Generator haseł

Losowy ciąg znaków albo kilka polskich słów. Oba tryby liczą się w Twojej przeglądarce. Nic nie leci na serwer.

Ustaw długość albo liczbę słów, skopiuj wynik do menedżera haseł. Dłuższe hasło wygrywa z krótkim, nawet gdy krótkie ma symbole.

Działa offline w Twojej przeglądarce.

Słabe

16

Jak stworzyć bezpieczne hasło?

Silne hasło to pierwsza linia obrony kont. Nie musi być trudne do zapamiętania, jeśli trzymasz je w menedżerze. Ma być długie, unikalne i losowe. Ten generator daje dwa warianty: klasyczny ciąg znaków i passphrase ze słów.

Długość to podstawa. Minimum 12 znaków, lepiej 16 albo więcej. Przy passphrase celuj w sześć albo siedem losowych słów. Każdy dodatkowy element mocno podnosi koszt ataku siłowego.

Używaj unikalnych haseł. Jedno hasło na wiele serwisów kończy się źle przy pierwszym wycieku. Credential stuffing sprawdza te same pary na setkach stron.

Unikaj oczywistych wzorów. Hasła typu MojeHaslo123!, daty urodzin czy cytaty z filmów padają szybko. Passphrase z rymowanek albo cytatów też nie jest losowa.

Korzystaj z menedżera haseł. Nie musisz pamiętać skomplikowanych ciągów. Porównanie narzędzi: Bitwarden, KeePassXC, 1Password.

Włącz 2FA. Hasło to nie wszystko. Uwierzytelnianie dwuskładnikowe (klucz albo TOTP) zamyka wiele ataków nawet po wycieku hasła.

Hasło ze słów, czyli passphrase

Passphrase to kilka losowych słów z dużej listy, zwykle oddzielonych spacją albo myślnikiem. Łatwiej je przepisać z kartki albo dyktować niż xK9#mQ2!, a przy wystarczającej liczbie słów entropia jest wysoka. Sześć słów z listy około dwóch tysięcy daje rząd wielkości dziesiątek bitów losowości. Siedem albo osiem jest jeszcze spokojniejsze.

Lista w tym narzędziu to polskie słowa ładowane lokalnie z pliku JSON. Wybór idzie przez crypto.getRandomValues, nie przez Math.random. Nie bierz słów z ulubionej książki ani z nazwy psa. Losowość jest tu całą wartością.

Dlaczego długość wygrywa ze złożonością?

Wiele serwisów nadal wymaga symbolu i cyfry w krótkim haśle. To nie zastępuje długości. Fraza poprawna bez zwierzeta (po losowym doborze słów, nie z tego przykładu) bywa mocniejsza od H@sl0!. Dlatego tryb słów jest tu obok trybu znaków, a nie jako ciekawostka.

Czego unikać

  • Słownikowych haseł z drobnymi zamianami liter na cyfry.
  • Tego samego hasła do poczty i do mediów społecznościowych.
  • Nazwy serwisu wklejonej w hasło.
  • Krótkich haseł poniżej 12 znaków, nawet z symbolami.
  • Passphrase ułożonej z cytatu, piosenki albo zdania, które ktoś może odgadnąć.

Jak działa ten generator?

Tryb znaków składa hasło z zaznaczonych klas znaków. Tryb słów wybiera wpisy z listy passphrase. W obu przypadkach źródłem losowości jest window.crypto.getRandomValues. Wynik zostaje w pamięci karty. Nie zapisujemy go i nie wysyłamy.

Co zrobić po wygenerowaniu?

Skopiuj hasło do schowka, wklej przy rejestracji albo zmianie, od razu zapisz w menedżerze. Jeśli serwis pozwala wylogować inne sesje, zrób to po zmianie hasła. Potem włącz 2FA, jeśli jest dostępne.

Najczęściej zadawane pytania

Czy generator haseł jest bezpieczny?

Całość działa w przeglądarce. Hasła powstają lokalnie przez crypto.getRandomValues i nie opuszczają urządzenia. Nie mamy do nich dostępu.

Co jest lepsze: znaki czy passphrase?

Do menedżera haseł zwykle wygodniejszy jest długi ciąg znaków. Do haseł, które czasem wpisujesz ręcznie (dysk, lokalne konto), passphrase ze słów bywa praktyczniejsza. Siła zależy od długości i losowości, nie od etykiety trybu.

Ile słów w passphrase wystarczy?

Przy liście rzędu dwóch tysięcy słów sześć losowych słów to sensowny punkt startu. Siedem albo osiem daje większy zapas. Cztery słowa traktuj jako minimum tylko przy krótkim threat modelu albo gdy dorzucasz jeszcze menedżer i 2FA.

Czy powinienem regularnie zmieniać hasła?

Silnego, unikalnego hasła nie trzeba rotować co miesiąc. Zmieniaj je po wycieku albo gdy podejrzewasz nieautoryzowany dostęp. Lepiej inwestować w 2FA i menedżer.

Co zrobić, gdy strona nie akceptuje długiego hasła?

Użyj maksymalnej dozwolonej długości i różnych klas znaków. Nadal będzie lepsze niż coś wymyślonego z głowy. Jeśli serwis odrzuca spacje w passphrase, przełącz separator na myślnik.