パスワードが弱いと言われる理由｜短さ・辞書語・連番・使い回しの見直し方

1. 「強い」という表示と危険パターンを別々に読む

パスワードの長さと文字種だけで、安全かどうかは決まりません。このサイトの診断では、文字が独立・一様に選ばれたと仮定した数値と、登録された辞書語や規則性の検出を別に表示します。人が選んだ単語に数字を足した値は、その仮定に合わなくても高い数値になることがあります。

2026年10月4日にローカルの公開版ツールで、次の3つの架空文字列を入力しました。すべて説明用の公開例であり、実際のパスワードには使わないでください。数値は画面の丸め表示です。

最初の例は「強い」でも警告が残ります。2番目は既知の弱い値との一致により、単純なbit数より低い評価になります。3番目で名前が検出されないことも、安全の証明にはなりません。使い回し、実際の個人情報との関係、漏えい履歴は自分の利用状況と照合する必要があります。

2. 長さの基準と、生成方法の条件を分ける

NIST SP 800-63B-4の運営者向け要件は、単要素認証のパスワードを15文字以上、多要素認証で使う場合を最低8文字としています。これは「8文字なら安全」「全サービスで16文字が必須」という意味ではありません。利用先が許す文字数、認証方式、拒否リストや試行回数制限も条件に含まれます。

候補数の計算は、各文字を独立・一様に選ぶ条件で成り立ちます。「8文字に記号を入れる場合」と「人が覚えやすい16文字を選ぶ場合」を、文字数だけで比較しないでください。辞書の一語を長くしたり、語尾に年を足したりする操作も、ランダム生成とは異なります。

生成した候補を登録する場合は、サービスの制限内で長さを確保し、アカウントごとに別の値を作ります。覚える必要がある場合のパスフレーズも、公開例のコピーや有名な句ではなく、選び方を含めて考えます。

3. 解読時間は、仮定した試行速度での比較値

ツールの一般PC・GPU・専用機の時間は、毎秒10⁷・10¹¹・10¹⁴回という固定した試行速度で、候補の平均半数を試すモデルから計算します。たとえば最初の例には一般PCで7513年と表示されましたが、辞書語や年を先に試す攻撃に、その時間を適用できません。

実際の時間は保存側のハッシュ方式やKDF設定、攻撃設備、オンラインの試行回数制限によって変わります。この参考値を「破られるまでの残り時間」と読まず、同じ仮定で長さを変えた比較に使います。計算式を詳しく確認したい場合は、エントロピーの解説へ進んでください。

4. 検出した弱点と、検出できない利用状況を確認する

診断では、評価の一語だけでなく、検出された項目と改善提案を読みます。辞書語や規則性が残る場合は、語尾に数字を足す修正を繰り返すより、別の候補を生成して保管する方法を検討します。名前や日付の警告がない場合も、本人と関係する語を使っていないかは別に確かめます。

複数サービスで同じ値を使っている場合は、その利用状況をこの入力欄だけでは判定できません。サービスごとに固有の値をパスワードマネージャーで管理し、利用先の多要素認証も設定します。流出が確認された値の変更と、単に定期的に変更することは分けて扱います。