Популярные инструменты

Тема

Проверка надёжности пароля

Узнайте, за сколько взломают ваш пароль, атака за атакой, какие шаблоны его выдают и встречался ли он в утечках данных. Эта проверка пароля никогда не отправляет сам пароль: с вашего устройства уходят только 5 символов его хеша, так что стойкость пароля оценивается приватно.

Оценка шаблонов: zxcvbn-ts с поправками · скорости атак: тесты hashcat · данные об утечках: Have I Been Pwned · ничего не сохраняется
Проверено в этом браузере
Все части, которые перебрал бы злоумышленник, показаны здесь:
  • Частый пароль
  • Слово
  • Имя
  • Год
  • Клавиатура
  • Повтор
  • Случайное

Проверка идёт в вашем браузере. Для проверки утечек уходят только первые 5 из 40 символов SHA-1-хеша пароля.

Попробуйте

Как быстро его взломают?

Введите или вставьте пароль: оценка обновляется по мере ввода.

Бит, которые должен угадать злоумышленник
0128

Что проверяется

  • Шаблоны, которые злоумышленники пробуют первыми: 49 233 частых пароля, слова и имена, годы, ряды клавиш, повторы и замены похожих символов.
  • Утечки данных: около 2,07 млрд утёкших паролей в Have I Been Pwned, по принципу k-анонимности.
  • Восемь атак: от страницы входа, которая блокирует после 100 попыток, до хешей NTLM на 100 видеокартах.

Насколько надёжен мой пароль?

Настолько, сколько попыток нужно злоумышленнику, чтобы до него добраться, а пробуют они сначала вероятные пароли: частые пароли, слова и имена, годы, ряды клавиш и замены букв, задолго до случайных строк. Проверка считает эти попытки.

Она делит введённое на части, которые пробуют злоумышленники, например Summer + 2026 + !, оценивает каждую по числу попыток и складывает самый дешёвый способ собрать весь пароль. Движок — zxcvbn-ts, открытая оценка, на которую ссылается OWASP, с английскими списками слов и списками языка страницы, где они есть.

Мы исправили два места, где стандартная оценка ошибается в области надёжных паролей: по ней действительно случайный пароль из 12 символов стоит около 10¹² попыток вместо примерно 10²⁴, а парольная фраза из шести слов завышена в миллиарды раз. Теперь случайные участки оцениваются по используемым символам, а парольные фразы — по схеме, которой они созданы.

Заглавные буквы, цифры и символы показываются, но отсутствие типа никогда не идёт вам в минус: NIST отказался от таких правил, потому что они дают предсказуемые пароли вроде Password1! (NIST SP 800-63B-4). Анализируются первые 64 символа; всё, что длиннее, подбором не взять, если это не известная фраза, а проверка утечек всё равно видит пароль целиком.

Summer2026!

  1. SummerСлово из словаряВремя года с заглавной буквой, как обычно: 50 попыток
  2. 2026!СлучайноеПять символов без найденного шаблона: 100 000 попыток
0128

СлабыйОколо 10 миллионов попыток: СлабыйУтёкВ данных об утечках 45 раз: Утёк

Решают шаблоны, а не типы символов: 11 символов четырёх типов подбираются за секунды, как только утекает список хешей.
Проверка надёжности пароля: пароль, разобранный на ослабляющие шаблоны, время взлома по 8 атакам и проверка на утечкиПроверка надёжности пароля: пароль, разобранный на ослабляющие шаблоны, время взлома по 8 атакам и проверка на утечкиОценкаОт «Очень слабый» до «Очень надёжный» по числу попыток, нужных злоумышленнику, или «Утёк», если пароль есть в данных об утечках.Где он слабПароль, разбитый на шаблоны, которые пробуют злоумышленники, с причиной, почему каждый легко угадать.Время взломаСколько займёт каждая из восьми атак на одной видеокарте или на сотне.Проверка утечекВидел ли его Have I Been Pwned, и 5 символов хеша, которые были отправлены.
Проверка придуманного пароля: оценка, шаблоны, которые его выдают, время каждой атаки и проверка на утечки. Выберите номер, чтобы узнать, что показывает каждая часть.

