Wachtwoord- & Passphrase-generator

Zestien tekens is een verstandige ondergrens voor alles met geld of e-mail erachter, en twintig of meer voor het hoofdwachtwoord van een wachtwoordmanager — degene die alle andere bewaakt. De reden is rekenkundig, niet modieus: elk extra teken vermenigvuldigt het aantal mogelijkheden met de grootte van de tekenset, dus één teken toevoegen aan een alfanumeriek wachtwoord met hoofd- en kleine letters maakt het ongeveer 62 keer moeilijker te raden, terwijl het toevoegen van een symbool aan een kort wachtwoord nauwelijks verschil maakt. Als een site je beperkt tot twaalf tekens, gebruik dan de volle twaalf en zet tweefactorauthenticatie aan, want die limiet zegt iets onaangenaams over hoe ze wachtwoorden opslaan.

Ja, als de woorden willekeurig door een machine worden gekozen en er genoeg zijn. Vier woorden willekeurig gekozen uit een lijst van 115 geven ongeveer 27 bits, wat niet genoeg is; zes woorden geven ongeveer 41 bits, en de wachtzinmodus hier toont je het aantal in plaats van dat je moet raden. Wat een wachtzin kapotmaakt, is zelf de woorden kiezen — door mensen gekozen woorden clusteren rond een paar duizend veelvoorkomende en volgen grammatica, wat aanvallers direct modelleren. Het echte voordeel van een wachtzin is niet de sterkte, maar dat je hem uit je hoofd kunt intypen op een tv-afstandsbediening.

Dat hangt volledig af van waar de generatie plaatsvindt, en dat is een vraag die je bij elk gratis online hulpmiddel van dit soort moet stellen. Deze draait volledig in je browser met de Web Crypto API, dus het wachtwoord bestaat alleen op jouw apparaat en wordt nooit naar ons verzonden — er is niets aan onze kant om te loggen, lekken of op te vragen. Een generator die het wachtwoord op zijn server maakt, heeft het per definitie gezien. Als je niet kunt zien welk type je gebruikt, ga dan uit van het slechtste, of gebruik de generator in je wachtwoordmanager.