Проверка пароля на надёжность — насколько легко его подобрать
Введите пароль — и узнайте, насколько легко его подобрать. Проверка идёт не по длине, а по типичным шаблонам: частые пароли, клавиатурные последовательности (qwerty, йцукен), даты, повторы и замены вроде нуля вместо «o». Отдельной кнопкой можно сверить пароль с базой утечек — сам пароль при этом не передаётся. Оценка ориентировочная.
Анализ начнётся сразу, как только вы начнёте набирать пароль — ничего никуда не отправляется
Пароль сверяется с базой Have I Been Pwned — это более 800 миллионов паролей из реальных утечек. Сам пароль никуда не уходит: в сеть отправляются только первые 5 символов его хеша, под которые подходят десятки тысяч разных паролей. Какой именно из них ваш, сервис узнать не может.
Анализ выполняется локально в браузере — можно проверить, отключив интернет. Единственное сетевое действие на странице — кнопка проверки по базе утечек, и даже она отправляет не пароль, а только пять символов его хеша.
Важно: не вводите действующие пароли в онлайн-проверки, включая эту: проверяйте пароль похожей структуры. Оценка ориентировочная.
Как устроена проверка и почему ей можно доверять
Разбираем логику анализа, почему классические проверялки ошибаются и что реально делает пароль уязвимым.
Как считается надёжность
Большинство онлайн-проверялок оценивают пароль по формуле «длина × количество типов символов» — и правило это в корне не соответствует тому, как реально подбирают пароли. Взломщик не перебирает случайные комбинации вслепую: сначала пробуются словари реальных паролей, потом — их вариации с типичными заменами букв на цифры.
Поэтому здесь оценка складывается из двух источников: базовой энтропии (сколько вариантов в принципе даёт длина и набор символов) и штрафов за конкретные уязвимые шаблоны — совпадение со списком частых паролей, клавиатурные последовательности, даты, повторы.
Почему «Password1!» — это слабый пароль
Формально в нём есть заглавная буква, строчные буквы, цифра и спецсимвол — по формуле «сложности» это должно быть отлично. На практике это одна из первых комбинаций, которую проверяют при взломе: обычное слово с ожидаемой заменой символов.
Инструмент нормализует типичные замены (0→o, 3→e, 1→i, @→a, $→s) перед сверкой со списком распространённых паролей — «P@ssw0rd1!» находится так же надёжно, как и «password».
Клавиатурные последовательности и даты
«qwerty», «йцукен», «12345» и подобные наборы физически быстро набираются и потому крайне популярны — настолько, что входят в любой словарь для подбора паролей в первую очередь. Инструмент ищет такие последовательности не только для латинской, но и для кириллической раскладки клавиатуры.
Отдельно проверяются даты — годы вида 1990–2026 и форматы ДД.ММ.ГГГГ: дата рождения или значимого события — второй по популярности источник паролей после словарных слов, и один из первых векторов, которые пробуют при целевой атаке на конкретного человека.
Что делать, если пароль слабый
Точечно «улучшать» слабый пароль обычно бессмысленно: замена одной буквы на цифру или добавление восклицательного знака в конце — тоже давно учтённый взломщиками приём. Единственный надёжный способ — сгенерировать новый пароль случайным образом.
Используйте генератор паролей и уникальный пароль для каждого важного аккаунта — так утечка на одном сайте не откроет доступ к остальным.
Сколько символов должно быть в надёжном пароле
Что говорит действующая редакция стандарта — и почему привычное «заглавная, цифра, спецсимвол» из него исчезло.
