想知道您的密码在面对攻击者时是否真的能够抵挡？将它输入或粘贴到检测器中，即可实时查看它的估计强度——以位为单位的熵、大致需要多长时间才能被破解，以及哪些方面较强、哪些方面有待改进的清单。一切都使用 JavaScript 在您的浏览器中本地分析，因此您的密码绝不会被发送、记录或存储到任何地方。

如何衡量密码强度

强度归结为一个问题：攻击者需要尝试多少次猜测才能命中您的密码？您的密码越难以预测，所需的猜测次数就越多。这是以熵来衡量的，以位表示——每增加一位，可能性的数量就会翻倍。一个具有 40 位熵的密码可以被现代硬件迅速破解；而一个具有 80 位或更多熵的密码，如今对于暴力破解来说是绰绰有余地无法企及的。

我们的检测器从两个方面估算熵：密码有多长，以及它的字符池有多大（小写字母、大写字母、数字和符号都会扩大字符池）。当它发现可预测的模式时，便会降低该估计值——常见的密码、像 qwerty 这样的键盘连击、像 1234 这样的序列，或同一字符的重复——因为攻击者会首先尝试这些。破解时间数据假设每秒约一万亿次猜测的快速离线攻击，这是一个刻意设定的悲观情景，因此在这里被评为“非常强”的密码在现实世界中具有充足的安全余量。

是什么让密码变弱

大多数被攻破的密码都有同样的几个缺陷。检测器会标记出每一个：

• 太短。长度比其他任何因素都更重要。短密码——即使是随机生成的——其组合数量也太少。
• 常见密码。像 password、123456 和 qwerty 这样的单词出现在每个攻击者的清单上，会被瞬间攻破。
• 可预测的模式。键盘连击（asdf）、数字序列（1234）和重复字符（aaaa）增加了长度，却没有增加真正的不可预测性。
• 单一字符类型。全小写或全数字的密码使字符池较小，熵较低。
• 个人信息。姓名、生日和宠物名字很容易被猜到或在网上找到，因此即使检测器无法检测到它们，也应避免使用。

是什么让密码变强

• 长度优先。力求至少 12 个字符，重要账户则使用 16 个或更多。越长总是胜过越短。
• 混合字符类型。结合使用大写字母、小写字母、数字和符号可扩大字符池并提高熵。
• 随机性，而非模式。最强的密码没有单词、没有序列，也没有攻击者可以预测的结构。
• 唯一性。即使是强密码，如果您重复使用它也有风险——一个被攻破的网站随后就会暴露所有共用该密码的账户。

同时满足这四点最简单的方法，就是让生成器为您完成。现在就用我们的免费密码生成器创建一个，然后将它粘贴回这里以确认其强度。

如何解读结果

当您输入时，强度计会从弱变为非常强，要求清单会逐项勾选您的密码所具备的每个属性：长度、大写字母、小写字母、数字、符号，以及没有常见单词或模式。反馈行会为您指出最需要修复的那一项。在您将某个密码用于重要账户之前，请力求满足每一项要求并达到“非常强”。

在这里输入我的密码安全吗？

安全。检测器完全在您的浏览器中运行——分析过程中不涉及任何服务器。您所输入的内容绝不会通过网络传输，绝不会写入日志，也绝不会被存储；在您关闭或重新加载页面的那一刻它便会消失。您甚至可以断开互联网连接，检测器仍能继续工作。要了解网站本身收集哪些有限的匿名数据，请参阅我们的隐私政策。作为一般习惯，请只在您信任的、并且像本工具一样在本地完成所有工作的工具上输入您的真实密码。

常见问题

这会把我的密码发送到任何地方吗？

不会。所有分析都使用 JavaScript 在您的浏览器中进行。您的密码绝不会被发送、记录或存储，并且在您离开页面后即刻消失。

强度估计有多准确？

这是一个基于长度、字符多样性和常见模式检测的可靠、透明的估计——也正是在真实攻击中最重要的那些因素。没有任何检测器能做到完美（例如，它无法知道某个密码是您狗狗的名字），所以请将结果视为有力的指导，而非保证。

多大的熵或破解时间才算好？

超过约 80 位的熵就很难用如今的硬件进行暴力破解，而 100 位以上则留有充足的安全余量。如果估计的破解时间以世纪或更长来衡量，那您的状况就很好。

我的密码明明感觉很复杂，却得了低分。为什么？

遵循某种模式的复杂性并不像它看起来那么强。像 P@ssw0rd 这样的替换、键盘连击和较短的长度都会拉低分数，因为攻击者预料得到这些。长度和真正的随机性最能提高分数。

对于一个弱密码我该怎么办？

更换它。用我们的密码生成器生成一个又长又随机的密码，将它存储在密码管理器中，并为该账户启用双重身份验证，以增加一层额外的保护。