パスワード強度チェッカー

使い方

1. 「確認するパスワード」にパスワードを入力します。入力するたびに判定が更新されます
2. 「パスワードを表示」を押すと、入力した文字が見えるようになり、「見つかった並び」に文字と詳しい内容が出ます。もう一度押すと隠れます
3. 自分の名前・誕生日・ID・登録先のサービス名などを「推測されやすい語（任意）」に入れると、それを含むパスワードを弱く判定します。カンマ（, か 、）か改行で区切ります。空白や記号で区切られた部分も1語として照合します。2文字以下の語は、ほとんどのパスワードに含まれてしまうので使いません
4. 「消す」でパスワードの欄を空にできます

入力した内容は、このブラウザの中だけで調べます。サーバーへの送信も保存もしないので、ページを閉じたり再読み込みしたりすると消えます。とはいえ、本物のパスワードを画面に表示するときは、周りに人がいないか確かめてください。

パスワード生成ツールの「強度の目安」は、そのツールで選んだ文字数と文字の種類から、生成されるパスワードの強さを計算したものです。このツールは、あなたが考えたパスワードそのものを調べ、よく使われる単語や並びが含まれていないかを見ます。

表示される内容

• 判定: 5段階（とても弱い・弱い・やや弱い・強い・とても強い）と、推測に必要な回数の見積もり
• 破られるまでの時間の目安: 攻撃の4つの場面ごとの時間
• 注意と改善のヒント: いちばん目立つ弱点と、直し方
• 見つかった並び: パスワードを区切った各部分が、どの種類に当たったか。パスワードを隠している間は、何文字目から何文字目かと種類だけを出します
• 文字の内訳: 英大文字・英小文字・数字・記号・空白・全角文字などの数
• 目安との照らし合わせ: NIST（米国国立標準技術研究所）と総務省の目安を満たすかどうか

判定の読み上げは、入力が止まってから判定の段階だけを読み上げます。パスワードの文字は読み上げません。

具体例

• password は、よく使われるパスワードの2位です。推測に必要な回数は約3回で「とても弱い」です
• P@ssw0rd は、password の a を @ に、o を 0 に置き換えたものと見なされ、約17回で「とても弱い」です
• satou1990 は、日本で一番多い名字「佐藤」と年に分かれ、約15,000回で「弱い」です
• h070615 は、和暦の平成7年（1995年）6月15日と見なされ、約57,000回（2026年に調べた場合）で「弱い」です
• Tr0ub4dour&3 は、英語の映画・テレビ番組でよく使われる語の一覧にある troubadour を置き換えたものと &3 に分かれ、約1.9×10^7回で「やや弱い」です。記号や数字が多くても、元の単語が見つかると強くなりません
• correcthorsebatterystaple は、4つの英単語の組み合わせで、約2.7×10^14回で「とても強い」です

判定のしくみ

判定には、Dropbox が公開している zxcvbn（MIT ライセンス）と同じ考え方と計算式を使っています。ブラウザの中で動くように移植し、日本向けの照合を足しました。

1. パスワードの中から、よく知られた並びに当たる部分をすべて探します
2. 各部分について、その種類の並びを順に試す攻撃者が何回で当てられるかを見積もります
3. パスワード全体を「当たった部分」と「規則の見つからない文字」に区切る方法のうち、推測に必要な回数が最も少ない区切り方を選びます

区切り方の回数は「部分の数の階乗 × 各部分の回数の積 + 10000 の（部分の数 − 1）乗」です。階乗は部分の並べ方の数、最後の項は、攻撃者が部分の少ない組み合わせから先に試すことを表します。

