Генератор паролей онлайн — создать надёжный пароль за секунду
Три режима под разные задачи. Генератор случайных паролей собирает комбинацию из букв, цифр и спецсимволов длиной от 6 до 64 знаков — такой пароль хранят в менеджере; парольная фраза из случайных слов — её реально запомнить и набрать руками; произносимый пароль — когда комбинацию придётся кому-то продиктовать. Рядом с каждым результатом показаны энтропия в битах и оценка времени подбора. Все вычисления идут локально в браузере: пароль не сохраняется и не передаётся на сервер.
Пароль формируется локально в вашем браузере и никуда не передаётся.
Как работает генератор паролей и почему ему можно доверять
Разбираем алгоритм, принципы надёжности и практические рекомендации по хранению паролей.
Как устроен алгоритм генерации
Инструмент использует crypto.getRandomValues() — встроенный в браузер криптографически стойкий генератор случайных чисел (CSPRNG). В отличие от обычного Math.random(), который предсказуем и не годится для защиты данных, этот метод опирается на источник энтропии операционной системы.
Каждый символ выбирается методом отбраковки (rejection sampling), что исключает статистический перекос в сторону одних символов — все допустимые символы имеют равную вероятность попасть в пароль.
Почему длина важнее сложности
Устойчивость пароля к перебору измеряется в битах энтропии: чем их больше, тем дольше атака методом brute-force. Каждый дополнительный символ увеличивает число возможных комбинаций многократно — прирост от длины ощутимее, чем от добавления ещё одного типа символов.
Пароль из 8 символов даже с полным набором символов взламывается современным оборудованием за часы. Пароль от 16 символов — за время, исчисляемое миллиардами лет при существующих вычислительных мощностях.
Спецсимволы и совместимость с сайтами
Не все сайты принимают полный набор спецсимволов: некоторые формы регистрации отклоняют пароли с квадратными скобками, обратным слэшем или кавычками. Поэтому в инструменте есть отдельная опция «безопасные спецсимволы» — набор !@#$%^&*-_=+, который проходит валидацию практически на любом сайте.
Если сервис выдаёт ошибку при вводе пароля с полным набором символов, переключитесь на безопасный набор и сгенерируйте пароль заново.
Как правильно хранить пароли
Надёжный пароль теряет смысл, если его небезопасно хранить: в заметках, файле на рабочем столе или одном и том же виде для нескольких сервисов. Рекомендация экспертов по кибербезопасности — использовать менеджер паролей (например, встроенный в браузер или отдельное приложение) и включать двухфакторную аутентификацию везде, где это доступно.
Никогда не используйте один пароль повторно: утечка на одном сайте не должна открывать доступ к остальным вашим аккаунтам.
Сколько символов должно быть в пароле
Самый частый вопрос при создании пароля. Ответ зависит от того, что защищает пароль и есть ли второй фактор входа.
Что рекомендуют стандарты. Американский институт стандартов NIST в редакции 4 руководства SP 800-63B задаёт минимум 8 символов, а для пароля как единственного способа входа рекомендует от 15. Там же прямо отменены два привычных требования: обязательный состав символов (заглавные, цифры, спецсимволы) и плановая смена пароля по расписанию. Менять пароль нужно при признаках компрометации, а не раз в квартал.
Важная оговорка про эти цифры. Они верны только для по-настоящему случайных паролей — тех, что выдаёт генератор. Если комбинацию придумал человек, расчёт не работает: люди выбирают предсказуемо, и реальная стойкость оказывается в разы ниже. «Двенадцать символов» в вашем исполнении и двенадцать символов от генератора — совершенно разные вещи.
Какой режим генерации выбрать
Три способа создать пароль решают разные задачи. Выбор зависит от того, придётся ли вам вводить пароль руками. Ниже — примеры надёжных паролей каждого вида и разбор, когда какой уместен. Если пароль нужно не сгенерировать, а придумать самому, помните: человеческая случайность предсказуема, и расчётная стойкость на такие комбинации не распространяется.
Случайный пароль
7bQ#mZ2vX!pR
Лучшее соотношение длины и стойкости: каждый символ выбирается независимо из полного набора. Запомнить такое нереально, поэтому пароль должен жить в менеджере паролей — это нормальный сценарий для большинства аккаунтов, которые вы всё равно не вводите вручную.
Настройки: длина от 6 до 64 символов, заглавные и строчные латинские буквы, цифры, спецсимволы. Можно исключить похожие знаки 0, O, 1, l, I — если пароль придётся переписывать с экрана или диктовать.
Парольная фраза
Ковёр-Тростник-Магнит-Полёт
Несколько случайных слов подряд. Шесть слов дают около 78 бит — столько же, сколько двенадцать случайных символов, но фраза запоминается: мозг хорошо держит образы и плохо — абракадабру. Это лучший выбор для мастер-пароля менеджера, входа в компьютер и шифрования архивов.
Критическое условие: слова должен выбирать генератор, а не человек. Придуманная фраза почти всегда оказывается осмысленной, а осмысленные сочетания предсказуемы. Мы используем EFF Long Wordlist от Electronic Frontier Foundation — по 12,9 бита случайности на каждое слово. Список распространяется по лицензии CC BY 3.0; мы убрали из него слова с дефисом, чтобы этот символ однозначно читался как разделитель, — осталось 7772 слова из 7776.
Произносимый пароль
Binawepoti41
Чередование согласных и гласных даёт комбинацию, которая проговаривается вслух и потому легче переносится на слух и держится в памяти на короткое время. Разумный выбор для временного пароля, который нужно продиктовать коллеге по телефону или передать сотруднику при первом входе.