Главный ориентир в мире — NIST SP 800-63B, стандарт цифровой аутентификации Национального института стандартов и технологий США. В действующей, четвёртой редакции требования заметно изменились по сравнению с тем, к чему все привыкли: если пароль — единственный способ входа, его длина должна быть не меньше 15 символов. Восьми символов достаточно только там, где вход дополнительно защищён вторым фактором.
| Требование | Что это значит на практике |
|---|---|
| Минимум 15 символов | Для пароля как единственного фактора входа. Если включена двухфакторная аутентификация, допустимы 8 — но 15 всё равно лучше. |
| Поддержка до 64 символов | Сайт не должен обрезать длинные пароли и парольные фразы. Если поле молча режет ввод на 12 символах — это плохой признак. |
| Любые символы, включая пробелы | Пробелы и символы Юникода должны приниматься. Запрет на пробел означает, что парольную фразу использовать не дадут. |
| Обязательные типы символов | Стандарт запрещает навязывать правила вида «нужна заглавная, цифра и спецсимвол»: они порождают предсказуемые «Password1!» и не добавляют стойкости. |
| Смена пароля по расписанию | Требовать регулярную смену нельзя. Менять пароль нужно только при признаках компрометации: принудительная ротация приводит к «Лето2025» → «Лето2026». |
| Сверка с базами утечек | Новый пароль положено проверять по спискам скомпрометированных. Именно это делает кнопка проверки по утечкам в инструменте выше. |
Почему длина важнее набора символов
Каждый добавленный символ умножает число вариантов, а расширение алфавита лишь увеличивает основание степени. Поэтому длинный пароль из одних строчных букв обгоняет короткий «сложный»: шестнадцать строчных букв дают около 75 бит энтропии, восемь символов всех типов сразу — около 52 бит. Разница огромная, хотя второй пароль выглядит «серьёзнее».
Практический вывод: парольная фраза из нескольких несвязанных слов надёжнее и запоминается лучше, чем короткий набор из букв, цифр и знаков. Важно, чтобы слова были выбраны случайно, а не составляли осмысленную цитату — предсказуемые фразы подбираются по словарям так же, как отдельные слова.
Проверка пароля на утечку: как это устроено и почему безопасно
Самый важный сигнал о пароле — не его сложность, а то, попадал ли он в чужие руки.
Стойкость пароля перестаёт что-либо значить, если он уже утёк. Пароль из шестнадцати случайных символов, однажды попавший в публичную базу, подбирается мгновенно — он просто есть в словаре. Поэтому проверка по базам утечек важнее любых расчётов энтропии, и действующая редакция NIST прямо требует сверять новые пароли со списками скомпрометированных.
Что такое k-анонимность
Логичное возражение: чтобы проверить пароль по базе, его вроде бы нужно куда-то отправить. На самом деле нет — существует схема, при которой сервис не узнаёт проверяемый пароль. Работает она так:
Браузер считает хеш
Пароль превращается в 40-символьный отпечаток SHA-1 прямо на вашем устройстве. Никуда не отправляется даже он.
Уходят только 5 символов
В сервис отправляется лишь начало отпечатка — пять символов. Под такое начало подходят десятки тысяч разных паролей.
Приходит целый список
В ответ возвращаются все окончания отпечатков с таким началом — сотни строк, среди которых ваш может быть, а может и не быть.
Сравнение — у вас
Совпадение ищется в браузере. Сервис не знает ни вашего пароля, ни его полного отпечатка, ни того, нашлось ли совпадение.
Именно поэтому проверка сделана отдельной кнопкой, а не запускается автоматически при вводе. Это единственное действие на странице, которое обращается в сеть, и решение принимаете вы — уже зная, что именно отправляется. Всё остальное работает даже с выключенным интернетом.
Если пароль нашёлся в утечке
Число рядом с результатом — сколько раз этот пароль встретился в известных утечках. Даже единица означает, что он есть в словарях для подбора. Менять его нужно везде, где он использовался, а не только на одном сайте: подстановка одной и той же пары «почта — пароль» на десятках сервисов — самый массовый способ угона аккаунтов.
Обратное неверно: отсутствие в базе — не гарантия. В неё попадают только ставшие публично известными утечки, а о части взломов никто так и не узнаёт. Поэтому «не найден» стоит читать как «плохих новостей нет», а не как «пароль безопасен».
Устаревшие советы и что делать вместо них
Четыре правила, которым до сих пор учат и которые действующие стандарты отменили.
