パスワード生成ツール

ランダムパスワード生成ツールとは？

ランダムパスワード生成ツールは、人が選ぶのではなく、暗号論的に安全な乱数生成器で文字を選んでパスワードを組み立てるツールです。人間の選び方は予測しやすいものです。名前、日付、キーボードの並び、そして攻撃者が真っ先に試す「Password1!」のような変形を使ってしまいます。生成ツールには癖がないため、1文字ごとに独立した予測不能な選択になります。

この強力なパスワード生成ツールは、完全にブラウザ内で動作します。ブラウザがセキュリティ用途に提供しているWeb Crypto APIのcrypto.getRandomValuesを使い、棄却サンプリングによって候補となるすべての文字がまったく同じ確率で選ばれるようにしています（単純に「乱数を候補数で割った余り」を使う方法では、一部の文字がわずかに選ばれやすくなります）。さらに、文字の順番も同じ安全な乱数でシャッフルします。

強力なパスワードの作り方

1. スライダーで長さを設定します。6〜64文字で、初期値は16文字です。ドラッグすると新しいパスワードが表示されます。
2. 文字の種類を選びます：大文字（A-Z）、小文字（a-z）、数字（0-9）、記号（!@#$%^&*()-_=+[]{};:,.?/）です。初期設定では4つすべてがオンです。パスワードには、選んだ種類の文字が必ず1文字以上含まれます。すべてのチェックを外すと、小文字が自動でオンに戻ります。
3. 「紛らわしい文字を避ける（0O1lI）」にチェックを入れましょう。パスワードを読み上げたり、紙を見ながら入力したりする可能性がある場合に便利です。0、O、1、l、Iが除外されます。
4. 強度メーターを確認します。バーとラベル（弱い、普通、強い、とても強い）は、ラベルの横に表示されるビット単位のエントロピーに基づいています。
5. 「再生成」をタップすると、同じ設定で新しいパスワードが作られます。パスワードをコピーして、そのままパスワード管理アプリに保存しましょう。

パスワードのエントロピーをわかりやすく解説

エントロピーは、攻撃者が必要とする推測の回数をビットで表したものです。1ビット増えるごとに、考えられるパスワードの数は2倍になります。ランダムなパスワードの計算式は、ビット数 = 長さ × log2(使える文字の種類数)です。

4種類の文字をすべてオンにすると、このツールは86文字から選ぶため、1文字あたり約6.4ビット増えます。紛らわしい文字を除くと候補は81文字（1文字あたり約6.3ビット）になります。

メーターの区分は次のとおりです：40ビット未満は弱い、40〜63は普通、64〜95は強い、96以上はとても強い。

数字の感覚をつかむために、パスワードのデータベースを盗み出し、1秒間に1,000億回の推測を試せる攻撃者を想像してください（資金力のある仮想的なオフライン攻撃です）。51ビットなら数時間で破られます。77ビットなら平均で数万年かかります。103ビットは、予見できるどんなハードウェアでも手が届きません。長さは複雑さに勝ることに注目してください。小文字16文字（75ビット）は、すべての種類を含む12文字（77ビット）とほぼ同じ強さです。

エントロピーが当てはまるのは、本当にランダムなパスワードだけです。「Summer2026!」は4種類の文字を使っているように見えますが、攻撃者は単語、年、末尾の記号から試すため、実際の強度はごくわずかです。

パスワードは何文字にすべき？

• 12文字（すべての種類）：重要度の低いアカウントでの実用的な最低ラインです。
• 16文字：パスワード管理アプリに保存するすべてのアカウントに適した標準の長さです。
• 20文字以上：メール、銀行、パスワード管理アプリのマスターアカウント（後述のパスフレーズとして）、管理者アカウントに。メールアカウントはほかのすべてのパスワードをリセットできるので、最も厳重に守りましょう。

現在のNISTのガイドライン（SP 800-63B）は、文字種の組み合わせルールより長さを重視し、漏えいの証拠がない限り定期的なパスワード変更を強制すべきではないとしており、執筆時点では、パスワードが唯一のログイン要素である場合は15文字以上を推奨しています。古いサイトの中には、長さを12文字や16文字に制限していたり、特定の記号を受け付けなかったりするところもあります。サイトにパスワードを拒否された場合は、覚えやすいものに変えるのではなく、「記号」のチェックを外すか短くしてください。