見つける並びと回数の見積もり

• よく使われるパスワード・単語・名前: 一覧での順位を回数とします。大文字を混ぜた分、@ や 0 などへの置き換えの分、逆から書いた分（2倍）を掛けます。先頭だけ大文字や全部大文字は2倍です
• キーボードの並び（qwerty、1qaz、asdf など）: US配列・Dvorak配列・JIS配列・テンキーで、隣り合うキーをたどる並びを探します。長さと曲がる回数、Shift を使った文字の数から回数を見積もります
• 繰り返し（aaa、abcabc）: 繰り返す元の文字列の回数 × 繰り返しの回数です
• 連続した文字（abcd、9753、zyx）: 文字コードが一定の幅で増えるか減る並びです。a や 1 から始まるものは特に少ない回数になります
• 年（1990、2024）: 今年との差の年数です。差が20年より小さいときは20とします
• 日付（19900401、04/01/90、0401）: 今年との差の年数（最低20）× 365 で、区切り文字があればさらに4倍します
• 和暦の日付（H070615、s601231、R050101）: 元号の頭文字（M・T・S・H・R）、2けたの年、月、日の並びです。日付と同じ計算に、頭文字の5通りを掛けます。各元号の始まりの日から終わりの日までの日付（平成なら1989年1月8日〜2019年4月30日）だけを和暦と見なし、令和は今年までです。明治元年は1868年の1月1日からとします
• 携帯電話番号（090-1234-5678、08074921563）: 070・080・090 の3通り × 下8けたの1億通りで、ハイフンがあれば2倍です。回数だけなら「強い」になりますが、持ち主を知る人には推測されやすいので、判定にかかわらず注意を出します。08012345678 のように連続した数字を含むときは、連続として数えたほうが少ない回数になります
• 規則の見つからない文字: 1文字につき10通りとして数えます

パスワードの一部として見つかった部分は、上の計算より小さくても、最低50回（1文字の部分は10回）と数えます。パスワード全体が1つの並びのときは、この下限はありません。zxcvbn と同じ決まりです。

パスワードを隠している間も、判定や時間の目安、何文字目がどの種類かは表示します。当たった文字、順位、入力した推測されやすい語のどれが含まれていたかは、「パスワードを表示」を押したときだけ出します。ただし、推測に必要な回数や警告の内容から、よく使われるパスワードのどれに当たるかを推し量れることはあります。

照合に使う一覧

• よく使われるパスワード 30,000件、英語版ウィキペディアでよく使われる英単語 30,000語、英語の映画・テレビ番組でよく使われる語 19,160語、米国の名字 10,000件、名前 4,695件。いずれも zxcvbn に含まれる一覧をそのまま使っています
• 日本の名字: 名字由来net の全国ランキング上位200位をローマ字にしたもの（順位を回数にします）。読みが2通りある名字（河野、東、菅野など）は両方を入れています
• 日本の名前: 明治安田生命の「生まれ年別の名前ランキング」で、1912〜2025年の各年の上位10位に入った名前の読み 239通り
• 日本語の単語: sakura、doraemon、arigatou、neko など、パスワードに使われやすいローマ字の言葉 89語（このツールで選んだもの）

日本の一覧は、ローマ字の書き方の違いもまとめて照合します。satou は sato・satoh・satoo でも、shimizu は訓令式の simizu でも、honma は homma でも見つかります。名前の一覧と単語の一覧には順位がないので、どの語も一覧の件数（239回、89回）として数えます。

破られるまでの時間の目安

推測に必要な回数を、次の速さで割った時間です。

• ログイン画面で試す（回数制限あり）: 1時間に100回。何回か間違えると待たされるサービス
• ログイン画面で試す（回数制限なし）: 1秒に10回
• 流出したデータで試す（遅いハッシュ）: 1秒に1万回。bcrypt・scrypt・Argon2 などで保存されていた場合
• 流出したデータで試す（速いハッシュ）: 1秒に100億回。MD5 や SHA-1 で保存されたものを GPU で試す場合

時間は、いちばん大きい単位で丸めて「約○年」のように出します。100年を超えるものは「100年以上」、1秒に満たないものは「1秒未満」です。攻撃者の機材は年々速くなり、サービスが速いハッシュで保存していることもあるので、あくまで目安です。

5段階の区切り

• とても弱い: 推測に必要な回数が1,005回未満
• 弱い: 1,000,005回未満。回数制限のあるログイン画面なら、ある程度は持ちこたえます
• やや弱い: 100,000,005回未満。回数制限のないログイン画面でも、ある程度は持ちこたえます
• 強い: 10,000,000,005回未満。ログイン画面からはまず破られませんが、流出すると、保存のしかたによっては破られます
• とても強い: それ以上。流出しても、遅いハッシュで保存されていれば、すぐには破られません

