crypto.getRandomValues и не отправляются на сервер: стоит перезагрузить страницу — и они исчезают.Измеряется не то, насколько «беспорядочно» пароль выглядит, а сколько попыток нужно, чтобы перебрать все варианты. Чем больше набор символов и чем больше длина, тем быстрее растёт это число: при одних цифрах каждый лишний знак умножает количество вариантов на 10, а при строчных, прописных и цифрах — на 62. Поэтому увеличить длину почти всегда выгоднее, чем добавить разнообразия: количество 12-значных буквенно-цифровых комбинаций уже несопоставимо больше, чем у 8-значного пароля, набитого спецсимволами. По-настоящему стойкость роняет предсказуемость: в Password1! формально есть все четыре класса символов, но он стоит в первых строках любого словаря.
Его и не нужно запоминать. Разумный подход — доверить случайные пароли менеджеру паролей (встроенного в браузер вполне достаточно) и держать в голове только мастер-пароль, который его открывает. Мастер-паролем может быть длинная фраза из несвязанных слов: четыре-пять случайных существительных подряд — и длинно, и запоминается, и надёжнее вереницы спецсимволов. Руками по памяти действительно приходится вводить только пароль от устройства, мастер-пароль и резервные коды двухфакторной проверки — всё остальное подставит менеджер.
Один «надёжный пароль» на всех сайтах отдаёт вашу безопасность самому слабому из них: одна утечка где угодно — и скрипты подстановки учётных данных тут же попробуют его на вашей почте и облачном диске. Менять цифру на конце (abc2024 на abc2025) ничем не лучше: предыдущая версия лежит в утечке, и угадать следующую можно с нескольких попыток. Замены символов в имени, дате рождения или номере телефона — a как @, o как 0 — давно описаны соответствующими правилами в словарях паролей и почти не усложняют задачу. А записанный на стикер, в избранное в переписке или в обычную таблицу пароль просто переносит риск со взлома на утечку.
Есть ещё один уровень риска, о котором часто забывают, и он на стороне сайта: многие сайты хранят не открытый пароль, а его хеш MD5 — и это мало от чего защищает: таблицы MD5 для всех распространённых паролей составлены давно, так что после утечки хватает одного запроса. Вы не решаете, как хранит пароль другая сторона. Вы решаете только, достаточно ли случайна ваша собственная строка.
Первое: сразу сохраните пароль в менеджер, не откладывая на потом, — после перезагрузки этой страницы от него здесь не останется и следа. Второе: включите двухфакторную проверку для по-настоящему важных учётных записей — почты, платежей, облачного хранилища; она отсекает подавляющее большинство попыток входа даже после утечки пароля. Третье: получив уведомление об утечке на каком-то сайте, достаточно сменить пароль только у него — при условии, что вы изначально его нигде не повторяли.
Надёжный пароль достаточно длинный, достаточно случайный и никак не связан с личными данными. Что-нибудь вроде «P@ssw0rd123» выглядит сложно, но на деле встречается крайне часто, тогда как случайно созданный пароль из 16 и более символов подобрать или перебрать гораздо труднее. Смешивайте цифры, строчные и прописные буквы и спецсимволы и держитесь подальше от всего угадываемого: дат рождения, номеров телефона, вашего имени или названия компании.
Люди тянутся к узнаваемым словам, датам, клавиатурным последовательностям и паре заменённых символов — то есть ровно к тем шаблонам, ради которых и создавались словари паролей и инструменты подстановки учётных данных. У случайного пароля нет ни смысла, ни закономерности, поэтому по распространённому списку слов быстро попасть в него не выйдет. Особенно это важно для почты, облачных сервисов, административных панелей и учётных записей баз данных.
Для обычной учётной записи на сайте — не меньше 12 символов, для чего-то важного — 16 и больше. Там, где сайт это позволяет, инструмент создаст пароль длиной до 64 символов. Время полного перебора растёт с длиной, как правило, экспоненциально, поэтому добавить символов обычно куда полезнее, чем подсыпать ещё один-два спецсимвола.
Используйте разные пароли для каждого сайта, приложения и системы. Тогда утечка у одного из них не даст злоумышленнику ничего, что можно повторно применить к вашей почте, облачному диску, платежам или серверам. Случайные пароли лучше хранить в менеджере паролей, а не пытаться запомнить один набор и повторять его повсюду.
Нет. Пароли создаются целиком внутри вашего браузера: страница использует встроенный crypto.getRandomValues для получения случайных значений. На сервер ничего не уходит и на странице ничего не остаётся: перезагрузите её — и текущие результаты пропадут.
Спецсимволы расширяют пространство символов, но «больше» не значит автоматически «лучше». Некоторые сайты, роутеры и старые системы обрабатывают их непоследовательно, из-за чего ломается копирование, вставка или сам вход. Уточните, какие символы принимает целевая система, и настройте список спецсимволов здесь под неё.
Она нужна, чтобы убрать легко путаемые или неподдерживаемые символы. В некоторых шрифтах i, I, l, 1, o, O и 0 почти неотличимы, а отдельные системы не принимают кавычки, пробелы или обратные слэши. Исключив их, вы получите пароль, который проще ввести вручную, но который останется достаточно случайным.
Да — просто подберите длину и набор символов под задачу. Пароль Wi-Fi обычно можно сделать подлиннее; серверам, базам данных и административным панелям стоит выдать особо стойкие случайные значения; а для ключей API с жёстким форматом следуйте правилам той платформы, о которой идёт речь.