Lösenordsgenerator
Skapa ett slumpat lösenord eller en lösenfras som är lätt att komma ihåg. Allt genereras i din webbläsare med slumptalsgeneratorn i Web Crypto. Lösenordet skickas aldrig till UltKit, loggas aldrig och sparas aldrig. Mätaren visar den verkliga entropin för dina inställningar i bitar.
Urval på 94 symboler × 20 · Genomsnittlig gissningstid vid 10 miljarder gissningar per sekund: 4,6 × 10²¹ år
Lösenorden skapas i din webbläsare med crypto.getRandomValues. Inget skickas till UltKit eller sparas någonstans.
Entropi och tid att knäcka
Offlineattack med 10¹⁰ (10 miljarder) gissningar per sekund. Genomsnittlig tid är hälften av hela sökutrymmet.
| Entropi | Slumpmässiga tecken (urval på 94 symboler) | Ord från en lista på 7 776 ord | Genomsnittlig tid att knäcka |
|---|---|---|---|
| 28 | 5 | 3 | under 1 sekund |
| 40 | 7 | 4 | 55 sekunder |
| 50 | 8 | 4 | 16 timmar |
| 60 | 10 | 5 | 1,8 år |
| 72 | 11 | 6 | 7 482 år |
| 80 | 13 | 7 | 1,9 mn år |
| 100 | 16 | 8 | 2 bn år |
| 128 | 20 | 10 | 5,4 × 10²⁰ år |
Längd slår komplexitet: vad NIST SP 800-63B säger
Det amerikanska standardiseringsinstitutet NIST (National Institute of Standards and Technology) skrev om sina riktlinjer för lösenord i SP 800-63B och skärpte dem igen i revision 4, som publicerades 2024. Huvudrådet går emot gamla företagsregler: tjänster ska acceptera lösenord på minst 64 tecken, inte tvinga fram en blandning av versaler, siffror och symboler, inte kräva att människor byter lösenord enligt ett schema, och i stället kontrollera nya lösenord mot listor över läckta och vanliga lösenord.
Resonemanget är rent aritmetiskt. Sammansättningsregler får människor att välja förutsägbara mönster som "Sommar2024!", vilka angripare provar först. Varje extra slumpmässigt tecken multiplicerar däremot arbetet för en brute force-attack med storleken på teckenuppsättningen. Att gå från 12 till 16 slumpmässiga tecken ur de 94 skrivbara ASCII-tecknen ger ungefär 26 bitar extra, vilket gör gissningen cirka 78 miljoner gånger svårare.
Så beräknas entropivärdet
Entropi mäter hur många lika sannolika lösenord generatorn kunde ha skapat. För ett slumpmässigt lösenord är den längd × log2(teckenuppsättningens storlek). Med alla fyra teckenuppsättningar består uppsättningen av 94 tecken, vilket motsvarar cirka 6,55 bitar per tecken, så 16 tecken ger cirka 105 bitar. Om du utesluter tecken som liknar varandra krymper uppsättningen till 84 och kostar drygt en femtedels bit per tecken. Tabellen ovan använder samma beräkning och utgår från en offlineangripare som gör 10 miljarder gissningar per sekund, en rimlig siffra för en GPU-rigg mot en snabb hash. En långsam hash som bcrypt sänker den takten med flera tiopotenser.
Lösenfraser fungerar på samma sätt, fast med ord i stället för tecken. Den inbyggda listan här innehåller 367 korta, vanliga ord, så varje ord ger cirka 8,5 bitar och sex ord ger cirka 51 bitar: lätt att skriva och komma ihåg, men svagare än ett slumpmässigt lösenord på 16 tecken. Om du väljer "slumpmässig siffra" som avgränsare får du cirka 3,3 bitar extra per mellanrum. För en lösenfras som skyddar något viktigt bör du använda åtta ord, eller en Diceware-lista med 7 776 ord där varje ord är värt 12,9 bitar.
Mätaren klassar under 40 bitar som svagt, 40 till 59 som okej, 60 till 79 som starkt och 80 eller mer som mycket starkt. Den bedömer generatorns inställningar, inte själva strängen, vilket är det enda ärliga sättet att betygsätta ett lösenord: "correct horse battery staple" får högt betyg hos mönsterbaserade kontroller men är den första frasen som varje angripare provar.
Så använder du ett genererat lösenord säkert
Använd ett unikt lösenord för varje konto och låt en lösenordshanterare komma ihåg dem. Återanvändning gör att en läckt webbplats blir många kapade konton. Spara lösenordet i hanteraren innan du skickar in registreringsformuläret, och aktivera tvåfaktorsautentisering överallt där det erbjuds. Vill du låsa ett dokument i stället för ett konto fungerar en stark lösenfras bra med Lösenordsskydda PDF, som krypterar filen med ett lösenord som du väljer.
Vanliga frågor
- Är det säkert att använda en lösenordsgenerator online?
- Det är säkert så länge lösenordet aldrig lämnar din enhet. Den här generatorn körs helt i webbläsaren med crypto.getRandomValues, en kryptografiskt säker slumpkälla. Ingen förfrågan skickas när du genererar, kopierar eller ändrar inställningar, vilket du kan bekräfta i webbläsarens nätverkspanel.
- Hur långt bör ett lösenord vara 2026?
- För ett slumpmässigt lösenord som sparas i en lösenordshanterare räcker 16 tecken eller fler från alla fyra teckenuppsättningar, vilket ger över 100 bitar entropi. NIST kräver att tjänster accepterar minst 64 tecken, så längden är sällan begränsningen.
- Varför kan jag utesluta tvetydiga tecken som 0, O, l och 1?
- Så att ett lösenord som du måste läsa upp eller skriva av från papper inte skrivs fel. Det krymper uppsättningen från 94 till 84 tecken, vilket ett par extra tecken mer än väl kompenserar för.
- Är en lösenfras bättre än ett slumpat lösenord?
- En lösenfras är lättare att komma ihåg och skriva, vilket passar för ett huvudlösenord eller en enhetsinloggning. Per tecken har den lägre entropi, så den behöver fler ord: använd minst sex från en stor lista, eller åtta från den korta listan som finns på den här sidan.
- Kommer generatorn ihåg lösenorden den har skapat?
- Nej. Lösenorden finns bara på sidan tills du genererar nya eller stänger fliken. Ingenting sparas i cookies, lokal lagring eller på en server.