStorage にも書き込んでいません。タブを閉じるか再読み込みすると消え、履歴も残りません。使うパスワードは、コピーしてから閉じてください。
何文字あれば安全ですか？
英大文字・小文字・数字・記号を混ぜるなら16文字を目安にしてください。総務省は「最低でも10文字以上」、IPAは「15桁程度」を挙げており、米国NISTのガイドライン（SP 800-63B）は、パスワードだけで認証する場合に15文字以上を求めています。このツールの既定が16文字なのはこのためです。文字数が1文字増えるごとに総当たりの手間はおよそ86倍になるので、条件を1つだけ選ぶなら「長くする」が最も効きます。
記号は入れるべきですか？
入れられるなら入れてください。ただし優先順位は長さのほうが上です。記号を足すと1文字あたりの候補が62種類から86種類に増えますが、これは長さを1〜2文字伸ばすのと同じくらいの効果しかありません。NISTのガイドラインも「文字種の組み合わせを強制すべきではない」としています。記号が使えないサービスでは、記号のチェックを外して長さを伸ばしてください。
パスフレーズとは何ですか？
意味のつながらない単語をいくつかつないで作る、長くて覚えやすいパスワードのことです。総務省も「覚えなければならないパスワードの場合は、無関係な（文章にならない）複数の英単語をつなげる」方法を挙げています。このツールは2,048語の単語リストから引くので1語あたり11ビット、6語つなげば66ビットになり、ランダムな英数字10文字より強くなります。パスワード管理ツールのマスターパスワードや、パソコンのログインなど「自分で打つ必要があるもの」に向いています。
パスワードは定期的に変更したほうがいいですか？
流出した形跡がなければ、定期的に変えなくてかまいません。2017年に米国NISTが「サービス提供側は定期変更を要求すべきではない」と示し、総務省も「実際に破られた・流出した事実がない場合は変更する必要はない」としています。定期変更を強いると、パスワードの作り方がパターン化したり使い回しにつながったりして、かえって弱くなるためです。変えるべきなのは、そのサービスから流出したと分かったときです。
同じパスワードを使い回してはいけないのはなぜですか？
あるサービスから流出したIDとパスワードの組を、別のサービスのログインに片端から試す攻撃（パスワードリスト攻撃）があるためです。使い回していると、1か所の流出で他のサービスまで芋づる式に乗っ取られます。どんなに長く複雑なパスワードでも、使い回した瞬間にこの攻撃には無力です。サービスごとに違うものを使い、覚えられない分はパスワード管理ツールやブラウザの保存機能に預けてください。
「紛らわしい文字を除く」はどんなときに使いますか？
紙に書き写す、電話で読み上げる、別の端末で手入力するときです。大文字のI・小文字のl・数字の1、大文字のO・小文字のo・数字の0はフォントによって見分けがつきにくく、書き写しの失敗の原因になります。これらを除くと候補が86種類から80種類に減り、16文字なら約103ビットから約101ビットに下がりますが、実用上の差はほとんどありません。コピーして貼り付けるだけなら、外す必要はありません。
表示されている「総当たりにかかる時間」はどのくらい信用できますか？
桁を見るための目安と考えてください。「流出したパスワードのハッシュを手元の装置で1秒あたり1兆回試せる」という、攻撃側に有利な前提で計算しています。実際のサービスはログインの試行回数を制限していますし、保存方式（bcryptやArgon2など）によっては何桁も遅くなります。逆に、この目安で「数分」と出るものは実際に破られうる、と読んでください。
同じパスワードが2回出ることはありますか？
理論上はありますが、現実には起こりません。16文字・86種類なら組み合わせは10の30乗を超えるため、同じものが出る確率は無視できます。パスフレーズは同じ単語が2回入ることがありますが、これは意図的です。引いた単語をリストから外すと1語あたりの強さが下がり、「1語=11ビット」という計算が成り立たなくなるためです。
計算・変換の他のツール
関連ツール：QRコード作成（URLやWi-Fi設定のQRコードを、同じくブラウザ内だけで作ります）／文字数カウント（貼り付けた文章の文字数・バイト数をその場で数えます）
このページについて
パスワードの生成はブラウザの暗号用乱数（crypto.getRandomValues()）を使って当サイトが実装したもので、外部のサービスやライブラリを使っていません （入力・生成結果はサーバーに送信されず、保存もされません）。 安全なパスワードの条件は、総務省「推測できる簡単なパスワードを利用しないようにしよう」（国民のためのサイバーセキュリティサイト）、IPA「チョコっとプラスパスワード」、米国NIST「SP 800-63B Digital Identity Guidelines」にもとづいて整理しました。表示している強度と時間は、公開されている計算方法にもとづく目安です。
最終更新：2026年8月18日 ／ 運営者情報