За сколько взломают мой пароль?

Это зависит от атаки: один и тот же пароль может годами держаться против страницы входа с ограничением попыток и пасть меньше чем за секунду, когда у сайта утекают плохо хранимые хеши паролей. Проверка показывает время взлома по восьми именованным атакам на одной видеокарте или на сотне.

Время взлома пароля — это нужное число попыток, делённое на скорость злоумышленника. Онлайн он подбирает через страницу входа: 100 попыток в час там, где сайт блокирует повторные неудачи (NIST разрешает не больше 100 подряд), и 10 в секунду там, где не блокирует. Офлайн, после утечки базы, он подбирает по сохранённым хешам на видеокартах, и скорость зависит от того, как сайт их хранил.

Одна RTX 5090 перебирает 340,1 млрд хешей NTLM в секунду (Windows), 220,6 млрд MD5 и 70,2 млрд SHA-1, но лишь около 9 500 хешей bcrypt при cost 10 и 1,48 млн хешей Linux sha512crypt (тесты hashcat). Argon2id с 64 МиБ памяти выдаёт 1 699 в секунду на RTX 4090 (hashcat). Из-за такого разрыва OWASP просит сайты хранить пароли в Argon2id или bcrypt.

Каждое время — среднее: для случайного пароля это половина всех возможных вариантов. Проверка пароля честна ровно настолько, насколько честна предполагаемая атака, поэтому в каждой строке названа одна; настоящие злоумышленники перед перебором ещё запускают списки и правила, и это как раз моделирует оценка шаблонов. Фишинг и кейлоггеры обходят подбор вовсе.

Онлайн, попытки ограниченыОнлайн, без ограниченийПосле утечки, Argon2id*После утечки, bcryptПосле утечки, Linux sha512cryptПосле утечки, SHA-1После утечки, MD5После утечки, NTLM
6-значный PIN-код105,7208 дней14 часов5 минут52 секундыменьше секундыменьше секундыменьше секундыменьше секунды
Summer2026!, только по шаблонам107,011 лет12 дней2 часа17 минут7 секундменьше секундыменьше секундыменьше секунды
8 случайных символов1015,12 млрд лет4 млн лет26 тыс. года5 тыс. лет30 лет6 часов2 часа1 час
4 случайных слова1015,32 млрд лет6 млн года34 тыс. лет6 тыс. года39 лет7 часов2 часа1 час
12 случайных символов1023,210¹⁷ лет10¹⁴ лет10¹² лет554 млрд лет4 млрд лет75 тыс. года24 тыс. год16 тыс. лет
6 случайных слов1023,010¹⁷ лет10¹⁴ лет10¹² лет368 млрд года2 млрд года50 тыс. лет16 тыс. лет10 тыс. лет
16 случайных символов1031,210²⁵ лет10²² лет10²⁰ лет10¹⁹ лет10¹⁷ лет10¹² лет10¹² лет10¹² лет
Любой пароль из данных об утечках109,32 тыс. год7 лет14 дней3 дня23 минутыменьше секундыменьше секундыменьше секунды
Онлайн, попытки ограниченыОнлайн, без ограниченийПосле утечки, Argon2id*После утечки, bcryptПосле утечки, Linux sha512cryptПосле утечки, SHA-1После утечки, MD5После утечки, NTLM
6-значный PIN-код105,7208 дней14 часов3 секундыменьше секундыменьше секундыменьше секундыменьше секундыменьше секунды
Summer2026!, только по шаблонам107,011 лет12 дней59 секунд10 секундменьше секундыменьше секундыменьше секундыменьше секунды
8 случайных символов1015,12 млрд лет4 млн лет262 года47 лет110 дней3 минуты1 минута41 секунда
4 случайных слова1015,32 млрд лет6 млн года341 год61 год143 дня4 минуты1 минута54 секунды
12 случайных символов1023,210¹⁷ лет10¹⁴ лет31 млрд год6 млрд лет36 млн лет752 года239 лет155 лет
6 случайных слов1023,010¹⁷ лет10¹⁴ лет21 млрд лет4 млрд года24 млн лет499 лет159 лет103 года
16 случайных символов1031,210²⁵ лет10²² лет10¹⁸ лет10¹⁷ лет10¹⁵ лет69 млрд лет22 млрд лет14 млрд года
Любой пароль из данных об утечках109,32 тыс. год7 лет3 часа36 минут14 секундменьше секундыменьше секундыменьше секунды
Средние времена. Скорости: тесты hashcat на одной RTX 5090; Argon2id — на RTX 4090. Настоящие атаки сначала пробуют списки и правила, а потом перебор. * Argon2id: замер на RTX 4090 (тестов на RTX 5090 пока нет).

