強いパスワードの作り方｜長さ・使い回し・パスキーまで無料生成ツールで解説
公開日：2026年7月13日 対象ツール：パスワード生成
強いパスワードは「複雑さ」より「長さ」で決まる
強いパスワードというと、記号を混ぜた複雑な文字列を思い浮かべがちです。もちろん文字種を増やすのは有効ですが、実はそれ以上に効くのが桁数（長さ）です。総当たり攻撃で試す組み合わせは「文字プールの大きさの、桁数乗」で増えていきます。文字種を4種から少し増やすより、1桁伸ばすほうが組み合わせの伸びが大きい場面が多く、桁数が増えるほど解読にかかる時間は指数的に伸びます。
目安として、重要なアカウントは16文字以上を狙いたいところです。8文字前後だと、文字種を混ぜても現代の計算力では現実的な時間で試し尽くされる懸念があります。一方で20文字を超えると、たとえ大文字小文字と数字だけでも、総当たりは事実上非現実的な手間になります。「短くて複雑」より「長くてランダム」が勝ちやすい、と覚えておくと選びやすくなります。
いちばん危ないのは「使い回し」
実際の乗っ取り被害で多いのは、複雑さ不足そのものよりパスワードの使い回しです。どこか1つのサービスから漏れると、攻撃者は同じメールアドレスとパスワードの組を他のサービスにも次々試します（クレデンシャルスタッフィング）。1か所の漏えいが、使い回した数だけ連鎖して広がるのです。
対策はシンプルで、サービスごとに別々のパスワードにすること。とはいえ全部を覚えるのは不可能なので、パスワード管理ツール（パスワードマネージャー）に保存して、覚えるのはマスターパスワード1つだけにするのが現実的です。ブラウザ内蔵の保存機能も同じ考え方で使えます。
パスキー・多要素認証との使い分け
近年は、指紋や顔認証と端末の鍵を使うパスキーが普及し始めました。パスキーは「そもそも入力する秘密がない」ため、使い回しやフィッシングに強い仕組みです。対応サービスではパスキーを優先するとよいでしょう。
ただし全サービスが対応しているわけではなく、当面はパスワードも併用が続きます。そこで欠かせないのが多要素認証（MFA・2段階認証）です。パスワードが万一漏れても、スマホのコードや認証アプリという第2の関門があれば乗っ取りを防ぎやすくなります。強いパスワードは土台、MFAは保険、パスキーは次世代の本命、と役割で捉えると整理できます。
サイトの制約への対処
サービスによっては「記号は使えない」「最大16文字まで」といった制約があります。記号非対応なら、記号のチェックを外し、その分長さを伸ばして強度を補いましょう。桁数の上限があるときは、上限いっぱいまで使い、文字種を全部オンにするのが得策です。
やりがちな失敗例
- 意味のある単語や名前：辞書にある語は真っ先に試されます。単語ベースは避けましょう。
- 誕生日・電話番号・記念日：SNSなどから推測されやすく、実質的に守りになりません。
- 「Password123!」のような定番の飾り付け：先頭大文字・末尾に123!といった型は攻撃側も熟知しています。
- 付箋やメモの貼り紙：モニターや机に貼ると、物理的にのぞき見されます。紙に残すなら鍵のかかる場所へ。
このツールでの作り方
面倒な工夫を人が考えなくても、このツールなら長さと文字種を選んで「生成」を押すだけで、規則性のないランダムなパスワードが手に入ります。重要なアカウントなら、長さを16文字以上にして文字種を全部オンにするのがおすすめです。生成後は推定エントロピー（ビット数）で強度の目安も確認できます。
そして安心なのが、生成・表示・コピーはすべてお使いのブラウザ内で完結する点です。作ったパスワードがサーバーへ送信・保存されることはなく、ページを離れれば画面上の値も残りません。作ったらパスワード管理ツールに保存し、サービスごとに別々のパスワードを使う——この運用まで含めて、アカウントを守る一歩にしてください。