Alat populer

Tema

Pembuat Kata Sandi

Buat kata sandi acak yang kuat, passphrase dari kata-kata acak, atau PIN, lengkap dengan kekuatan pastinya dalam bit dan berapa lama password itu bisa dibobol. Generator password acak ini bekerja sepenuhnya di browser Anda: tidak ada yang Anda buat dikirim ke mana pun.

Keacakan Web Crypto tanpa bias modulo · daftar 7.776 kata EFF · dibuat di browser Anda, tidak dikirim atau disimpan
Sangat kuat16 karakter · 104,6 bit · Sekitar 1031,2 tebakan
Membuat…
Bit per karakter16 × 6,55 − 0,28 (Setiap jenis terpilih minimal sekali) = 104,6 bit
0128

Dibuat di browser Anda dengan crypto.getRandomValues. Tidak ada yang dikirim atau disimpan.

Gunakan

Berapa panjang kata sandi yang kuat?

Minimal 15 karakter jika password menjadi satu-satunya pelindung akun, minimum NIST sejak Juli 2025, dan minimal 8 jika hanya satu bagian dari login dua langkah. Generator ini membuat 16 karakter secara bawaan, panjang yang direkomendasikan CISA.

Itu aturan NIST SP 800-63B-4 dan CISA. Setiap karakter acak yang diambil dari semua 94 huruf, angka, dan simbol menambah 6,55 bit, dan setiap bit menggandakan tebakan yang dibutuhkan penyerang (EFF): 16 karakter dengan setiap jenis minimal sekali membawa 104,6 bit, sekitar 10¹² tahun untuk satu kartu grafis bahkan melawan hash NTLM Windows, yang paling cepat dibobol.

16 juga cocok untuk sebagian besar situs: di antara situs dengan batas maksimum yang diketahui dalam data aturan password Apple, tiga dari empat menerima 16 karakter, dan 16 adalah batas yang paling umum. Mengecualikan karakter yang mirip menghabiskan 2,7 bit pada panjang itu; hanya huruf dan angka, 9,4 bit.

Angka-angka ini hanya berlaku untuk karakter yang diambil secara acak. Untuk melihat bagaimana password buatan Anda sendiri dibandingkan, gunakan penguji kekuatan password.

Kekuatan menurut panjangbit pasti, setiap jenis terpilih minimal sekali
PanjangSemua 94 karakterTanpa karakter mirip (84)Huruf dan angka (62)
851,3 bit49,9 bit47,2 bit
1278,1 bit76,1 bit71,3 bit
15Minimum NIST98,0 bit95,5 bit89,2 bit
16Bawaan · CISA104,6 bit101,9 bit95,2 bit
20130,9 bit127,6 bit119,0 bit
24157,2 bit153,3 bit142,9 bit
32209,7 bit204,5 bit190,5 bit
  • Cukup
  • Kuat
  • Sangat kuat
Setiap tambahan satu bit menggandakan tebakan yang dibutuhkan penyerang. Jumlah bit hanya berlaku untuk karakter yang diambil secara acak.
Pembuat kata sandi: password acak 16 karakter diwarnai menurut jenis, dengan kekuatan dalam bit, waktu bobol, dan opsiPembuat kata sandi: password acak 16 karakter diwarnai menurut jenis, dengan kekuatan dalam bit, waktu bobol, dan opsiPasswordnyaDiwarnai menurut jenis karakter, siap disalin, diuji, atau dibuat ulang.KekuatannyaPeringkat, jumlah bit pasti untuk pengaturan ini, dan berapa lama serangan akan berjalan.Tiga modeKarakter acak, passphrase dari kata-kata acak, atau PIN.OpsinyaPanjang, jenis karakter, karakter mirip, simbol kustom, dan berapa banyak yang dibuat sekaligus.
Password acak 16 karakter, dibuat saat halaman dibuka. Pilih sebuah nomor untuk melihat arti setiap bagian.

Password acak, passphrase, atau PIN: mana yang sebaiknya dipakai?

Pakai karakter acak untuk password yang diisikan pengelola password, passphrase untuk beberapa yang Anda ketik atau ingat, dan PIN hanya di tempat ponsel atau kartu terkunci setelah beberapa kali salah.

Pada kekuatan yang sama, bentuknya sangat berbeda: 12 karakter acak dan enam kata acak sama-sama membawa sekitar 78 bit. Karakter acak adalah jalan terpendek menuju kekuatan tertentu, cocok untuk situs dengan batas panjang; kata jauh lebih mudah diketik di ponsel atau TV, dan lebih mudah diingat. Password Wi-Fi cocok memakai passphrase, dibagikan ke tamu sebagai kode QR Wi-Fi.

