Kalkulator siły hasła

Ocena działa w kodzie strony, ale pole pozostaje demonstracją

Narzędzie nie potrzebuje wysyłać tekstu do zewnętrznej bazy, aby policzyć długość i wykryć kilka wzorców. Wynik powstaje lokalnie w przeglądarce.

Mimo to nie wpisuj sekretu używanego na banku, poczcie, menedżerze haseł ani innym koncie. Najbezpieczniejszy test istniejącego hasła to zastąpienie go nowym, unikalnym sekretem wygenerowanym w zaufanym menedżerze.

Domyślny tekst Demo1234! jest celowo słaby i służy wyłącznie do pokazania ostrzeżeń. Nie kopiuj go ani nie twórz wariantów z innym rokiem.

Lokalne obliczenie nie oznacza pełnego audytu bezpieczeństwa

Strona nie sprawdza kompletnej bazy wycieków, nazwy użytkownika, adresu e-mail, nazwy firmy ani słownika w twoim języku. Nie wie również, jak dana usługa przechowuje hasła.

Rozszerzenie przeglądarki, złośliwe oprogramowanie lub zmodyfikowana strona mogą przechwytywać pola niezależnie od zamierzonego kodu kalkulatora. Dlatego ważnych sekretów nie wkleja się do narzędzi demonstracyjnych.

Wynik pomaga zrozumieć reguły, a nie wystawia certyfikat. Dla nowego hasła najlepiej ominąć ręczne wymyślanie i użyć generatora w menedżerze.

Długość daje bazę, a oczywiste wzorce odejmują punkty

Heurystyka przyznaje cztery punkty za każdy znak, maksymalnie 80. Następnie odejmuje kary za długość poniżej 15 znaków, popularne słowa, sekwencje, potrójne powtórzenia i prosty schemat słowo–cyfry–symbol.

Wynik jest ograniczony do zakresu 0–100. Etykieta „mocne w tej prostej ocenie” zaczyna się od 80, „średnie” od 55, „słabe” od 30, a niższe wartości są bardzo słabe.

Skala nie ma bezpośredniego przeliczenia na bity entropii ani czas łamania. Dwa teksty z wynikiem 80 mogą mieć zupełnie inną przewidywalność dla atakującego.

Brak ostrzeżenia nie oznacza braku wzorca

Lista popularnych słów jest krótka. Hasło może zawierać tytuł filmu, imię, ulicę, klub albo frazę z wycieku i nie zostać rozpoznane.

Heurystyka nie modeluje zamian typu a→@, transliteracji, układu klawiatury, dat urodzenia ani reguł specyficznych dla użytkownika. Atakujące programy mają znacznie większe słowniki i generatory reguł.

Silny wynik należy czytać wyłącznie jako „nie wykryto tych kilku prostych problemów i długość jest duża”. Nie jest dowodem losowości.

Krótka długość i sekwencja zużywają całą punktację

Demo1234! ma dziewięć znaków, więc baza wynosi 9 × 4 = 36 punktów. Za mniej niż 15 znaków odejmowane jest 20, pozostaje 16.

Ciąg zawiera sekwencję 1234, za którą odejmowane jest kolejne 20. Wynik spada poniżej zera i zostaje ograniczony do 0.

Tekst pasuje też do przewidywalnego schematu słowo plus cyfry i symbol, więc otrzymałby dalszą karę. Ostatecznie kalkulator pokazuje 0/100 oraz wykryte problemy.

Wielka litera, cyfry i wykrzyknik nie ratują przewidywalnego tekstu

Stare reguły składu często prowadzą do wzorca PierwszaLitera + słowo + rok + wykrzyknik. Atakujący sprawdza takie kombinacje wcześnie, a nie jako losowy punkt w pełnym alfabecie.

Zmiana Demo1234! na Demo2026! nie usuwa problemu. Podobnie dopisanie drugiego symbolu nie tworzy niezależnego losowania, jeśli użytkownik zawsze wybiera ten sam koniec.

Lepszym działaniem jest wygenerowanie całkowicie nowego, dłuższego i unikalnego sekretu, a nie kosmetyczna naprawa znanego schematu.

Długość jest ważna, lecz minimum nie jest gwarancją

NIST SP 800-63B-4 wymaga co najmniej 15 znaków, gdy hasło jest jedynym czynnikiem. Jeśli jest częścią uwierzytelniania wieloskładnikowego, dopuszczalne minimum wynosi 8 znaków.

