Генератор паролей онлайн

Генератор создаёт криптографически стойкие пароли через `window.crypto.getRandomValues` — стандарт Web Crypto API, тот же, что используют менеджеры паролей 1Password и Bitwarden. Случайные числа берутся из системного генератора энтропии (ОС), а не из псевдослучайной функции вроде `Math.random()`. Результат не передаётся на сервер: всё считается в браузере, при закрытии вкладки следов не остаётся.

По умолчанию длина 16 символов с прописными, строчными буквами, цифрами и спецсимволами — это даёт ~104 бита энтропии, что считается «очень надёжным» (взлом GPU-кластером заняло бы триллионы лет). Длину можно увеличить до 64 символов, отдельно включить/выключить типы символов, исключить визуально похожие (I, l, 1, O, 0) и неоднозначные ({}, [], (), /, \) — для случаев, когда пароль придётся набирать вручную или система не принимает спецсимволы.

Энтропия — это мера непредсказуемости пароля в битах. Формула: бит_энтропии = длина × log₂(размер_алфавита). Пароль из 8 символов только из строчных букв (алфавит 26): 8 × log₂(26) ≈ 37,6 бит — слабо. Пароль из 8 символов всех 4 типов (алфавит ~94): 8 × log₂(94) ≈ 52,4 бит — уже средне. 16-символьный пароль всех 4 типов: 16 × 6,55 ≈ 104,8 бит — очень надёжно.

Каждый дополнительный бит энтропии удваивает время взлома. Между 80 и 81 битом — разница в 2 раза, между 80 и 100 — в миллион раз. Современный GPU-кластер перебирает ~ 10¹⁰ хешей в секунду на простой MD5/SHA-1. Чтобы пароль был «вечным» — нужно от 100 бит энтропии. 60-70 бит — хорошо для большинства задач, 40-50 — взламывается за дни-недели.

Длина важнее «сложности». 20-символьный пароль из одних строчных букв (94 бит) надёжнее 8-символьного с символами (52 бит) в 2 миллиона раз. Поэтому современная рекомендация NIST 2024: минимум 12 символов, идеально 16-20, без обязательного «спецсимвол + цифра + заглавная».

`crypto.getRandomValues(new Uint32Array(1))` — это вызов системного криптографического генератора псевдослучайных чисел (CSPRNG). На Linux — `/dev/urandom`, на Windows — `BCryptGenRandom`, на macOS — `arc4random`. Все они собирают энтропию из аппаратных источников (счётчики прерываний, тайминги клавиатуры/мыши, температурные шумы). Это не «генератор случайных», а «генератор настоящих случайных», отличающийся от `Math.random()` тем, что результаты невозможно предсказать даже зная предыдущие.

Rejection sampling против modulo bias: наивная формула `Math.floor(rand × N)` создаёт незначительное смещение, если N не делит 2³² нацело. Калькулятор использует цикл «генерировать → если ≥ предельного значения, повторить» — это даёт идеально равномерное распределение по символам алфавита.

Гарантия минимум одного символа каждой выбранной категории: если вы выбрали A-Z, a-z, 0-9, символы — пароль точно содержит хотя бы один символ каждого типа. Без этой гарантии случайный 8-символьный пароль из всех 4 алфавитов с вероятностью ~6 % выйдет совсем без цифр (это снижает энтропию и проваливает регистрацию на сайтах с требованиями к составу).

Уникальный пароль для каждого сервиса. Утечки баз данных происходят регулярно (LinkedIn 2012, Yahoo 2013-14, Equifax 2017, Facebook 2019, Twitter 2022). Если один пароль скомпрометирован — все аккаунты с ним под угрозой. Менеджер паролей (Bitwarden бесплатно, 1Password, KeePass, Apple iCloud Keychain, Google Password Manager) делает это автоматически.

Двухфакторная аутентификация (2FA) на критичных аккаунтах — почта, банки, госуслуги. Лучший вариант — TOTP-приложение (Google Authenticator, Authy, Aegis). SMS как 2FA — лучше, чем ничего, но уязвим к SIM-swap (подмена SIM-карты социальной инженерией). У хорошо защищённых аккаунтов 2FA не отключают «временно».

Не вводите пароли по ссылкам из писем — это главный канал фишинга. Открывайте сайт сами, через закладку или поиск. Не используйте один и тот же пароль для рабочей и личной почты. Не передавайте пароли по почте/мессенджеру даже близким — для совместного доступа есть «семейные хранилища» в менеджерах.

Проверяйте свои email-адреса на утечки через haveibeenpwned.com — там собрана база из всех известных утечек. Если адрес «засветился» — меняйте пароли везде, где он использовался.

Парольная фраза (passphrase) — четыре-шесть случайных слов из словаря, например «правильный-лошадь-батарея-скрепка». Метод EFF (Electronic Frontier Foundation) выбрасывает 6 кубиков и выбирает слова по числам. 5 слов из словаря в 7 776 слов = log₂(7776⁵) ≈ 65 бит энтропии — крепкий пароль.

Плюс парольных фраз: легче запомнить, чем `Hk9$pL2qWm@4`. Минус: длиннее в символах, не везде принимается (некоторые сайты режут пароль до 16 символов).

Что лучше: для master-пароля менеджера паролей (надо помнить наизусть) — парольная фраза. Для всех остальных аккаунтов (хранятся в менеджере, не вводятся руками) — случайный пароль 16+ символов, как из этого калькулятора.