どの設定を使うべき？具体例

• Wi-Fiネットワーク：WPA2とWPA3は8〜63文字を受け付けます。20文字以上にし、ゲストが入力しやすいよう「記号」のチェックを外して「紛らわしい文字を避ける」にチェックを入れるか、代わりにWi-FiのQRコードで共有しましょう。
• SNSとメール：16〜20文字で、すべての種類をオンにして管理アプリに保存し、2段階認証も有効にしましょう。
• 動画配信サービスのテレビやゲーム機のログイン：リモコンでの入力は時間がかかるため、紛らわしい文字と記号をオフにした16〜20文字にしましょう。長さで強度を保てます。
• チームの共有アカウント（お店のInstagram、クライアントのWebサイトの管理画面など）：メンバーがチームを離れるたびに新しいパスワードを生成しましょう。
• 暗号化したPDFやZIPファイル：盗まれたファイルは推測回数の制限なしにオフラインで攻撃されるため、20文字以上にしましょう。パスワードはファイルとは別の手段で送ってください。

パスフレーズ：覚えやすいのに強力なパスワード

パスフレーズとは、orbit-cactus-lantern-velvet-ninety-plumeのように、複数のランダムな単語でできたパスワードです。q7#Rk!2vX9@mより覚えやすく入力しやすいうえ、単語を自分で選ばずにランダムに選べば、同じくらい強力にできます。

一般的なダイスウェア方式では、サイコロを5回振って7,776語のリストから1語ずつ選ぶため、1語あたり約12.9ビットになります。ランダムな5語で約65ビット、6語で約78ビット、7語で約90ビットです。マスターパスワードには6語以上を使いましょう。

このツールが作るのは文字ベースのパスワードで、単語の組み合わせではありません。覚えなければならない数少ないパスワード（パスワード管理アプリ、パソコンのログイン）にはパスフレーズを使い、管理アプリに保存するそれ以外のパスワードにはこのツールで生成した文字のパスワードを使いましょう。多くのパスワード管理アプリにもパスフレーズの生成機能があります。

パスワード管理アプリが必要な理由

強力なランダムパスワードが役立つのは、アカウントごとに別々のものを使う場合だけで、100個も覚えられる人はいません。パスワード管理アプリは、1つのマスターパスフレーズの裏でパスワードを暗号化して保存し、自動入力してくれ、使い回しや漏えいしたパスワードを警告してくれます。

• 標準搭載の選択肢：Appleのパスワード（iPhone、Mac）、Googleパスワードマネージャー（Chrome、Android）、Microsoft Edgeは、いずれも無料でパスワードを保存・同期できます。
• 専用の管理アプリ：Bitwarden、1Password、Proton Pass、KeePass系のアプリは、あらゆるブラウザや端末で使え、共有機能やセキュリティレポートも備えています。
• 2段階認証を追加しましょう（認証アプリまたはパスキー）。メール、銀行、SNSのアカウントでは特に重要です。サイトがパスキーに対応している場合、パスキーはパスワードよりさらにフィッシングに強い方法です。

パスワード、パスフレーズ、パスキーの比較

パスキーはGoogle、Apple、Microsoft、Amazonをはじめ多くのサービスに広がっていますが、ほとんどのWebサイトではまだパスワードが必要で、パスキーを使うアカウントでも予備としてパスワードを残していることがよくあります。それ以外のすべてには、生成したパスワードと2段階認証の組み合わせが今でも正しい標準です。

避けたいパスワードのよくある間違い

• パスワードの使い回し。1つのサイトから情報が漏れると、攻撃者は同じメールアドレスとパスワードをあらゆる場所で試します（「パスワードリスト型攻撃」）。アカウントごとに固有のパスワードを使えば防げます。
• 古いパスワードの小さな変更。「Mumbai@2025」を「Mumbai@2026」に変えるのは、攻撃者が最初に試すパターンです。
• 個人情報。名前、誕生日、ペットの名前、電話番号、Instagramのユーザーネームは、ネット上で簡単に見つかります。
• メモやチャットへの保存。メモアプリ、自分宛てのWhatsAppメッセージ、スプレッドシートは、パスワード管理アプリのように暗号化されていません。
• 記号だらけの短いパスワード。すべての種類を含む8文字（51ビット）は、小文字16文字（75ビット）より弱いのです。
• スクリーンショットでの共有。チームメンバーとアクセスを共有する必要がある場合は、パスワード管理アプリの共有機能を使いましょう。

このパスワード生成ツールは安全ですか？

はい。パスワードは、ブラウザの暗号論的乱数生成器を使ってJavaScriptで端末上に作成されます。サーバーには何も送信されず、何も保存されず、パスワードを生成・コピーするときにページは一切通信を行いません。ブラウザの開発者ツールの「ネットワーク」タブで確認できます。各パスワードは、保存するまであなたの画面とクリップボードにしか存在しません。コピーした秘密情報はすべて同じですが、共用のパソコンではクリップボードを消去してください。

リンクインバイオの裏にあるアカウントを守る

Instagram、メール、リンクインバイオのアカウントはビジネスの玄関口です。それぞれに生成したパスワードと2段階認証を設定しましょう。Biolinkoのページを作成するときは、このツールで作ったパスワードを使い、管理アプリに保存してください。ほかにも便利な無料ツールがあります：QRコード作成ツールとUTM作成ツールです。