Generator Password

Pembuat kata sandi membuatkan kata sandi yang tidak dipilih manusia

Pilih panjang dan karakter yang dipakai, lalu alat ini membuat kata sandi acak yang sesuai. Pengaturan awalnya 16 karakter campuran huruf kecil, huruf besar, angka, dan 16 simbol. Dengan pengaturan itu ada sekitar 1,62 × 10³⁰ kemungkinan kata sandi, atau sekitar 100,4 bit. Jika situs hanya menerima simbol tertentu, pilih simbol yang dipakai satu per satu agar cocok.

Untuk kata sandi yang harus diingat dan diketik sendiri, frasa sandi dari beberapa kata Inggris lebih cocok. Untuk tempat yang hanya menerima angka seperti kunci pintu atau kunci layar ponsel, pilih PIN angka. Ketiganya dibuat dengan pengacak aman di dalam browser ini, dan hasilnya tidak dikirim ke server maupun dicatat.

Mengapa dibuat acak, bukan dipikirkan sendiri

Kata sandi yang dipikirkan manusia cenderung berasal dari bahan yang mudah ditebak, seperti nama, tanggal lahir, kata favorit, atau susunan tombol keyboard. Rangkaian karakter yang dipilih secara acak tidak punya bahan seperti itu. Pedoman autentikasi digital NIST dari Amerika Serikat (SP 800-63B-4) juga menyebut bahwa pengelola kata sandi, terutama yang punya fitur pembuat kata sandi, membuat pengguna lebih mungkin memilih kata sandi yang lebih kuat.

Alat ini berguna terutama pada situasi berikut.

• Saat membuat akun baru: jika setiap akun memakai nilai berbeda, kata sandi yang bocor dari satu tempat tidak membuka akun lain. Karena akan disimpan di pengelola kata sandi, buat karakter acak yang panjang.
• Saat menerima pemberitahuan kebocoran: semua akun yang memakai kata sandi itu perlu diganti dengan nilai baru. Jika akunnya banyak, tekan Buat ulang agar tiap akun mendapat nilai tersendiri.
• Kata sandi Wi-Fi dan admin perangkat: dipakai untuk mengganti nilai bawaan pabrik. Jika harus disebutkan lisan kepada tamu, aktifkan Hindari karakter yang mirip agar 0 dan O tidak tertukar.
• Kata sandi yang harus diingat: kata sandi utama pengelola kata sandi atau login komputer yang diketik sendiri setiap kali lebih mudah diingat jika berupa frasa sandi, meski panjang.
• Tempat yang hanya menerima angka: untuk kunci pintu, kunci layar ponsel, dan PIN kartu, pakai PIN. Susunan yang mudah terpikir seperti 111 dan 123 bisa dihindari.

Cara memakai

1. Pilih cara membuat di bagian atas. Pada layar awal, 16 karakter acak sudah dibuat.
2. Ketik angka pada kolom panjang, geser batang, atau tekan nilai cepat (12, 16, 20, 32, 64). Setiap nilai diubah, kata sandi dibuat ulang.
3. Nyalakan atau matikan empat kartu karakter (huruf kecil, huruf besar, angka, simbol). Untuk simbol, tekan hanya chip yang akan dipakai dari 32 chip di bawahnya. Jika tidak ingin karakter yang mirip seperti 0 dan O, aktifkan Hindari karakter yang mirip.
4. Periksa hasilnya di kotak karakter. Karakter dikelompokkan empat-empat dengan nomor, angka diberi latar abu-abu dan simbol latar oranye, sehingga tidak kehilangan posisi saat disalin dengan tangan. Jika ada orang yang bisa melihat layar, tekan Sembunyikan.
5. Tekan Salin, tempel di situs yang dituju, lalu simpan nilai yang sama di pengelola kata sandi. Untuk nilai lain dengan pengaturan sama, tekan Buat ulang.

