パスワード生成ツール

パスワード生成は、人が選ばないパスワードを作ります

長さと含める文字を選ぶと、その条件に合うパスワードをランダムに作ります。初期設定は、小文字・大文字・数字・記号16種を混ぜた16文字です。この設定で出せるパスワードは約1.62 × 10³⁰通り、ビットにすると約100.4ビットです。サイトが受け付ける記号が決まっている場合は、使う記号を1つずつ選んで合わせられます。

自分で覚えて入力するパスワードなら、英単語をいくつかつなぐパスフレーズ(英単語の組み合わせ)が向いています。ドアロックやスマートフォンのように数字しか受け付けない場所では、数字のPINを選びます。3つの作り方はどれも、このブラウザの中の安全な乱数で作り、できた値をサーバーに送ることも記録することもありません。

なぜ自分で考えず、ランダムに作るのか

人が思いつくパスワードは、名前・誕生日・好きな言葉・キーボードの並びのように、推測しやすい材料から生まれがちです。ランダムに選んだ文字列には、そうした材料がありません。米国NISTのデジタル認証ガイドライン(SP 800-63B-4)も、パスワード管理ツール、とくにパスワード生成機能を備えたものを使うと、利用者がより強いパスワードを選ぶ可能性が高まると記しています。

このツールが役に立つのは、たとえば次のような場面です。

• 新しいアカウントを作るとき: アカウントごとに違う値にしておけば、1か所から漏れたパスワードで他のアカウントを開けられることはありません。管理ツールに保存する前提なので、ランダム文字を長めに作ります。
• 漏えいの通知を受けたとき: そのパスワードを使っていたアカウントは、すべて新しい値に変える必要があります。数が多いときは「作り直す」を押して、アカウントごとに別の値を作ります。
• Wi-Fiルーターや機器の管理用パスワード: 初期設定のまま付いてくる値を変えるときに使います。来客に口頭で伝えるなら、「紛らわしい文字を除く」をオンにしておくと0とOを取り違えません。
• 覚える必要があるパスワード: パスワード管理ツールのマスターパスワードやパソコンのログインのように毎回自分で打つ値は、パスフレーズにすると、長くても覚えやすくなります。
• 数字だけを受け付ける場所: ドアロック、スマートフォンのロック、カードの暗証番号にはPINを使います。111や123のようにすぐ思いつく並びは除いて作れます。

使い方

1. 上部で作り方を選びます。最初の画面には、16文字のランダム文字がすでに作られています。
2. 長さの欄に数字を入れるか、バーを動かすか、よく使う値(12・16・20・32・64)を押します。値を変えると、パスワードも作り直されます。
3. 含める文字のカード4つ(小文字・大文字・数字・記号)をオン・オフします。記号は下の32個のチップから使うものだけを押して残します。0とOのような紛らわしい文字が気になる場合は「紛らわしい文字を除く」をオンにします。
4. 表示部分で結果を確かめます。4文字ずつにまとめて番号を付け、数字は灰色、記号はオレンジの背景で塗り分けているので、書き写すときに位置を見失いません。周りから見える場所なら「隠す」を押します。
5. 「コピー」を押してから登録するサイトに貼り付け、同じ値をパスワード管理ツールにも保存します。同じ設定で別の値がほしいときは「作り直す」を押します。

3つの作り方、どれを選ぶか

数字が大きいほど組み合わせは多くなりますが、使う場所が違えば合う方法も違います。PINが19.8ビットと小さくても使えるのは、PINを受け付ける機器が、たいてい数回間違えるとロックされるからです。NISTのガイドラインも、ログインの連続失敗をアカウントごとに100回以下に制限するよう求めています。反対に、サイトのパスワードはサービスから保存データが流出すると、制限なしに総当たりされるおそれがあるので、長めに作るほうが安心です。

長さと文字の種類で増える組み合わせの数

下の表は、このツールがバーに表示する値と同じ方法で数えました。選んだ種類の文字が1文字以上入る条件があるため、その条件を満たさない文字列は数えていません。

表を横に読むと種類を足したとき、縦に読むと長さを延ばしたときの増え方が分かります。16文字の英数字(95.2ビット)に記号16種を足すと100.4ビットで5.2ビット増えますが、記号なしで20文字に延ばすと119.0ビットになり、23.8ビット増えます。サイトが記号を受け付けなくても、数文字長くすれば十分に補えるということです。バーの横にある「1文字増やすと +ビット」の表示で、今の設定での1文字分の増え方を確認できます。