Usługa powinna pozwalać na co najmniej 64 znaki, przyjmować spacje oraz umożliwiać menedżery, autouzupełnianie i wklejanie. Długi limit pomaga używać losowych sekretów oraz fraz bez sztucznego skracania.

Piętnaście znaków nie sprawia, że „aaaaaaaaaaaaaaa” jest dobre. Wymaganie długości działa razem z blokowaniem wartości popularnych i skompromitowanych oraz ograniczaniem prób.

Obowiązkowe klasy znaków nie zastępują blocklisty

Aktualne wytyczne NIST nie zalecają narzucania reguł typu obowiązkowa wielka litera, cyfra i symbol. Użytkownicy reagują na nie przewidywalnymi konstrukcjami.

Przy tworzeniu lub zmianie hasła usługa powinna porównać całą wartość z listą popularnych, oczekiwanych i skompromitowanych haseł. Kalkulator nie ma takiej pełnej listy.

Nie należy wymagać okresowej zmiany bez oznak kompromitacji. Wymuszanie rotacji sprzyja kolejnym numerom i drobnym modyfikacjom. Zmiana jest konieczna, gdy istnieje dowód ujawnienia.

Unikalność chroni przed credential stuffing

Hasło może być trudne do zgadnięcia, ale jeśli zostało użyte w kilku serwisach, wyciek z jednego otwiera pozostałe. Boty automatycznie testują pary login–hasło w innych usługach.

Każde konto potrzebuje innego sekretu. Menedżer haseł usuwa konieczność zapamiętywania wzoru i może generować losowe wartości o długości dopasowanej do serwisu.

Hasło główne menedżera wymaga szczególnej ochrony i nie może być używane nigdzie indziej. Włącz dodatkowy, najlepiej odporny na phishing składnik, jeśli produkt go obsługuje.

Atak online i offline mają inne ograniczenia

Przy logowaniu online usługa może ograniczać częstotliwość, wykrywać nadużycia i wymagać dodatkowego składnika. Ochrona konta zależy więc również od implementacji serwera.

Po wycieku bazy skrótów atakujący działa offline i testuje kandydatów bez kontaktu z usługą. Szybkość zależy od funkcji haszującej, kosztu, soli i sprzętu.

Serwer powinien przechowywać hasła w postaci solonego, kosztownego skrótu przeznaczonego do haseł, a nie w plaintext ani szybkim skrócie ogólnego przeznaczenia.

MFA zmniejsza ryzyko, ale nie każde jest odporne na phishing

Kod jednorazowy może zatrzymać atakującego, który zna tylko hasło. Fałszywa strona pośrednicząca może jednak wyłudzić również bieżący kod.

Passkeys i sprzętowe klucze wykorzystujące powiązanie kryptograficzne z prawidłową domeną mogą zapewniać odporność na phishing. Dostępność zależy od usługi i sposobu wdrożenia.

Procedura odzyskiwania nie może być słabsza od logowania. Jeśli konto można przejąć przez łatwe pytanie bezpieczeństwa, silne hasło nie zamyka tej drogi.

Najlepszy wynik nie chroni przed przechwyceniem sekretu

Phishing, keylogger i złośliwe rozszerzenie mogą przechwycić dowolnie długie hasło. Punktacja mierząca wygląd tekstu nie ocenia stanu urządzenia ani domeny.

Sprawdzaj adres strony, aktualizuj urządzenie i nie zatwierdzaj nieoczekiwanych próśb logowania. Alert o nowym urządzeniu lub wycieku wymaga reakcji niezależnie od wcześniejszego wyniku punktowego.

Kalkulator jest narzędziem edukacyjnym do wykrywania kilku błędów. Bezpieczny proces to unikalny generator, menedżer, ochrona usługi, dodatkowe uwierzytelnianie oraz plan odzyskiwania.

• nie testuj tutaj rzeczywistego sekretu
• wygeneruj nowe, unikalne hasło w menedżerze
• włącz uwierzytelnianie odporne na phishing, jeśli jest dostępne
• po stronie usługi stosuj blocklistę i limity prób
• zmień hasło natychmiast po potwierdzonym kompromitowaniu