Безопасен ли мой пароль? Что означает каждая оценка

Ваш пароль защищён от подбора, если у него оценка «Очень надёжный» или «Надёжный» на сайте, который хранит пароли медленным хешем, и он ни разу не встречался в утечках. «Утёк» перекрывает всё остальное.

Каждая оценка — это диапазон попыток, заданный тем, сколько времени реальные атаки тратят на его перебор. Для «Очень надёжный» нужно 10²¹ попыток или больше: ни одна видеокарта не найдёт такой пароль за век, даже против NTLM.

Попыток нужно злоумышленнику
Утёк
  1. 6-значный PIN-код
  2. Summer2026!
  3. 8 случайных символов
  4. 4 случайных слова
  5. 6 случайных слов
  6. 12 случайных символов
  7. 16 случайных символов
Очень слабыйСлабыйСреднийНадёжныйОчень надёжный
  1. Вход с блокировкой
  2. Открытый вход
  3. Argon2id
  4. bcrypt
  5. sha512crypt
  6. SHA-1
  7. MD5
  8. NTLM

▲: один год на одной видеокарте

«Утёк» стоит вне шкалы: утёкший пароль есть в списках злоумышленников, какой бы длины он ни был.
ОценкаНужно попытокЧто он выдерживает
УтёкВ данных об утечкахНичего: злоумышленники пробуют утёкшие пароли первыми. Смените его везде, где используете.
Очень слабыйМеньше 10⁴Онлайн-подбор находит его за 17 минут, даже при 10 попытках в секунду.
СлабыйОт 10⁴ до 10⁸Сайт, который блокирует после 100 неудач, но не тот, где нет ограничения; после утечки — самое большее 16 часов.
СреднийОт 10⁸ до 10¹⁴Онлайн-подбор — от месяцев до тысячелетий; после утечки — от нескольких часов до 333 лет против bcrypt, но меньше 10 минут против MD5 или NTLM.
НадёжныйОт 10¹⁴ до 10²¹После утечки: от 333 до 3 млрд лет против bcrypt, но от 5 минут до 93 лет против NTLM на одной видеокарте.
Очень надёжный10²¹ или большеНи одна видеокарта не найдёт его за век, даже против NTLM, самого быстрого для взлома хеша.

Что делает пароль надёжным?

Длина и случайность: не менее 15 символов, если пароль один защищает аккаунт, созданный генератором или из случайных слов, один на один аккаунт и ни разу не найденный в утечках. Символы, заглавные буквы и регулярная смена больше не требуются.

Таков набор правил NIST SP 800-63B-4, стандарта США, пересмотренного в июле 2025 года: 15 символов при одном факторе и 8 со вторым, приём не менее 64 символов, любые символы, включая пробелы и эмодзи, никаких правил состава, никакой принудительной смены, и каждый новый пароль проверяется по спискам утёкших и частых.

CISA, агентство кибербезопасности США, просит не менее 16 символов или парольную фразу из четырёх–семи несвязанных слов, а британский NCSC советует три случайных слова. Все три ставят длину на первое место.