パスフレーズは何語がよいか

パスフレーズには、米国の電子フロンティア財団(EFF)がサイコロで選べるように作った英単語リスト7,776語から、ハイフンを含む4語(drop-downなど)を除いた7,772語を使います。ハイフンを区切りに使ったとき、別々の単語の並びが同じ文字列に見えてしまうのを防ぐために除きました。1単語は約12.9ビットです。単語の長さは3〜9文字で平均7文字なので、5個をハイフンでつなぐと、たいてい39文字前後になります。

単語は日本語ではなく英単語です。検証された公開の英単語リストがあることと、非ASCII文字を受け付けないサイトが少なくないことが理由です。

英国の国家サイバーセキュリティセンター(NCSC)は、一般のアカウントには「ランダムな3つの単語」をつなぐ方法を案内しています。EFFはほとんどの用途に6単語を勧めているので、マスターパスワードのように他のアカウントをすべて守る値は、5〜6個で作るのがよいでしょう。「先頭を大文字にする」は、大文字を求めるサイトに合わせる設定で、組み合わせの数は増えません。「数字を1つ入れる」は、単語の1つの末尾に数字を1つ付けるため、数字10通りと付ける位置の数だけ増えます。

数字のPINと連続する数字

PINは、桁ごとに0〜9のどれかを選びます。「同じ数字3つ・連続する数字3つを避ける」をオンにすると、111のように同じ数字が3回続く並びや、123・987のように1ずつ増減する数字が3つ続く並びを除いて作ります。9の次の0は、続いているとは見なしません。

除く並びがあっても、組み合わせの数はほとんど減りません。その代わり、他人が先に思いつきやすいPINが出なくなり、そうした並びを受け付けない機器で作り直す手間も減ります。誕生日や電話番号のように本人に結び付く数字は、このツールには分かりません。結果がたまたまそうした数字と同じになったら、作り直してください。

サイトごとにパスワードの規則が違う理由

日本の総務省「国民のためのサイバーセキュリティサイト」は、パスワードについて次のように案内しています。

理想的には、最低でも10文字以上の文字数で構成されるある程度長いランダムな英数字の並びとし、パスワード内に数字や記号、アルファベット（大文字、小文字）が混ざっていることが好ましいですが、覚えなければならないパスワードの場合は、無関係な（文章にならない）複数の英単語をつなげたり、その間に数字列を挟んだりしたものであれば、推測されにくく、覚えやすいパスワードを作ることができます。

総務省 国民のためのサイバーセキュリティサイト「パスワードの設定と管理」 · 2026-10-22 確認

同じページは、近年はスマートフォンやWebブラウザの標準機能にパスワード生成機能があるので、うまく活用するよう勧めています。このツールでは、ランダム文字の長さを10文字以上にするか、パスフレーズで「数字を1つ入れる」をオンにすると、この案内に近い形で作れます。ただし、このツールの数字は単語と単語の間ではなく、どれか1つの単語の末尾に付きます。

一方、米国NISTのガイドライン(SP 800-63B-4、2025年8月)は、種類の異なる文字を混ぜるといった構成ルールをサイト側が強いてはならないとしています。パスワードのみで認証するサービスでは15文字以上、多要素認証の一部なら8文字以上を求め、64文字以上の最大長を許し、印刷可能なASCII文字と空白をすべて受け付けるよう勧めています。実際のサイトでは、記号を必須にするところ、特定の記号を拒むところ、最大長を12文字や20文字に抑えているところがあり、どれもばらばらです。

規則がサイトごとに違う以上、合わせるのは生成する側になります。登録画面の案内で使える記号と最大長を先に確認し、使う記号のチップと長さをそれに合わせてください。サイトに結果を拒まれたら、案内を読んで問題の文字を調べ、その記号だけをオフにして作り直すのが早い方法です。

ランダムはどう選んでいるか

乱数は、ブラウザのWeb Crypto APIが提供するcrypto.getRandomValues()から得ています。W3Cの仕様は、この関数が暗号論的に安全な乱数でバイト列を埋めるよう定めています。時刻やMath.random()はパスワードには使わず、表示部分の回転演出にだけ使っています。

