What is password entropy?

Password entropy is a measure of unpredictability expressed in bits. Each bit doubles the number of guesses an attacker must make on average, so 64 bits requires 2^64 guesses and 128 bits requires 2^128. The exact entropy of a randomly generated password equals log2(charset_size) multiplied by the password length - a 16-character password from a 95-character set has 16 x log2(95) = 105 bits. Anything above 75 bits is considered safe against offline brute-force attacks with current GPU hardware; 128 bits is uncrackable for any foreseeable computing technology including quantum computers running Grover's algorithm.

Why should I avoid dictionary words?

Attackers run dictionary attacks that test millions of common words, phrases, and predictable transformations (capitalisation, leet substitutions like 'a' to '@', appending digits or years) before trying brute force. Any password a human can easily remember - including phrases, names, dates, or sports teams - usually appears in cracking dictionaries (rockyou.txt, HaveIBeenPwned, custom corpus dumps) within the first few million guesses. A 16-character random password from a 95-character set takes roughly 4 quadrillion times longer to guess than a typical 8-character word with a digit suffix. The fix is to generate, not invent, your password.

Should I use a password manager?

Yes. A password manager (Bitwarden, 1Password, KeePass, Proton Pass, Apple Passwords) lets you use a unique, randomly generated password for every account without memorising any of them - you only remember one strong master password. The vault is encrypted locally with your master password, then optionally synced through the provider. The alternative - reusing the same password across sites or storing them in a text file or browser autofill without encryption - means a single breach exposes every account. Modern managers also generate passkeys, monitor breach databases, and warn you about reused or weak entries.

How often should I change my passwords?

Do not rotate passwords on a fixed schedule. NIST SP 800-63B (2017, reaffirmed in subsequent revisions) explicitly recommends against mandatory periodic rotation because it pushes users toward predictable patterns - changing 'Summer2024!' to 'Summer2025!' weakens security rather than improving it. Rotate a password only when there is a concrete reason: a confirmed breach (HaveIBeenPwned alert, vendor notification), shared access that needs revoking, suspicion of phishing or device compromise, or after exposure on an untrusted device. With a password manager and a unique random password per site, breach impact is contained to the one affected account.

What makes a password strong?

Four properties together: length, randomness, character variety, and uniqueness. Length matters most - each added character from a 95-character set multiplies guesses by 95. Randomness eliminates dictionary attacks. Variety (lowercase, uppercase, digits, symbols) maximises the per-character search space. Uniqueness ensures one breach does not cascade to other accounts. A 16-character password generated by a cryptographically secure random source from all four character classes has roughly 105 bits of entropy and is currently uncrackable through brute force.

How long should a password be?

Twelve characters is the practical minimum, sixteen or more is recommended, and twenty plus is preferred for high-value accounts (email, financial, password manager master). At 95 characters per slot, 12 characters gives 79 bits of entropy, 16 gives 105 bits, and 20 gives 131 bits. Length is the cheapest entropy you can buy because every added character multiplies the attacker's work, while symbol and case complexity only adds marginally. If a system limits passwords to 12-16 characters, prefer the maximum allowed and use a generator.

Are passphrases more secure than random passwords?

Only if they are long enough. A four-word passphrase from the EFF wordlist (7,776 words) gives 51 bits of entropy - weaker than a 9-character random password. Six words gives 77 bits, which is roughly equivalent to 12 random characters. Passphrases trade entropy density for memorability, so they need more characters to reach the same security as a random password. Use passphrases for vault master passwords (where you must remember it) and use generated random passwords for everything else (where the manager remembers them).

Is the generated password sent to a server?

No. This generator runs entirely in your browser using the WebCrypto API (window.crypto.getRandomValues), which is a cryptographically secure source of randomness backed by the operating system. The generated password is created locally, displayed only to you, and never transmitted anywhere. The server delivers the page assets and has no visibility into what was generated. This makes the tool safe to use even on production accounts.

पासवर्ड जनरेटर - अपने ब्राउज़र में मजबूत रैंडम पासवर्ड बनाएं

पासवर्ड जनरेटर वर्कस्पेस

नीचे दिए गए नियम अपने हिसाब से सेट करें और जितने चाहें उतने पासवर्ड जनरेट करें।

मजबूत अनुमानित 128-बिट एन्ट्रॉपी

न्यूनतम लंबाई 18

अधिकतम लंबाई 24

लोअरकेस अक्षर अपरकेस अक्षर अंक विशेष कैरेक्टर मिलते-जुलते कैरेक्टर हटाएं

पासवर्ड जनरेटर: त्वरित सुझाव

ऊपर दिए गए जनरेटर से सबसे मज़बूत परिणाम पाने के लिए एक संक्षिप्त चेकलिस्ट।

इसे लंबा बनाएं

कम से कम 16 कैरेक्टर का पासवर्ड रखें, और जब साइट अनुमति दे तो इससे भी लंबा। पासवर्ड को सुरक्षित रखने का सबसे कारगर तरीका उसकी लंबाई ही है।

इसे जनरेट होने दें

पासवर्ड खुद मन से न गढ़ें। जो आपको आसानी से याद रह जाए, वह अक्सर पहले से ही हैकरों की आम अनुमानों वाली सूची में होता है।