Tiga cara membuat, mana yang dipilih

Angka yang lebih besar berarti kemungkinan yang lebih banyak, tetapi tempat pemakaian yang berbeda cocok dengan cara yang berbeda. PIN tetap bisa dipakai walau hanya 19,8 bit, karena perangkat penerima PIN umumnya terkunci setelah beberapa kali salah. Pedoman NIST juga meminta kegagalan login berturut-turut dibatasi tidak lebih dari 100 kali per akun. Sebaliknya, kata sandi situs bisa ditebak tanpa batas jika data tersimpan milik layanan bocor, jadi sebaiknya dibuat panjang.

Kemungkinan bertambah menurut panjang dan jenis karakter

Tabel di bawah dihitung dengan cara yang sama seperti nilai pada batang alat ini. Karena setiap jenis yang dipilih harus muncul minimal satu kali, rangkaian yang tidak memenuhi syarat itu tidak dihitung.

Membaca tabel ke samping menunjukkan tambahan saat jenis karakter ditambah, dan membaca ke bawah menunjukkan tambahan saat panjang ditambah. Dari 16 karakter huruf+angka (95,2 bit), menambah 16 simbol menghasilkan 100,4 bit, naik 5,2 bit. Tanpa simbol tetapi dengan 20 karakter, hasilnya 119,0 bit, naik 23,8 bit. Artinya, jika situs tidak menerima simbol, menambah beberapa karakter sudah cukup menggantinya. Tulisan Tambah 1 karakter di samping batang menunjukkan nilai satu karakter pada pengaturan saat ini.

Berapa kata yang cukup untuk frasa sandi

Frasa sandi memakai daftar kata Inggris buatan Electronic Frontier Foundation (EFF) yang dirancang untuk dipilih dengan dadu, yaitu 7.776 kata, dikurangi 4 kata yang memuat tanda hubung (misalnya drop-down), sehingga tersisa 7.772 kata. Empat kata itu dibuang agar susunan kata yang berbeda tidak tampak sama saat tanda hubung dipakai sebagai pemisah. Satu kata setara sekitar 12,9 bit. Panjang kata 3 sampai 9 huruf, rata-rata 7, sehingga 5 kata yang dihubungkan tanda hubung biasanya sekitar 39 karakter.

Kata yang dipakai adalah kata Inggris, bukan kata Indonesia. Alasannya, ada daftar kata Inggris publik yang sudah teruji, dan sebagian situs tidak menerima karakter di luar ASCII.

Pusat Keamanan Siber Nasional Inggris (NCSC) menganjurkan menggabungkan tiga kata acak untuk akun biasa. EFF menyarankan 6 kata untuk sebagian besar keperluan, jadi untuk nilai yang melindungi semua akun lain, seperti kata sandi utama, sebaiknya pakai 5 sampai 6 kata. Pengaturan Huruf awal kapital hanya untuk menyesuaikan dengan situs yang meminta huruf besar dan tidak menambah jumlah kemungkinan. Sisipkan satu angka menempelkan satu angka di akhir salah satu kata, sehingga kemungkinan bertambah sebanyak 10 angka dikalikan jumlah posisi penempelan.

PIN angka dan angka berurutan

Setiap digit PIN dipilih dari 0 sampai 9. Jika Hindari 3 angka sama dan 3 angka berurutan diaktifkan, PIN dibuat tanpa susunan seperti 111 (tiga angka sama) atau 123 dan 987 (tiga angka yang naik atau turun 1). Angka 0 setelah 9 tidak dianggap berurutan.

Walau sebagian susunan dibuang, jumlah kemungkinan tidak berkurang sampai 1 bit. Sebagai gantinya, PIN yang mudah ditebak orang lebih dulu tidak muncul, dan Anda lebih jarang perlu membuat ulang di perangkat yang menolak susunan seperti itu. Angka yang terkait dengan Anda, seperti tanggal lahir atau nomor telepon, tidak diketahui alat ini. Jika hasilnya kebetulan sama dengan angka seperti itu, buat ulang.