PIN lemah sejak awal: PIN 6 angka adalah satu dari sejuta, 19,9 bit. PIN bekerja hanya karena perangkat berhenti setelah beberapa tebakan salah, itulah sebabnya NIST menerima PIN, 6 angka dan minimal 4, hanya untuk membuka kunci perangkat seperti ponsel atau kunci keamanan, dengan tidak lebih dari 10 percobaan gagal berturut-turut (NIST SP 800-63B-4).

NCSC Inggris menyarankan tiga kata acak untuk password yang harus Anda ingat, dan mengatakan bahwa password acak dari pengelola password masih lebih kuat (NCSC).

  1. Karakter acak

    dhLB#crZj}4F

    12 karakter78,1 bit

    Sangat kuat

    Password yang diisikan oleh pengelola password

  2. Passphrase

    thrill-suitable-exponent-overlaid-duplicate-undercook

    6 kata77,5 bit

    Sangat kuat

    Beberapa yang Anda ketik atau ingat: komputer, email, pengelola password

  3. PIN

    637727

    6 angka19,9 bit

    Lemah

    Ponsel dan kartu yang terkunci setelah beberapa kali salah

Dua belas karakter acak dan enam kata acak kira-kira sama kuat. PIN mengandalkan penguncian.

Generator passphrase: berapa kata acak yang dibutuhkan?

Enam kata, saran EFF sendiri: setiap kata yang diambil acak dari daftar 7.776 kata menambah 12,9 bit, jadi enam kata memberi 77,5 bit, kira-kira sekuat 12 karakter acak. CISA menerima empat sampai tujuh kata yang tidak berhubungan.

Kekuatannya datang dari pengundian, bukan dari kata-katanya: daftar panjang EFF memiliki tepat 7.776 entri, satu untuk setiap lemparan lima dadu, jadi setiap kata adalah satu dari 7.776 pilihan yang sama mungkinnya (EFF). Generator passphrase mengambilnya dengan keacakan yang sama seperti password.

Pemisah dan huruf kapital menambah 0 bit, karena penyerang menganggap polanya diketahui. Satu angka acak di antara kata menambah 3,3 bit per celah, dan satu kata lagi menambah 12,9 bit, jadi kata ketujuh adalah cara termurah untuk menambah kekuatan.

Kata yang Anda pilih sendiri adalah soal lain, begitu juga contoh terkenal: "correct horse battery staple" dari xkcd, ditulis sebagai correcthorsebatterystaple, muncul 4.173 kali di data kebocoran Have I Been Pwned, dan Tr0ub4dor&3 yang "sulit" dari komik itu 3.196 kali. Jangan pernah memakai passphrase yang pernah Anda baca di mana pun, termasuk contoh di halaman ini.

Lima dadu, satu kataDaftar panjang EFF: 7.776 kata
  1. 62234thrill
  2. 61236suitable
  3. 26262exponent
  4. 43232overlaid
  5. 24354duplicate
  6. 63455undercook
+12,9 bit per kata6 kata: 77,5 bit
NTLM, satu GPU: 93 tahun0128
  • Pemisah+0 bit
  • Huruf kapital+0 bit
  • Satu angka acak di antara kata+3,3 bit masing-masing
  • Satu kata lagi+12,9 bit
Contoh yang dibuat untuk halaman ini: jangan pernah memakai passphrase yang pernah Anda lihat dipublikasikan.

Amankah memakai generator password acak online?

Aman jika password dibuat di perangkat Anda sendiri dan tidak pernah dikirim, seperti cara kerja generator ini: browser Anda mengambil setiap karakter, dan tidak ada password yang sampai ke server kami, alamat halaman, atau analitik.

Yang membuat generator password aman adalah dari mana keacakannya berasal. Generator ini memakai crypto.getRandomValues milik browser, pembangkit yang kuat secara kriptografi dari standar Web Crypto (W3C), bukan Math.random, yang tidak dibuat untuk rahasia.

Mengubah bilangan acak menjadi karakter adalah jebakan kedua. Mengambil bilangan modulo 94 membuat beberapa karakter pertama sedikit lebih mungkin muncul; generator ini membuang 42 bilangan sisa yang tidak membentuk satu set penuh 94, lalu mengambil lagi, metode "simple discard" dari NIST SP 800-90A, sehingga setiap karakter tepat sama mungkinnya dengan yang lain.

Saat setiap jenis terpilih harus muncul minimal sekali, generator membuat ulang seluruh password sampai semuanya ada, bukan menyisipkan satu dari tiap jenis lalu mengacak. Setiap password yang valid tetap sama mungkinnya, jadi bit yang ditampilkan tepat.

