パスワード強度チェック

機能

• ⚠️ ページの最初の行が「使用中のパスワードを入力しないでください」という注意 —— このツールが実害を生み得る唯一の箇所です
• エントロピーを 2 つ表示：長さと文字種から求めた素の値と、パターン減点後の実効値
• よくあるパスワードの検出。大文字小文字の変形、`p@ssw0rd` のような leet 置換、`pass-word` のような記号挿入も見抜きます
• パターン検出：キーボード配列（qwerty）、連続（abcd / 4321）、年や日付、繰り返し（aaa / ababab）、leet 置換
• 5 つの攻撃シナリオ別に時間を表示：オンライン制限あり / 制限なし / オフライン低速ハッシュ（bcrypt 等）/ オフライン高速ハッシュ GPU 1 枚 / GPU クラスタ。それぞれ前提速度を明記します
• 複数の候補を一度に入力し、行ごとに比較できます
• よくあるリストに載っているパスワードは、エントロピーがどれだけ高く見えても「無いに等しい」と判定します

使い方

1. ⚠️ まず本物のパスワードを貼らないでください —— 同じ形のもので試します
2. 候補を 1 行に 1 つ貼り付けます
3. 「実効エントロピー」と「検出したパターン」を確認し、下の 5 シナリオの解析時間と照らし合わせます

よくある質問

このページは安全ですか？本物のパスワードを入力してもよいですか？

技術的には可能ですが、おすすめしません。 このページは静的で、入力はブラウザ内での計算にのみ使われ、ネットワークリクエストは発生しません —— ブラウザのネットワークパネルで確認できます。ただしページ自体はネットワークから読み込まれており、途中で改変されていないか検証できません。パスワード強度のページは本物のパスワードを入力させがちで、そこが唯一のリスクです。同じ形の代替で結論は変わりません。

エントロピーの式だけでは足りないのはなぜですか？

エントロピーは長さと文字種しか見ておらず、その文字列に意味があるかどうかを判断できないからです。`Password1!` は 9 文字・4 種すべてで式の上では約 59 bit と良好に見えますが、実体は `Password` に `1!` を足したもので、攻撃者の辞書の 1 ページ目にあります。逆に `qwertyuiop` は 10 文字の小文字で約 47 bit、しかしキーボードの 1 行そのものです。そこでよくあるリストとパターン減点を先に適用します：人が推測できる部分を差し引き、残ったものだけがエントロピーです。

解析時間がこんなに違うのはなぜですか？

1 回の試行コストがシナリオによって 10 桁変わるからです。オンラインは通常レート制限され（毎秒 10 回）、ビットを 1 つ増やす効果が非常に大きくなります。一方、データベースのハッシュを入手すればオフラインで毎秒数千億回試せ、同じパスワードがほぼ瞬時に落ちます。これはハッシュアルゴリズムがパスワード長以上に重要である理由でもあります：bcrypt・scrypt・Argon2 の遅さは設計であり、「毎秒千億回」を「毎秒 1 万回」まで押し戻します。

「非常に強い」と出れば安全ですか？

そうとは限りません。この判定が対象とするのはオフラインの総当たりだけです。現実のリスクには、他サイトからの漏洩（本ツールは漏洩リストを見られません）、フィッシング、キーロガー、悪意あるブラウザ拡張などもあります。パスワードマネージャーと二段階認証のほうが、どんな強度スコアよりも役に立ちます。