Замена букв на похожие цифры не помогает: злоумышленники знают o → 0 и a → @ и пробуют их рано (NCSC). Генератор паролей создаёт пароли, которые соответствуют всем правилам.

NIST SP 800-63B-4что говорит стандарт · что делает проверка
  • Не менее 15 символов или 8 со вторым факторомДлина проверяется по 15
  • Принимать не менее 64 символовПринимается до 256, анализируются первые 64
  • Любые символы, включая пробелы и эмодзиСчитаются в символах: эмодзи — один
  • Никаких правил вроде «должен содержать символ»Отсутствие типа никогда не считается проблемой
  • Без принудительной смены; смена после компрометации«Утёк» подсказывает, когда пора
  • Блокировать частые и утёкшие паролиПроверка по Have I Been Pwned
  • Разрешать вставку и менеджеры паролейВставка работает и запускает проверку утечек
NIST SP 800-63B-4, раздел 3.1.1.2, стандарт США для паролей с июля 2025 года.

Энтропия пароля: почему P@ssw0rd и Tr0ub4dor&3 не годятся

Энтропия считает возможные пароли, которые пришлось бы перебрать злоумышленнику, и имеет смысл только для пароля, выбранного случайно. По типам символов P@ssw0rd набирает около 52 бит, а Tr0ub4dor&3 — около 72; оба есть в данных об утечках, от тысяч до миллионов раз.

Калькулятор энтропии пароля умножает длину на биты каждого присутствующего типа символов, как будто каждый символ выбран случайно. Человек так не делает: P@ssw0rd — это слово «password» с двумя известными заменами, и Have I Been Pwned видел его 6 421 042 раза. Поэтому NIST строит правила на длине: энтропию для паролей, которые выбирают люди, вычислить нельзя (NIST SP 800-63B-4, Приложение A).

Tr0ub4dor&3, пример трудно запоминаемого пароля из xkcd, — это словарное слово с заменой букв, символом и цифрой: около миллиона попыток, если снять замены, сам по себе «Слабый», а на деле «Утёк», с 3 196 появлениями.

Для случайного пароля обе оценки совпадают, а генератор паролей показывает его точные биты. Проверка сообщает вместо этого число попыток: 10ˣ попыток — это 3,32 × x бита.

  • По типам символов
  • По шаблонам
  • В данных об утечках
  1. P@ssw0rd52,6 бит5,0 бит6 421 042 раза
  2. Tr0ub4dor&372,3 бит62,2 бит3 196 раз
  3. 12 случайных символов78,8 бит78,8 битНе найден
Типы символов исходят из того, что каждый символ выбран случайно. Только для случайного пароля обе оценки совпадают.

Утёк ли мой пароль? Приватная проверка по Have I Been Pwned

Проверка сверяет точный пароль с Pwned Passwords из Have I Been Pwned, это около 2,07 млрд паролей из утечек, не отправляя его: из браузера уходят только первые 5 из 40 символов его SHA-1-хеша, и уходят они на наш сервер, а не в Have I Been Pwned.

Ваш браузер хеширует пароль через SHA-1 и отправляет первые 5 символов, например 21BD1. С этих 5 начинаются около 2 000 хешей в базе; ответ перечисляет их все со счётчиками, а браузер ищет в этом списке остальные 35 символов. Это k-анонимность, собственная разработка Have I Been Pwned (HIBP): тот, кто видит эти 5 символов, не может понять, какой из 2 000 у вас.

Наш сервер обращается к Have I Been Pwned от вашего имени, поэтому тот никогда не видит ваш IP-адрес, дополняет каждый ответ 100–300 пустыми строками, чтобы размер ничего не выдавал, и не записывает префикс. Проверка запускается, когда вы покидаете поле, нажимаете Enter или вставляете пароль, но не на каждое нажатие клавиши: префикс на каждую набранную букву мог бы выдать пароль, поэтому Have I Been Pwned не советует так делать (HIBP).