Browser Anda
  1. 1crypto.getRandomValues memberi bilangan acak 32 bit
  2. 2Di bawah 4.294.967.254 (kelipatan 94 terbesar)? Simpan; jika tidak, ambil lagi
  3. 3Sisa pembagian dengan 94 menentukan karakternya
  4. 4Ulangi untuk setiap karakter; buat ulang seluruh password jika ada jenis wajib yang tidak muncul

Masing-masing dari 94 karakter: tepat 1 peluang dari 94

Server kamiTidak ada yang dikirim
Hanya 42 dari 4.294.967.296 bilangan yang mungkin yang pernah dibuang, jadi pengambilan ulang tidak berarti apa-apa bagi Anda.

Mengapa situs menolak password yang saya buat?

Karena banyak situs masih membatasi panjang atau simbol. Turunkan panjang ke batas maksimum situs, atau matikan simbol atau ketik simbol yang diizinkan sebagai simbol kustom, lalu buat lagi.

NIST meminta situs menerima minimal 64 karakter, semua karakter yang bisa dicetak dan spasi, serta menghapus aturan seperti "harus mengandung simbol" (NIST SP 800-63B-4). Banyak situs belum menyusul.

Dari 436 situs dalam data aturan password Apple, daftar yang dipakai bersama oleh pengelola password agar password mereka cocok di tiap situs, 337 menetapkan panjang maksimum, 83 di antaranya di bawah 16, dan sekitar empat dari lima mewajibkan angka.

Tetap wajibkan setiap jenis untuk situs seperti itu, supaya angka atau simbol yang mereka minta selalu ada, dan buat password sepanjang yang diizinkan: 20 huruf dan angka (119 bit) mengalahkan 12 karakter dari semua jenis (78 bit).

Panjang password maksimum di 337 situsData aturan password Apple, hitungan kami, 23 Oktober 2026

16: bawaan kami · 68 situsNIST: terima minimal 64

99 dari 436 situs dalam daftar tidak menetapkan batas maksimum. 16 adalah batas yang paling umum, dan 254 dari 337 situs menerima 16 karakter.

Di mana sebaiknya menyimpan password yang dibuat?

Di pengelola password: ia menyimpan password acak yang berbeda untuk setiap akun dan mengisikannya, jadi Anda tidak pernah mengetik atau memakai ulang. NIST mewajibkan situs mengizinkan pengelola password mengisikan password, dan meminta mereka mengizinkan menempel.

NIST mengutip bukti bahwa orang yang memakai pengelola password dengan generator akhirnya punya password yang lebih kuat (NIST SP 800-63B-4). Pengelola bawaan browser atau aplikasi terpisah sama-sama bisa; yang penting satu password untuk satu akun.

Memakai ulang adalah cara satu kebocoran menjadi banyak: penyerang memutar ulang pasangan email dan password yang bocor di situs lain, serangan yang disebut credential stuffing. Pada November 2025 Have I Been Pwned memuat 1,3 miliar password unik dari daftar semacam itu, 625 juta di antaranya belum pernah terlihat sebelumnya (Troy Hunt).

Ganti password saat kemungkinan bocor, bukan menurut jadwal: NIST meminta situs berhenti memaksa penggantian berkala. Simpan passphrase untuk beberapa yang Anda ketik: komputer, email, dan pengelola password itu sendiri.

Satu password bocor, banyak akun
Sebuah situs dibobol

Email dan password yang sama, dicoba di tempat lain

Dipakai ulang

  • EmailTerbuka
  • BankTerbuka
  • BelanjaTerbuka
  • Media sosialTerbuka

Unik

  • EmailTetap terkunci
  • BankTetap terkunci
  • BelanjaTetap terkunci
  • Media sosialTetap terkunci
Credential stuffing: penyerang memutar ulang pasangan yang bocor di situs lain. Dengan password unik untuk tiap akun, kebocoran berhenti di satu situs.

Pembuat kata sandi: tanya jawab

Apakah generator password ini gratis, dan apakah password disimpan?

Gratis, tanpa pendaftaran dan tanpa batas. Setiap password dibuat di browser Anda dan tidak pernah dikirim ke kami, jadi tidak ada yang disimpan: tutup halaman dan password hilang. Salin menaruh password di clipboard Anda, dan halaman tidak membersihkannya, jadi langsung tempel ke situs atau pengelola password Anda.

Apakah password 12 karakter cukup kuat?

Yang acak, ya: 12 karakter dari semua 94 memberi sekitar 78 bit, dan satu kartu grafis butuh sekitar 15.000 tahun untuk menemukannya, bahkan melawan hash NTLM Windows yang cepat. Tetapi NIST kini meminta 15 karakter jika password menjadi satu-satunya faktor, jadi pakai 16 untuk akun tanpa login dua langkah. Password 12 karakter buatan manusia jauh lebih lemah.

Bisakah saya membuat password secara massal?

