Lösenordsgenerator

Så använder du lösenordsgeneratorn

1. Ställ in Längd, från 4 till 128 tecken. För de flesta konton är 16 eller fler ett bra val.
2. Välj teckengrupper att ta med: Versaler (A–Z), Gemener (a–z), Siffror (0–9) och Symboler (!#$%…).
3. Om du någon gång måste läsa eller skriva lösenordet för hand slår du på Uteslut förväxlingsbara tecken (0 O o 1 l I |) så att tecken som liknar varandra utelämnas.
4. Låt Ta med minst ett tecken från varje grupp vara aktiverad om en webbplats har regler för hur lösenordet ska vara sammansatt.
5. Ange Antal lösenord att skapa (upp till 50), titta på Uppskattad entropi och styrkeetiketten och kopiera sedan det du vill ha till din lösenordshanterare.

Så skapar verktyget lösenord

Varje tecken väljs med webbläsarens kryptografiskt säkra slumptalsgenerator, crypto.getRandomValues, som ingår i Web Crypto API. Till skillnad från Math.random() är den gjord så att utdata inte kan förutsägas, inte ens av någon som har sett tidigare värden.

Att välja tecken rättvist är svårare än det ser ut. Det naiva sättet att ta ett slumptal och räkna modulo teckenuppsättningens storlek ger modulo-snedvridning: vissa tecken dyker upp något oftare än andra. Det här verktyget undviker modulo-snedvridning helt, så att varje tillåtet tecken har exakt samma sannolikhet.

Allt sker på din enhet. Lösenorden skickas aldrig över nätet, sparas aldrig och loggas aldrig. När du stänger eller laddar om sidan är de borta.

Så tolkar du entropin

Entropi, mätt i bitar, uttrycker hur många gissningar en angripare skulle behöva i värsta fall. För ett slumpmässigt skapat lösenord beräknas den som längden multiplicerad med log₂ av antalet möjliga tecken. Varje extra bit fördubblar angriparens arbete.

• Ett lösenord på 12 tecken med bara gemener (26 tecken) har ungefär 56 bitar.
• Ett lösenord på 16 tecken med alla fyra grupperna (ungefär 90 tecken eller fler) har ungefär 104 bitar.
• Ett lösenord på 20 tecken med samma grupper har över 130 bitar.

Som tumregel är allt under 50 bitar svagt för ett onlinekonto, 60 till 80 bitar är hyfsat och 100 bitar eller mer är mycket starkt, även mot offline-knäckning av en läckt lösenordsdatabas. Om du utesluter förväxlingsbara tecken krymper teckenuppsättningen något, så uppskattningen sjunker lite. Lägg till ett eller två tecken för att kompensera. Uppskattningen gäller lösenord som skapats här med slumpen, och säger ingenting om lösenord du hittar på själv, som vanligen är mycket svagare än längden antyder.

Lösenordsråd som faktiskt hjälper

• Längd slår komplexitet. Fler tecken höjer entropin snabbare än fler sorters symboler. Aktuell vägledning, till exempel NIST SP 800-63B, betonar längd och avråder från godtyckliga sammansättningsregler och påtvingade regelbundna byten.
• Använd en lösenordshanterare. Den kan lagra ett långt, slumpmässigt och unikt lösenord för varje webbplats, så att du bara behöver komma ihåg en stark huvudlösenfras.
• Återanvänd aldrig lösenord. När en webbplats utsätts för dataintrång provar angripare samma e-postadress och lösenord överallt annars. Unika lösenord stoppar sådan inloggningsfyllning direkt.
• Aktivera flerfaktorsautentisering där det är möjligt, helst med en autentiseringsapp, en säkerhetsnyckel eller en passkey i stället för sms.
• Byt lösenord när det finns en anledning, till exempel efter ett dataintrång, inte efter ett godtyckligt schema.