Чем платите: стойкость ниже, чем у случайного набора той же длины — структура «согласная-гласная» ограничивает выбор символов. Инструмент честно показывает это в оценке энтропии: сравните числа при одинаковой длине.
Практическое правило. Пароль, который вы никогда не набираете руками, — случайный и как можно длиннее. Пароль, который приходится вводить с клавиатуры или диктовать, — парольная фраза. Произносимый вариант берите только для временных задач. Проверить пароль на надёжность можно в отдельном инструменте, а хранение паролей стоит доверить менеджеру: запоминать нужно один мастер-пароль, остальные пусть будут случайными и невоспроизводимыми.
Частые вопросы о генераторе паролей
Собрали ответы на вопросы, которые чаще всего задают о надёжности и работе инструмента.
При длине от 12 символов с использованием букв разного регистра, цифр и спецсимволов перебор пароля методом brute-force занимает практически неограниченное время даже на современных вычислительных кластерах. Пароль из 16+ символов с полным набором типов символов считается устойчивым к любым существующим методам подбора, включая атаки по словарю и радужным таблицам.
Нет. Генерация происходит полностью на стороне клиента — в вашем браузере с помощью Web Crypto API. Пароль не передаётся по сети, не сохраняется в базе данных Neorank и не попадает в серверные логи. Вы можете проверить это, отключив интернет: инструмент продолжит работать.
Минимально рекомендуемая длина — 12 символов, это порог, ниже которого современные рекомендации по безопасности (в том числе NIST SP 800-63B) не советуют опускаться. Для важных аккаунтов — почты, банкинга, менеджера паролей — стоит использовать от 16 символов с включёнными всеми доступными типами символов.
«Спецсимволы» — это полный набор символов пунктуации: !@#$%^&*()_+-=[]{}|;:,.<>?/~`"'\. Некоторые сайты и формы отклоняют часть из них — например, кавычки или обратный слэш могут восприниматься как ошибка ввода.
«Безопасные спецсимволы» — это подмножество !@#$%^&*-_=+, которое проходит валидацию практически на любом сайте без исключений. Используйте этот вариант, если основной набор вызывает ошибку при регистрации.
Не рекомендуется. Если один из сервисов подвергнется утечке базы данных, скомпрометированный пароль злоумышленники в первую очередь попробуют на других популярных сайтах — эта техника называется credential stuffing. Генерируйте уникальный пароль для каждого важного аккаунта и храните их в менеджере паролей.
Современные рекомендации по кибербезопасности (в том числе NIST) отказались от практики принудительной смены пароля по расписанию — она часто приводит к более слабым паролям. Меняйте пароль только при подозрении на утечку, после уведомления сервиса о взломе или если использовали его на нескольких сайтах и хотите это исправить.
Парольная фраза — это пароль из нескольких случайных слов, например Ковёр-Тростник-Магнит-Полёт. При равной стойкости она длиннее обычного пароля, но запоминается несравнимо легче: мозг хорошо удерживает образы и плохо — случайные символы.
В цифрах: шесть случайных слов из словаря на 7772 позиции дают около 78 бит энтропии — ровно столько же, сколько двенадцать случайных символов из полного набора. Разница только в удобстве. Поэтому фразу берут для мастер-пароля менеджера, входа в компьютер и шифрования архивов, а случайный набор — для аккаунтов, которые всё равно хранятся в менеджере.
В нашем генераторе словарь английский — это EFF Long Wordlist от Electronic Frontier Foundation, составленный специально для парольных фраз. Русские слова мы намеренно не используем, и вот почему.
Кириллица регулярно ломается на практике: часть сайтов молча обрезает или искажает русские символы в поле пароля, а ввести такую фразу на чужом устройстве или на телефоне без русской раскладки бывает невозможно. Английские слова этих проблем не создают, а на стойкость выбор языка не влияет — она определяется размером словаря, а не тем, понимаете ли вы значение слов.
Тот, что удовлетворяет трём условиям одновременно: достаточная длина — от 12 случайных символов или от 6 слов в парольной фразе; настоящая случайность — комбинацию выбрал генератор, а не человек; уникальность — этот пароль больше нигде не используется.
Третье условие важнее первых двух. Длинный сложный пароль, поставленный на пять сайтов, защищает хуже, чем пять разных средних: утечка на любом из них открывает остальные. Проверить конкретный пароль можно в проверке надёжности — она сверяет его со списком частых паролей и ищет клавиатурные дорожки, в том числе русские.
Нет, и это официальная позиция, а не мнение. NIST в редакции 4 руководства SP 800-63B прямо признал требования к обязательному составу символов вредными: они не столько повышают стойкость, сколько подталкивают к предсказуемым обходным манёврам — заглавная в начале, цифра и восклицательный знак в конце. Перебор проверяет такие шаблоны в первую очередь.
Работает другое — длина. Добавить один символ к паролю почти всегда выгоднее, чем добавить новый тип знаков. Настройки наборов в генераторе оставлены не ради стойкости, а ради совместимости: часть сайтов до сих пор требует определённый состав символов либо, наоборот, не принимает часть спецсимволов.
Случайно, источник случайности — crypto.getRandomValues(), криптографический генератор браузера. Обычный Math.random() для паролей непригоден: его последовательность предсказуема и воспроизводима, зная состояние генератора.
Выбор символа сделан через отбрасывание лишних значений, а не через остаток от деления. Это важная деталь: наивный подход даёт перекос в сторону начала алфавита, и часть символов выпадает чаще других. Убедиться, что пароль никуда не уходит, можно самостоятельно — откройте инструменты разработчика на вкладке «Сеть» и нажмите «Сгенерировать».