Как создать надёжный случайный пароль (и запомнить его)

Большинство паролей взламывают не потому, что кто-то блестяще их угадал. Они оказываются короткими, повторяются или строятся по предсказуемым шаблонам. Сильный случайный пароль убирает сам шаблон.

Коротко

• Случайность важнее хитрых правил замены символов.
• Длина — самый простой способ повысить надёжность.
• Для каждого аккаунта нужен уникальный пароль.
• Храните пароли в менеджере, а не в памяти или таблице.
• Включайте двухфакторную аутентификацию, где она доступна.

Почему придуманные пароли не работают

Люди хорошо находят закономерности и плохо имитируют случайность. Пароли часто строятся вокруг имён, дат, команд, клавиатурных дорожек и одинаковых замен: a превращается в @, o — в 0, а в конце появляется восклицательный знак.

Злоумышленники это знают. Они используют словари утечек, правила их расширения и быстрое железо. Пароль вроде Summer2026! кажется сложным, но следует шаблону, который инструменты подбора ожидают в первую очередь.

Генерация решает проблему по-другому: не человек придумывает непредсказуемость, а генератор выбирает символы из заданного набора с помощью безопасного источника случайности. Такой пароль сложнее запомнить, поэтому рядом нужен менеджер паролей.

Энтропия: число, которое имеет значение

Энтропия измеряет неопределённость в битах. Если пароль выбран равномерно из набора возможностей, энтропия — это логарифм количества возможностей по основанию 2. Четырёхзначный PIN имеет около 13 бит. Случайный 16-символьный пароль из 94 печатных символов — намного больше.

Энтропия не равна длине. Двадцатисимвольная фраза из предсказуемых слов может быть слабее случайного 12-символьного пароля. Важно, сколько равновероятных вариантов придётся перебрать атакующему.

Для большинства аккаунтов хороший ориентир — не менее 16 случайных символов. Двадцать и больше лучше, если сервис позволяет. Точный порог зависит от угроз и ограничений сайта, но длинный случайный пароль редко бывает ошибкой.

Длина против сложности

Политики часто требуют заглавные, строчные, цифры и символы. Это полезно, но длина даёт больший эффект. Каждый дополнительный случайный символ умножает пространство поиска. Увеличение набора тоже помогает, но проще и надёжнее добавить несколько символов.

Практичный подход: использовать максимальную длину, которую принимает сервис, и смешивать типы символов. Если лимит 12 — используйте все 12. Если разрешено 64 — не останавливайтесь на 12.

Похожие символы и удобство

0 и O, 1, l и I легко перепутать при чтении вслух или ручном вводе. Многие генераторы позволяют исключить такие символы. Набор чуть уменьшается, зато ошибок при вводе меньше.

Удобство — часть безопасности. Пароль, который настолько неудобен, что его записывают на стикере, не помогает. Лучше копировать из менеджера паролей, а вручную вводить только там, где автозаполнение недоступно.

Парольная фраза для человека, случайная строка для машины

Фраза из нескольких случайных слов может быть одновременно надёжной и запоминаемой. Пять–семь слов из большого словаря дают существенную энтропию, если выбор действительно равномерен.

Для мастер-пароля, который нужно помнить, используйте парольную фразу. Для аккаунтов внутри менеджера — длинные случайные строки. Так вы запоминаете только один мастер-пароль, а не десятки разных.

Хранение, повторное использование и двухфакторная аутентификация

Сильный пароль — только часть безопасности:

• используйте надёжный менеджер с сильным мастер-паролем;
• создавайте уникальный пароль для каждого аккаунта;
• включайте двухфакторную аутентификацию, лучше аппаратный ключ или приложение;
• храните коды восстановления офлайн;
• сразу меняйте пароль после сообщения об утечке.

Повторное использование превращает одну утечку в десятки. Менеджер делает уникальные пароли практичными, потому что запоминать нужно только мастер-пароль.

Как работает генератор на этом сайте

Генератор использует crypto.getRandomValues() и работает полностью в вашем браузере. Он объединяет выбранные наборы символов, выбирает значения равномерно и оценивает энтропию. Пароль никуда не отправляется.

Такой подход уменьшает риск: нет серверного журнала паролей и сетевого запроса с секретом. Остаются локальные риски — вредоносное ПО или скомпрометированное устройство. Обновляйте ОС и браузер и не генерируйте пароли на чужом или ненадёжном устройстве.

Итог

Сильный пароль — длинный, случайный, уникальный и безопасно сохранённый. Правила замены символов вторичны. Генерируйте из безопасного источника, сохраняйте в менеджере и добавляйте второй фактор. Эти привычки защищают лучше любой хитрой замены букв.