Mengapa aturan kata sandi berbeda di tiap situs

Satu situs mewajibkan simbol, situs lain menolak simbol tertentu, dan ada yang membatasi panjang maksimum sampai 12 atau 20 karakter. Pedoman NIST SP 800-63B-4 (Agustus 2025) justru mengarah ke sebaliknya.

Verifiers and CSPs SHALL NOT impose other composition rules (e.g., requiring mixtures of different character types) for passwords.
Verifiers and CSPs SHOULD permit a maximum password length of at least 64 characters. Verifiers and CSPs SHOULD accept all printing ASCII [RFC20] characters and the space character in passwords.

NIST SP 800-63B-4 · Agustus 2025 · dicek 2026-10-22

Artinya, situs tidak boleh memaksakan campuran jenis karakter, sebaiknya mengizinkan panjang maksimum sedikitnya 64 karakter, dan sebaiknya menerima semua karakter ASCII yang dapat dicetak beserta spasi. Pedoman itu juga mewajibkan kata sandi yang dipakai sebagai satu-satunya faktor autentikasi minimal 15 karakter, dan minimal 8 karakter jika hanya menjadi bagian dari autentikasi multifaktor. Pengelola kata sandi dan isi otomatis wajib diizinkan, sedangkan fitur tempel dianjurkan untuk diizinkan. Kenyataannya, tidak semua situs mengikuti pedoman ini.

Karena aturan tiap situs berbeda, penyesuaian dilakukan di sisi pembuat. Baca petunjuk di halaman pendaftaran untuk mengetahui simbol yang diizinkan dan panjang maksimum, lalu sesuaikan chip simbol dan panjang. Jika situs menolak hasilnya, baca pesan untuk mengetahui karakter yang bermasalah, matikan simbol itu saja, lalu buat ulang.

Bagaimana pengacakan dilakukan

Bilangan acak diambil dari crypto.getRandomValues() milik Web Crypto API di browser. Spesifikasi W3C mengatur agar fungsi ini mengisi byte dengan bilangan acak yang aman secara kriptografis. Waktu dan Math.random() tidak dipakai untuk kata sandi, hanya untuk efek putaran pada kotak karakter.

• Memilih satu karakter tanpa bias: jika bilangan acak 32 bit dibagi jumlah kandidat dan hanya sisanya yang dipakai, karakter di awal sedikit lebih sering muncul. Karena itu nilai di atas batas kelipatan jumlah kandidat dibuang, lalu diambil ulang.
• Semua jenis yang dipilih pasti muncul: jika angka diaktifkan tetapi hasilnya tanpa angka, seluruh hasil dibuang dan diambil dari awal. Cara ini membuat setiap rangkaian yang memenuhi syarat muncul dengan peluang sama, tidak seperti menyisipkan angka ke posisi yang kosong. Pada pengaturan awal 16 karakter, sekitar 86% lolos dalam sekali pengambilan, jadi pengambilan ulang jarang terjadi.
• Jumlah kemungkinan dihitung, bukan diperkirakan: karakter acak dihitung dengan prinsip inklusi-eksklusi, frasa sandi dengan mengalikan 7.772 sebanyak jumlah kata, dan PIN yang menghindari angka berurutan dengan menghitung satu per satu sambil mengingat dua digit sebelumnya. Hasil pastinya baru diubah menjadi bit.

Menyimpan dan mengetik setelah dibuat

Kata sandi acak bukan untuk dihafal. Salin, tempel di situs, dan simpan nilai yang sama di pengelola kata sandi. Setelah itu keluar dari akun lalu masuk lagi dengan kata sandi baru untuk memastikan penyimpanan berhasil. Pedoman NIST mewajibkan layanan mengizinkan pengelola kata sandi dan isi otomatis, serta menganjurkan agar fitur tempel juga diizinkan.

