桁数は種類より効く

強さを分けるのは「何種類の文字を混ぜたか」よりも「何桁か」です。種類を増やしても1文字が担う情報が少し増えるだけですが、桁を増やすとその分がまるごと掛け算になります。

エントロピーで見るとはっきりします。大文字小文字と数字で12桁なら71ビット、小文字だけでも20桁あれば94ビットです。記号を受け付けないサイトなら、桁数で埋め合わせれば足ります。

何ビットを目安にするか

エントロピーは、すべて突き止めるのに平均何回試す必要があるかをビットで書いた値です。1ビット増えるごとに試行回数が2倍になります。

60ビット台はすぐ捨てる仮の登録に使う程度で、長く使うアカウントは80ビットより上を狙います。金庫の役目をするパスワード管理ソフトのマスターパスワードや暗号鍵なら100ビット以上にしてください。このツールの初期値である16桁で4種類すべてを入れると102ビットになります。

0と大文字のO、数字の1と小文字のlと大文字のIは、書体によって見分けがつきません。紙に書いて渡す場合や、別の端末で手入力するパスワードなら外しておくと楽です。ただし使える文字が5つ減ってエントロピーが少し下がるので、桁を1つ2つ足して補ってください。

記号を入れろと言いながら、一部の記号は受け付けないサービスがあります。このツールは引用符と山かっこを最初から外してあります。貼り付ける先でエスケープを求められることが多いからです。それでも拒まれるときは記号を切って、代わりに桁数を伸ばしてください。

この値はブラウザの中で作られ、どこにも保存されません。タブを閉じれば消えるので、コピーしてそのままパスワード管理ソフトに入れてください。

桁を伸ばすことより大事なのは、同じパスワードを2か所で使わないことです。ひとつのサービスから漏れれば残りもまとめて開いてしまいます。どれだけ長くても、使い回した時点で一番手薄なサービスと同じ強さになります。