区切りの値は zxcvbn と同じです。

目安との照らし合わせ

• NIST SP 800-63B-4（改訂第4版）は、パスワードだけでログインする場合は15文字以上、多要素認証と組み合わせる場合は8文字以上を求めています。文字の種類を混ぜる決まりは課さず、定期的な変更も求めず、よく使われる・流出したパスワードの一覧と照らして弾くよう求めています
• 総務省の「国民のためのサイバーセキュリティサイト」は、10文字以上で、数字・記号・英大文字・英小文字が混ざっていることが好ましいとしています。名前・電話番号・生年月日、辞書にある単語1つだけ、同じ文字の繰り返し、IDと同じ文字列は避けるよう、また使い回さないよう呼びかけています
• よく使われるパスワードの一覧（30,000件）との照らし合わせは、パスワード全体を小文字にして一覧のどれかと同じかどうかで判定します

全角文字・日本語・絵文字を含むとき、先頭か末尾に空白があるとき、改行などの制御文字を含むとき、64文字を超えるときは、注意を出します。NIST は64文字以上を受け付けるよう求めていますが、もっと短い上限のサービスもあります。

使うときの注意

• 判定は「誰でも知っている一覧と並び」をもとにした見積もりです。あなたを知っている人が名前や誕生日から推測する場合は、「推測されやすい語」に入れた語しか考慮しません
• 過去に流出したパスワードかどうかは調べていません。調べるには外部のサービスとの通信が必要になるためです。気になるときは Have I Been Pwned（haveibeenpwned.com）の Pwned Passwords などを使ってください
• 強いパスワードでも、複数のサービスで使い回すと、どこか1か所の流出で他のサービスにも入られます。サービスごとに別のパスワードにし、パスワード管理アプリと多要素認証を使ってください
• 一覧は英語が中心です。日本語の単語は、上に書いた名字・名前・単語の一覧に入っているものだけを見つけます。ひらがなや漢字で入力したパスワードは、ふつうは1文字10通りとして数えます（あいうえお のような連続は連続として数えます）
• 1文字ずつの数え方は、絵文字や漢字も1文字です。長いパスワードは最初の128文字だけを調べ、それより後ろは判定に入れません

FAQ

入力したパスワードはどこかに送られますか？

いいえ。判定はすべてこのブラウザの中で行い、入力内容をサーバーに送ることも保存することもありません。照合に使う一覧も、ページと一緒にこのサイトから読み込んだものを使います。

記号や数字を入れたのに「弱い」になるのはなぜですか？

P@ssw0rd! のように、よく使われる単語を記号や数字に置き換えたり、末尾に記号や数字を足したりする書き方は、攻撃者も真っ先に試すからです。記号を増やすより、関係のない単語をいくつか並べて長くするほうが強くなります。

パスワード生成ツールの「強度の目安」と何が違いますか？

パスワード生成ツールの目安は、選んだ文字の種類と文字数からでたらめに作ったときの強さで、作られたパスワードの中身は見ていません。このツールは、入力されたパスワードの中に単語や並び、日付などがないかを調べます。でたらめに生成したパスワードをここで調べると、規則が見つからない分だけ強く出ます。

「とても強い」なら安全ですか？

推測には強いというだけです。使い回しや、偽サイトへの入力、端末のウイルスによる盗み見は防げません。サービスごとに別のパスワードを使い、多要素認証を有効にしてください。

日本語のパスワードは強いですか？

このツールでは、ひらがなや漢字の1文字を、ふつうは10通りとして数えます。ただし、使えないサービスや、スマートフォン・別のパソコンでは打ちにくいことがあるので、注意を出します。

結果が他の強度チェックサイトと違うのはなぜですか？

チェックの方法がサイトごとに違うためです。文字の種類と長さだけで計算するサイトでは、単語を含んでいても強く出ることがあります。このツールは zxcvbn と同じ方法で、単語や並びを見つけて数えるので、ふつうはそれより低く出ます。zxcvbn を使ったサイトとは、日本の名字・名前・単語、和暦、JIS配列、携帯電話番号、2020年代の年（zxcvbn は2019年までを「最近の年」とします）、絵文字などの数え方（zxcvbn は絵文字を2文字と数えます）の分だけ違うことがあります。