• Nilai yang disalin dapat tertinggal di riwayat clipboard sistem operasi atau tersinkron ke perangkat lain. Setelah menempel, salin satu teks lain untuk menimpanya.
• Untuk perangkat yang tidak bisa menempel, seperti TV atau konsol game, ketik empat karakter sekali sambil melihat nomor kelompok di kotak karakter. Dalam kasus itu, buat dengan Hindari karakter yang mirip aktif.
• Jika sedang berbagi layar saat rapat, tekan Sembunyikan sebelum membuat kata sandi. Salin tetap bisa dilakukan dalam keadaan tersembunyi.

Kesalahan yang sering terjadi

• Menempel nilai lama setelah pengaturan diubah: mengubah panjang, jenis, atau simbol membuat kata sandi dibuat ulang. Salin paling akhir setelah semua pengaturan selesai.
• Melebihi panjang maksimum situs: jika kolom input membatasi jumlah karakter, bagian belakang bisa terpotong tanpa pemberitahuan saat ditempel, sehingga nilai di pengelola kata sandi berbeda dengan kata sandi sebenarnya. Jika panjang maksimum tertulis, buat di dalam batas itu.
• Mematikan simbol lalu khawatir soal jumlah kemungkinan: tanpa simbol, menambah panjang 4 karakter justru menambah lebih banyak. Bandingkan 16 dan 20 karakter pada tabel di atas.
• Mengubah frasa sandi dengan tangan: mengganti dengan kata yang disukai membuatnya tidak lagi acak. Jika tidak suka, tekan Buat ulang.
• Memakai kata sandi yang sama di banyak tempat: walau dibuat dengan pembuat kata sandi, jika bocor dari satu tempat, semua akun yang memakai nilai sama ikut berisiko. Buat terpisah untuk tiap akun.

Batasan dan catatan

• Bit pada batang hanyalah jumlah kemungkinan dari pengaturan ini, bukan waktu untuk membobolnya dan bukan tingkat keamanan. Risiko sebenarnya bergantung pada cara layanan menyimpan kata sandi, ada tidaknya pembatasan percobaan login, dan apakah nilai yang sama dipakai di tempat lain.
• Tidak ada fitur untuk memeriksa apakah kata sandi yang sudah dipakai pernah bocor atau menilai kekuatannya. Jangan mengetik kata sandi yang sedang dipakai di kolom situs lain untuk memeriksanya.
• Frasa sandi hanya memakai kata Inggris. Alat ini tidak memakai daftar kata publik bahasa Indonesia yang sudah teruji, dan banyak situs tidak menerima karakter di luar ASCII.
• Kata sandi acak pun langsung terambil jika diketik di situs phishing. Jika layanan menyediakan passkey atau autentikasi tambahan, aktifkan juga.
• Jika perangkat terinfeksi malware atau ada ekstensi yang mengintip layar, alat ini tidak dapat mencegahnya.

Sumber

Tanggal acuan NIST SP 800-63B-4, W3C Web Cryptography, serta materi EFF dan NCSC dicek pada naskah aslinya tanggal 22 Oktober 2026. Bit pada tabel dihitung dengan kode perhitungan alat ini, dan untuk kasus kecil dicocokkan dengan menghitung semua kombinasi satu per satu.

• 01NIST SP 800-63B-4: Authentication and Authenticator ManagementAgustus 2025. 3.1.1 kata sandi minimal 15 dan 8 karakter, panjang 64 diizinkan, larangan aturan komposisi, pengelola kata sandi dan tempel diizinkan, 3.2.2 batas 100 kegagalan berturut-turut
• 02W3C Web Cryptography Level 2: getRandomValuesBilangan acak yang aman secara kriptografis, maksimal 65.536 byte sekali panggil
• 03EFF: Dice-Generated PassphrasesLarge wordlist 7.776 kata, anjuran 6 kata untuk sebagian besar keperluan
• 04NCSC: Three random wordsAnjuran tiga kata acak dari Pusat Keamanan Siber Nasional Inggris

Pertanyaan yang sering diajukan

Alat yang sering dipakai bersama