«Менять пароль каждые три месяца»
Правило отменено: NIST прямо запрещает требовать смену по расписанию. Причина в поведении людей — принудительная ротация даёт «Лето2025» вместо «Лето2024», и такие последовательности взломщики учитывают в первую очередь.
Менять пароль нужно по событию: признаки взлома, письмо об утечке на сервисе, находка в базе утечек.
«Обязательно заглавная, цифра и знак»
Стандарт запрещает навязывать такие правила. Они не столько усложняют пароль, сколько делают его предсказуемым: заглавная оказывается первой буквой, цифра и восклицательный знак — в конце. Взломщики знают эту схему.
Лучше потратить те же усилия на длину: каждый лишний символ даёт больше, чем добавленный знак препинания.
«Заменить o на 0 — и хватит»
Замены букв цифрами встроены в любой инструмент подбора: словари прогоняются со всеми популярными вариантами. «P@ssw0rd» проверяется практически одновременно с «password».
Инструмент выше нормализует такие замены перед сверкой — поэтому подобные пароли он показывает слабыми, хотя формально в них есть и цифры, и знаки.
«Надёжный пароль надо помнить»
Держать в голове десятки уникальных паролей невозможно, поэтому люди их повторяют — а это главная причина массовых угонов. Помнить нужно один пароль: от менеджера паролей. Он же должен быть самым длинным.
И второе: где можно, включайте двухфакторную аутентификацию. Даже утёкший пароль без второго фактора бесполезен.
Если пароль оказался слабым, не пытайтесь его «доработать» — добавленный в конец символ ситуацию не меняет. Сгенерируйте новый случайный пароль генератором паролей и сохраните его в менеджере. Уникальный пароль на каждый важный аккаунт — то, ради чего всё это и делается: утечка на одном сайте тогда не открывает доступ к остальным.
Требования к длине, отмена обязательных правил состава, запрет смены по расписанию и требование сверять пароли со списками скомпрометированных приведены по NIST SP 800-63B (Digital Identity Guidelines, действующая четвёртая редакция). Схема проверки по базе утечек — Pwned Passwords с моделью k-анонимности: в сеть передаются только первые пять символов SHA-1-отпечатка. Оценки времени подбора — расчётные, они зависят от способа хранения паролей на конкретном сайте и приведены как порядок величины, а не точный прогноз.
Частые вопросы о проверке надёжности пароля
Куда уходит пароль, как считается время взлома, сколько нужно символов и что делать при утечке.
Нет. Весь анализ — сверка со списком частых паролей, поиск клавиатурных последовательностей и дат, расчёт энтропии — выполняется локально в браузере на JavaScript. Пароль не передаётся ни в открытом, ни в хешированном виде.
Проверить это просто: отключите интернет после загрузки страницы — инструмент продолжит работать. Единственное действие, обращающееся в сеть, — кнопка проверки по базе утечек, и она запускается только вручную. Что именно при этом отправляется, описано в следующем вопросе.
Через схему k-анонимности. Браузер считает отпечаток пароля (SHA-1) и отправляет в сервис Have I Been Pwned только первые пять символов этого отпечатка. В ответ приходит список всех окончаний с таким началом — сотни строк. Совпадение ищется уже у вас в браузере.
Сервис не получает ни пароль, ни его полный отпечаток и не знает, нашлось ли совпадение: под один пятисимвольный префикс подходят десятки тысяч разных паролей. Эту же схему используют менеджеры паролей и браузеры, а действующая редакция NIST прямо требует сверять новые пароли со списками скомпрометированных.
Проверка вынесена в отдельную кнопку намеренно: это единственное сетевое действие на странице, и запускать его или нет — решаете вы.
По действующей редакции NIST SP 800-63B — не меньше 15 символов, если пароль является единственным способом входа. Восемь допустимы только там, где дополнительно включён второй фактор.