• 偏りなく1文字を選ぶ: 32ビットの乱数を候補数で割った余りをそのまま使うと、前のほうの文字がごくわずかに多く出ます。そのため、候補数の倍数が終わる位置より上の値は捨てて、引き直します。
• 選んだ種類がすべて入るようにする: 数字をオンにしたのに数字が1つもない結果が出たら、丸ごと捨てて最初から引き直します。足りない位置に数字をはめ込む方法より、条件を満たすどの文字列も同じ確率で出ます。初期設定の16文字では一度で通る割合が約86%なので、引き直しはあまり起きません。
• 組み合わせの数は見積もらず、数える: ランダム文字は包除原理で、パスフレーズは7,772を単語数ぶん掛けて、連続を避けるPINは最初の2桁を記憶しながら1つずつ数えて、正確な数を求めてからビットに換算します。

作ったあとの保管と入力

ランダムなパスワードは、覚えるための値ではありません。コピーしてサイトに貼り付け、同じ値をパスワード管理ツールに保存します。そのあと一度ログアウトして、新しいパスワードでログインし直せば、保存が正しくできたか確認できます。NISTのガイドラインは、サービスがパスワード管理ツールと自動入力を許可するよう求め、貼り付けも許可するよう勧めています。

• コピーした値は、OSのクリップボード履歴や、他の端末とのクリップボード同期に残ることがあります。貼り付けたあとに別の文字を1度コピーして、上書きしておくと安心です。
• テレビやゲーム機のように貼り付けられない機器には、表示部分のグループ番号を見ながら4文字ずつ打ち込みます。その場合は「紛らわしい文字を除く」をオンにして作ってください。
• 会議で画面を共有しているときは、作る前に「隠す」を押しておきます。隠した状態でもコピーはできます。

よくある間違い

• 設定を変えたあとに古い値を貼り付ける: 長さ・種類・記号を変えると、パスワードは作り直されます。設定を決め終えてから、最後にコピーしてください。
• サイトの最大長を超える: 入力欄に文字数制限があると、貼り付けたとき後ろが黙って切り捨てられ、管理ツールの値と実際のパスワードが食い違うことがあります。最大長が書いてあれば、その範囲で作ってください。
• 記号をオフにして組み合わせの数を心配する: 記号を除いても、長さを4文字延ばせばより多く増えます。上の表の16文字と20文字を比べてみてください。
• パスフレーズを人が書き換える: 気に入った単語に替えると、ランダムではなくなります。気に入らなければ「作り直す」を押してください。
• 同じパスワードを複数の場所で使う: 生成した値でも、1か所から漏れれば、同じ値を使ったアカウントがすべて危険になります。アカウントごとに別々に作ってください。

限界と注意

• バーのビットは、この設定で出せる組み合わせの数にすぎず、解読にかかる時間や安全の等級ではありません。実際のリスクは、サービスがパスワードをどう保存しているか、ログインの試行を制限しているか、同じ値を他で使っていないかによって変わります。
• すでに使っているパスワードが漏えいしていないか調べたり、強度を判定したりする機能はありません。使っているパスワードを、他のサイトの入力欄に入れて確かめないでください。
• パスフレーズは英単語だけを使います。日本語の単語については、このツールが使える検証済みの公開リストがなく、非ASCII文字を受け付けないサイトも多いためです。
• ランダムなパスワードでも、フィッシングサイトに直接入力すれば、そのまま盗まれます。サービスがパスキーや追加の認証を用意しているなら、あわせて有効にしてください。
• 端末にマルウェアや画面をのぞき見る拡張機能が入っていれば、このツールでは防げません。

出典

基準日 NIST SP 800-63B-4、W3C Web Cryptography、総務省の案内、EFF・NCSCの資料は、2026年10月22日に原文で確認しました。表のビット数はこのツールの計算コードで数え、小さい場合はすべての組み合わせを1つずつ数えて一致を確かめました。

• 01NIST SP 800-63B-4: Authentication and Authenticator Management2025年8月。3.1.1 パスワードは最低15文字・8文字、64文字を許容、構成ルールの禁止、管理ツールと貼り付けの許可、3.2.2 連続失敗100回の制限
• 02W3C Web Cryptography Level 2: getRandomValues暗号論的に安全な乱数、1回に65,536バイトまで
• 03総務省 国民のためのサイバーセキュリティサイト: パスワードの設定と管理10文字以上のランダムな英数字、覚える場合は無関係な英単語をつなぐ方法、標準のパスワード生成機能の活用
• 04EFF: Dice-Generated Passphraseslarge wordlist 7,776語、ほとんどの用途に6単語を推奨
• 05NCSC: Three random words英国国家サイバーセキュリティセンターの「ランダムな3つの単語」の案内

よくある質問

あわせて使うツール