Число — это количество появлений, а не утечек: Tr0ub4dor&3 встречался 3 196 раз. 2,07 млрд — наше собственное измерение, так как Have I Been Pwned не публикует актуального итога: в 256 случайных префиксах оказалось в среднем по 1 971 хешу (23 октября 2026 года).

Ваш браузер

••••••••

SHA-1 пароля

21BD12DC183F740EE76F27B78EB39C8AD972A757

Отправлено: первые 5 символов · Остаётся у вас: остальные 35

Сравнивается в вашем браузере

…2DC183F74…:6 421 042

Встречался 6 421 042 раз

dnsrobot.net

21BD1

+ от 100 до 300 пустых строк

Не записывается

Около 2 000 хешей, начинающихся с 21BD1

Have I Been Pwned

/range/21BD1

Видит наш сервер, а не вас

k-анонимность: тот, кто видит эти 5 символов, не может понять, какой из примерно 2 000 паролей у вас.

Что делать, если пароль попал в утечку

Перестаньте им пользоваться: сначала смените его в почте, потом на каждом сайте, где использовали такой же или похожий пароль, каждый раз на новый случайный, и включите двухэтапный вход везде, где он есть.

Утёкший пароль есть в списках, которые злоумышленники пробуют первыми, так что его надёжность уже не важна: перебор всего списка из 2,07 млрд занимает у одной видеокарты меньше секунды против хешей NTLM или MD5 и около 2,5 дня против bcrypt. Поэтому NIST требует от сайтов отклонять утёкшие пароли и заставлять менять скомпрометированный (NIST SP 800-63B-4).

Почта идёт первой, потому что через неё можно сбросить все остальные аккаунты. Генератор паролей даёт каждому аккаунту свой пароль, а менеджер паролей их запоминает. Попадание в список не значит, что ваш аккаунт взломали: в списке лежит сам пароль, от кого угодно.

Даже надёжный уникальный пароль не остановит фишинг или кейлоггер, которые перехватывают его при вводе (NIST SP 800-63B-4). Перед входом проверяйте, куда на самом деле ведёт ссылка, а настоящего отправителя подозрительного письма проверьте в анализаторе заголовков писем.

  1. 1Сначала смените его в почтеЧерез почту можно сбросить все остальные аккаунты.
  2. 2Потом везде, где повторялиУ каждого аккаунта свой созданный пароль.
  3. 3Включите двухэтапный входОдного украденного пароля уже не хватит.
  4. 4Храните их в менеджере паролейОн запоминает каждый и подставляет его.

Надёжность пароля: вопросы и ответы

Безопасно ли вводить здесь настоящий пароль?

Пароль остаётся в вашем браузере. Оценка выполняется на вашем устройстве, а проверка утечек отправляет только первые 5 из 40 символов его SHA-1-хеша, когда вы покидаете поле, нажимаете Enter или вставляете пароль. Ничего не сохраняется и не записывается, а проверка орфографии для поля отключена. Если всё же не хотите, проверьте пароль, созданный так же.

Это то же самое, что проверка паролей в Have I Been Pwned?

Она использует те же данные, Pwned Passwords из Have I Been Pwned, и тот же поиск по диапазону с k-анонимностью. Отличий три: запрос идёт через наш сервер, так что Have I Been Pwned никогда не видит ваш IP-адрес; проверка запускается, когда вы закончили ввод, а не на каждое нажатие; и попадание меняет оценку на «Утёк», а не стоит рядом с баллом надёжности.

Что значит «встречался 3 196 раз»?

Столько раз именно этот пароль встречается в данных об утечках Have I Been Pwned: 3 196 появлений у Tr0ub4dor&3. Это не число утечек и не число аккаунтов, и это не значит, что ваш аккаунт взломали: в списке лежит пароль, а не тот, кто им пользовался. Любое число больше нуля помещает пароль в списки, которые злоумышленники пробуют первыми.

Как проверка пароля вычисляет время взлома?