При этом длина важнее состава: шестнадцать строчных букв дают около 75 бит энтропии, а восемь символов всех типов сразу — около 52. Поэтому парольная фраза из нескольких случайных слов надёжнее короткого «сложного» пароля и запоминается легче. Главное, чтобы слова были выбраны случайно, а не составляли известную цитату.
Показывается диапазон, а не одна цифра, и это принципиально. Скорость подбора зависит от того, как сайт хранит пароли, — а это вне вашего контроля. Верхняя оценка — около 10 миллиардов попыток в секунду: устаревшее быстрое хеширование при переборе на видеокарте. Нижняя — около 10 тысяч в секунду: современные алгоритмы вроде bcrypt или Argon2, специально сделанные медленными.
Расчёт ведётся от энтропии с уже применёнными штрафами за найденные шаблоны, и в среднем нужный вариант находится за половину перебора. Цифры стоит воспринимать как порядок величины: разница между «часами» и «миллионами лет» значима, разница между «90 тысяч лет» и «120 тысяч лет» — нет.
Потому что стойкость определяется не набором типов символов, а предсказуемостью. «Password1!» формально содержит всё, что требуют старые правила, но это один из первых вариантов, которые перебирают: обычное слово с ожидаемой заменой символов и знаком в конце.
Инструмент нормализует типичные замены (0 вместо o, 3 вместо e, @ вместо a) перед сверкой со списком частых паролей — поэтому «P@ssw0rd1!» находится так же уверенно, как «password». Действующая редакция NIST по той же причине запрещает сайтам навязывать правила состава символов.
Нет, и это изменилось на уровне стандарта: NIST прямо запрещает требовать смену пароля по расписанию. Причина в предсказуемом поведении — при принудительной ротации люди меняют «Лето2025» на «Лето2026», и такие последовательности взломщики учитывают.
Менять пароль нужно по событию: пришло уведомление об утечке на сервисе, замечена подозрительная активность, пароль нашёлся в базе утечек.
Не пытайтесь доработать его точечно: добавленный символ или замена буквы на цифру ситуацию не меняют — эти приёмы давно учтены. Сгенерируйте новый случайный пароль генератором паролей.
Если пароль нашёлся в утечке, замените его везде, где он использовался, а не только на одном сайте. Подстановка одной и той же пары «почта — пароль» на десятках сервисов — самый массовый способ угона аккаунтов. И включите двухфакторную аутентификацию там, где она есть: без второго фактора утёкший пароль бесполезен.
Эта проверка считает пароль локально и не отправляет его на сервер.
Здесь оценка складывается из энтропии и штрафов за конкретные шаблоны, время подбора показывается диапазоном, а не одной цифрой, кириллические клавиатурные последовательности («йцукен») распознаются наравне с латинскими. Проверка по утечкам вынесена в отдельное действие с объяснением, что именно уходит в сеть.
Общий совет остаётся прежним: не вводите в онлайн-проверялки — любые, включая эту — свой действующий пароль от важного аккаунта. Проверяйте на нём похожий по структуре вариант или уже заменённый пароль.
Энтропия измеряет, сколько вариантов придётся перебрать: каждый бит удваивает их число. Ориентиры простые: меньше 28 бит — очень слабый, 45–60 — средний, от 80 бит пароль можно считать надёжным на обозримую перспективу.
Важная оговорка: формула честна только для по-настоящему случайных паролей. У придуманного человеком реальная энтропия почти всегда ниже расчётной, потому что выбор символов неслучаен. Поэтому инструмент вычитает биты за найденные шаблоны — совпадение со словарём, клавиатурную последовательность, дату, повтор блока — и показывает уже скорректированное значение.
Осторожность здесь уместна, и мы не будем убеждать в обратном. Этот инструмент считает всё в браузере, но проверить это на слово нельзя — можно только фактически: откройте страницу, отключите интернет и убедитесь, что анализ продолжает работать. Исходный код страницы открыт для просмотра.
Разумное правило для любых онлайн-проверок: не вводите действующий пароль от почты, банка или менеджера паролей. Чтобы понять принцип, достаточно проверить пароль той же структуры — например, заменив в нём несколько символов.