Passwort-Generator
Läuft in deinem Browser; nichts wird hochgeladen
Zufällige Passwörter, API-Keys und Tokens aus dem sicheren Zufallsgenerator deines Browsers, mit ihrer tatsächlichen Entropie.
Settings
Generated
Generating…
Was macht ein Passwort oder Secret stark?
Die Stärke eines zufälligen Passworts misst man in Bits Entropie: dem Logarithmus zur Basis 2 der Anzahl Passwörter, die dieselben Einstellungen hätten erzeugen können. 20 Zeichen aus den 90 Buchstaben, Ziffern und Symbolen, die es hier gibt, ergeben etwa 130 Bit; eine 6-stellige PIN etwa 20. Jedes zusätzliche Bit verdoppelt die Arbeit für jemanden, der rät.
Die Länge zählt mehr als alles andere. Jedes Zeichen multipliziert die Möglichkeiten mit der Größe des Alphabets, während ein zusätzlicher Zeichensatz diese Größe nur ein wenig erhöht. Deshalb schlagen lange zufällige Strings kurze clevere Passwörter, und deshalb gehören sie in einen Passwortmanager.
Dasselbe gilt für API-Keys, Client Secrets, Webhook-Signatur-Secrets und Tokens. Niemand tippt sie ab, also sollten sie lang und vollständig zufällig sein; 128 Bit sind ein übliches Minimum. Der Zufall muss aus einer kryptografisch sicheren Quelle stammen: Dieses Tool nutzt crypto.getRandomValues() des Browsers, nie Math.random().
So benutzt du dieses Tool
- 1Leg die Länge fest und wähle die Zeichen: A–Z, a–z, 0–9, Symbole und beliebige zusätzliche Zeichen, die du eintippst. Neue Werte erscheinen, während du die Einstellungen änderst.
- 2Mit Leave out look-alikes fällt
Il1|O0oweg, für Passwörter, die jemand lesen oder abtippen muss. Nutze die Option, jeden gewählten Zeichensatz mindestens einmal zu verwenden, für Systeme, die das verlangen. - 3Oder wähle eine Vorlage: Passwort, lesbares Passwort, API-Key, Hex-Token oder PIN.
- 4Prüfe die Stärkezeile, die die genaue Entropie dieser Einstellungen zeigt, und kopiere dann den Wert. Generate (Ctrl+Enter) erzeugt neue.
- 5Um viele auf einmal zu erzeugen, stell How many ein (bis 1.000) und nutze dann Copy all oder Download (Ctrl+S).
Fehlerbehebung
- Ein System lehnt manche Symbole ab
- Schalte Symbols aus und tippe nur die akzeptierten Symbole in Extra characters ein; gib dann ein paar Zeichen Länge dazu, um das kleinere Alphabet auszugleichen. Anführungszeichen und Backslashes sind standardmäßig ausgeschlossen, weil sie Shell- und Konfigurationsstrings kaputt machen.
- Die Entropie sinkt, wenn "every selected set" eingeschaltet ist
- Wenn jeder Satz vorkommen muss, fallen die Passwörter weg, denen einer fehlt, also sind etwas weniger möglich. Ab 16 Zeichen liegt der Unterschied unter einem Bit; bei sehr kurzen Werten ist er größer, und die angezeigte Zahl ist exakt.
- Mit diesen Einstellungen lässt sich nichts erzeugen
- Wähle mindestens einen Zeichensatz oder tippe ein paar Zeichen ein, und mach die Länge mindestens so groß wie die Zahl der gewählten Sätze, wenn jeder Satz vorkommen muss.
Häufige Fragen
Werden die Passwörter irgendwohin geschickt oder gespeichert?
Nein. Sie werden nach dem Laden der Seite in deinem Browser erzeugt und nie gesendet oder gespeichert. Nur deine Einstellungen, etwa die Länge, merkt sich dieser Browser. Speichere die Werte, die du brauchst, in einem Passwortmanager oder Secret Store.
Ist jedes Zeichen gleich wahrscheinlich?
Ja. Jedes Zeichen wird per Rejection Sampling gewählt, was die kleine Verzerrung der üblichen Methode random % length vermeidet, und Passwörter, die jeden Satz enthalten müssen, werden neu gezogen, bis sie es tun, statt nachträglich geflickt zu werden. So ist jedes gültige Passwort gleich wahrscheinlich.
Wie lang sollte ein Passwort sein?
Für Passwörter im Passwortmanager 16 oder mehr Zeichen mit allen Sätzen. Für API-Keys und Tokens peile mindestens 128 Bit an, etwa 22 Buchstaben und Ziffern oder 32 Hex-Ziffern.