Она делит число попыток, которые в среднем понадобятся злоумышленнику, на скорость каждой атаки. Число попыток даёт оценка шаблонов; скорости — опубликованные тесты hashcat для одной RTX 5090 (для Argon2id — RTX 4090), а 100 видеокарт делят время на 100. Настоящие злоумышленники перед перебором пробуют списки и правила, и это моделирует оценка шаблонов.

Почему другая проверка надёжности пароля даёт другой ответ?

Большинство считает типы символов и не говорит, какую атаку предполагает. Когда мы 23 октября 2026 года попробовали девять популярных проверок, шесть выдали Tr0ub4dor&3 за безопасный, со временем взлома от 4 месяцев до 2 000 лет, хотя он есть в данных об утечках 3 196 раз. Эта называет каждую атаку, оценивает шаблоны, которые злоумышленники пробуют первыми, и позволяет утечке перекрыть оценку.

Это калькулятор энтропии пароля?

По сути да: он оценивает, сколько попыток нужно паролю, а 10ˣ попыток — это примерно 3,32 × x бита. В отличие от калькулятора энтропии пароля, который считает типы символов, он сначала ищет шаблоны: по типам P@ssw0rd набирает около 52 бит, но он есть в данных об утечках 6,4 млн раз. Для случайного пароля оценки совпадают, а генератор показывает его точные биты.

Почему мой длинный пароль оценён как слабый?

Длина помогает только тогда, когда символы непредсказуемы. Повторяющиеся буквы, ряды клавиш вроде qwertyuiop, известная фраза или строка из песни — среди первого, что пробуют злоумышленники: у aaaaaaaaaaaaaaaa 16 символов, и он оценён как «Очень слабый». Длинный пароль может быть и в данных об утечках, что даёт ему «Утёк»: correcthorsebatterystaple встречается 4 173 раза.

Нужны ли символы, цифры и заглавные буквы?

Для надёжности нет. Действующие правила NIST велят сайтам прекратить их требовать, потому что они ведут к предсказуемому выбору вроде Password1!, а проверка никогда не отмечает отсутствие типа как проблему. Длина и случайность важнее: 20 случайных строчных букв (94 бита) надёжнее 12 случайных символов всех типов (78 бит). Некоторые сайты всё же настаивают, поэтому генератор умеет их добавлять.

За сколько взломают пароль из 8 символов?

Случайный, из всех 94 клавиатурных символов: около 2 часов на одной RTX 5090, если сайт хранил его как хеш NTLM, 4 часа как MD5 и около 10 000 лет с bcrypt при cost 10. Пароль из 8 символов, который выбрал человек, например слово и год, падает меньше чем за секунду против этих быстрых хешей и в пределах часов против bcrypt.

Можно ли взломать даже надёжный пароль?

Да, потому что надёжность измеряет только подбор. Фишинговые страницы, кейлоггеры и вредоносные программы перехватывают пароль при вводе, какой бы длины он ни был, а пароль, повторённый на взломанном сайте, пробуют на ваших других аккаунтах. Используйте разный пароль для каждого сайта, включите двухэтапный вход и перед входом проверяйте, куда на самом деле ведёт ссылка.

Почему пароль, который выглядит надёжным, получает «Утёк»?

Потому что он есть в данных об утечках, а злоумышленники пробуют такие пароли раньше всего. Перебор всего списка примерно из 2,07 млрд занимает у одной видеокарты меньше секунды против хешей MD5 или NTLM и несколько дней против bcrypt, так что сложность его уже не защищает. NIST по той же причине требует от сайтов отклонять утёкшие пароли. «Утёк» перекрывает любую другую оценку.

Почему проверка утечек не запускается при вводе?

Потому что проверка на каждое нажатие отправляла бы новый префикс на каждую букву, а ряд таких префиксов мог бы выдать пароль любому, кто следит за трафиком. Have I Been Pwned советует дождаться ввода всего пароля, поэтому проверка запускается, когда вы покидаете поле, нажимаете Enter или вставляете пароль. Оценка надёжности при этом обновляется по мере ввода.

Чего-то не хватает?Предложите функцию или новый инструмент

Похожие инструменты