Bisa. Generator password massal membuat hingga 100 password sekaligus dengan pengaturan yang sama, masing-masing diambil secara independen, jadi semuanya punya kekuatan yang ditampilkan. Salin semua menaruhnya di clipboard satu per baris, atau unduh sebagai file .txt. Berguna untuk akun baru, pengguna uji, atau perangkat; beri setiap orang atau perangkat password sendiri.

Bisakah saya membuat password berdasarkan kata atau nama saya?

Dari kata, bisa: mode Passphrase adalah generator password berbasis kata, diambil acak dari daftar 7.776 kata EFF. Dari kata Anda sendiri, nama, hewan peliharaan, atau tanggal lahir, jangan: penyerang mencobanya lebih dulu, dan NIST meminta situs memblokir password yang dibuat dari nama pengguna atau nama layanan. Kata acak yang tidak Anda pilih mudah diingat dan sulit ditebak.

Bagaimana membuat password yang mudah diingat?

Pilih Passphrase: generator ini merangkai kata-kata acak. Enam kata dari daftar EFF memberi 77,5 bit, kira-kira sekuat 12 karakter acak. Bayangkan kata-katanya sebagai satu adegan aneh agar mudah diingat. Hafalkan hanya yang Anda ketik, seperti komputer dan pengelola password, dan biarkan pengelola mengingat sisanya.

Haruskah saya menambahkan angka atau simbol ke passphrase?

Hanya jika situs menuntutnya. Pemisah atau huruf kapital tidak menambah apa pun, karena penyerang menganggapnya ada. Satu angka acak yang ditambahkan ke passphrase enam kata menambah sekitar 5,9 bit, dan satu angka acak di antara setiap pasang kata 3,3 bit masing-masing. Satu kata lagi menambah 12,9 bit, jadi untuk kekuatan ekstra, tambahkan kata.

Apa harga yang dibayar dengan menghindari karakter yang mirip?

Sangat kecil. Fitur ini mengecualikan karakter yang mudah salah dibaca, I l 1 | O 0 o dan tiga tanda kutip, jadi tersisa 84 dari 94. Password 16 karakter turun dari 104,6 ke 101,9 bit, kurang dari setengah nilai satu karakter, jadi tambahkan satu karakter jika ingin mengembalikannya. Aktifkan untuk password yang Anda baca dari kertas atau layar.

Berapa panjang PIN yang sebaiknya dipakai?

Enam angka jika Anda bisa memilih, dan empat paling sedikit: itu aturan NIST untuk PIN perangkat, bersama batas 10 percobaan salah. PIN 6 angka adalah satu dari sejuta, 19,9 bit, dan halaman ini menilainya Lemah, karena ia hanya aman di balik penguncian itu. Jangan pernah memakai PIN sebagai password akun online.

Seberapa sering saya harus mengganti password?

Hanya jika ada alasan, seperti kebocoran, ancaman phishing, atau password yang diketahui orang lain. NIST meminta situs tidak memaksa penggantian berkala dan mewajibkannya saat ada bukti pembobolan. Periksa password dengan penguji kekuatan password: jika hasilnya Bocor, ganti di semua tempat Anda memakainya.

Apa fungsi pwgen -s 40 1?

Perintah itu meminta alat baris perintah pwgen membuat satu password 40 karakter yang benar-benar acak dan sulit dihafal: panjang ditulis lebih dulu, lalu jumlahnya. Di terminal, pwgen menyertakan minimal satu huruf kapital dan satu angka; -y menambah minimal satu simbol dan -B mengecualikan karakter mirip seperti l dan 1. Untuk hasil yang sama di sini, pilih karakter acak, atur panjang ke 40, dan matikan simbol.

Seperti apa contoh kata sandi yang kuat: buatan generator atau buatan sendiri?

Contoh kata sandi yang kuat adalah yang diacak oleh generator, dan itu jauh lebih baik daripada buatan sendiri. Orang memilih kata, nama, tahun, dan beberapa penggantian huruf yang sama, dan penyerang mencobanya lebih dulu; NIST mencatat bahwa aturan kerumitan hanya menggeser orang dari "password" ke "Password1!". NCSC Inggris mengatakan password acak dari pengelola password lebih kuat daripada password rumit buatan sendiri maupun tiga kata acak.

Apakah setiap password memuat tiap jenis karakter yang saya pilih?

Ya, selama setiap jenis diwajibkan, yang merupakan pengaturan bawaan. Generator membuat ulang seluruh password sampai setiap jenis terpilih muncul, bukan menyisipkan satu dari tiap jenis lalu mengacak, sehingga setiap password yang valid sama mungkinnya dan bit yang ditampilkan tepat. Dengan keempat jenis pada 16 karakter, sekitar empat dari lima pengambilan pertama sudah memenuhi syarat.

Alat terkait