इसे मैनेजर में सेव करें

इसे Bitwarden, 1Password, KeePass, या LastPass जैसे किसी पासवर्ड मैनेजर में रखें। फिर आपको इसे कभी याद रखने की जरूरत नहीं होगी, और हर अकाउंट के लिए एक अलग पासवर्ड हो सकता है।

कैरेक्टर मिलाएं

चारों में से कम से कम तीन स्विच चालू रखें: छोटे अक्षर, बड़े अक्षर, संख्याएं और प्रतीक। जितनी ज़्यादा विविधता होगी, पासवर्ड का अनुमान लगाना उतना ही मुश्किल होगा।

मिलते-जुलते कैरेक्टर तभी हटाएं जब हाथ से टाइप करना हो

'अस्पष्ट अक्षर हटाएं' विकल्प तभी चालू करें जब आप पासवर्ड खुद टाइप करने वाले हों, ताकि अक्षर O और अंक 0 जैसी चीज़ों में आपको भ्रम न हो।

लीक हुए पासवर्ड बदलें

जो पासवर्ड आपने कई जगह इस्तेमाल किया हो, किसी के साथ साझा किया हो या जो किसी डेटा लीक में सामने आया हो, उसकी जगह नया पासवर्ड बनाएं। यहां इसमें बस कुछ सेकंड लगते हैं।

पासवर्ड जनरेटर क्यों ज़रूरी है, आंकड़ों में

सरल भाषा में कुछ आंकड़े, जो बताते हैं कि कैरेक्टर के अच्छे मिश्रण वाला लंबा पासवर्ड, जैसा यह जनरेटर बनाता है, खुद सोचकर बनाए गए पासवर्ड से कहीं ज़्यादा सुरक्षित क्यों होता है।

घंटे

एक साधारण कंप्यूटर को लगभग 8 कैरेक्टर का छोटा पासवर्ड क्रैक करने में बस इतना ही समय लगता है। वह हर सेकंड लाखों अनुमान लगाता रहता है, जब तक कोई एक सही न बैठ जाए। छोटे पासवर्ड अब बिल्कुल टिक नहीं पाते।

लगभग अनंत काल

उसी छोटे पासवर्ड को लें और बस उसे दोगुना लंबा बना दें। अब पृथ्वी के सारे कंप्यूटर मिलकर भी तब तक अनुमान लगाते रहें जब तक सूरज न बुझ जाए, फिर भी वे इसे नहीं तोड़ पाएंगे। यह एक बदलाव, 8 कैरेक्टर से 16 पर जाना, एक दोपहर और ब्रह्मांड की उम्र से अधिक समय के बीच का अंतर है।

65%

लगभग हर 2 में से 3 लोग एक ही पासवर्ड एक से अधिक जगह इस्तेमाल करते हैं। इसलिए जब किसी एक वेबसाइट को हैक किया जाता है, तो अपराधी चुपचाप उसी पासवर्ड को आपके ईमेल, बैंक और बाकी सब जगह आज़माते हैं। हर अकाउंट के लिए अलग पासवर्ड इस समस्या को पूरी तरह रोक देता है।

100x+

केवल छोटे अक्षरों की जगह बड़े अक्षर, संख्याएं और प्रतीक मिलाने से ही पासवर्ड को क्रैक करना कहीं ज़्यादा मुश्किल हो जाता है। आप जितने ज़्यादा तरह के कैरेक्टर जोड़ते हैं, हमलावर को उतने ही ज़्यादा अनुमान लगाने पड़ते हैं, और यह असर पूरे पासवर्ड में कई गुना बढ़ता जाता है। एक अच्छा मिश्रण वह काम करता है जो अकेली लंबाई नहीं कर सकती।

एक मज़बूत पासवर्ड जनरेटर किन बातों का ध्यान रखता है

एक मजबूत पासवर्ड चार चीज़ों पर टिका होता है। एक अच्छा पासवर्ड जनरेटर इन सबका ध्यान आपके लिए रखता है, इसलिए आपको खुद इन पर माथापच्ची नहीं करनी पड़ती।

लंबाई

लंबाई सबसे अहम कारक है। हर अतिरिक्त कैरेक्टर संभावित संयोजनों की कुल संख्या को कई गुना बढ़ा देता है। 8 से 16 कैरेक्टर करने पर सर्च स्पेस दोगुना नहीं, बल्कि उसका वर्ग हो जाता है।

विविधता

कैरेक्टर की विविधता सर्च स्पेस को कई गुना बढ़ा देती है। लोअरकेस, अपरकेस, अंक और प्रतीकों को मिलाने से वह कैरेक्टर सेट बहुत बड़ा हो जाता है जिसमें हमलावर को खोजना पड़ता है। सिर्फ़ लोअरकेस अक्षरों वाले पासवर्ड में हर कैरेक्टर के लिए 26 संभावनाएं होती हैं; चारों प्रकार जोड़ने पर यह संख्या लगभग 95 हो जाती है।

रैंडमनेस

अनुमान लगाए जा सकने वाले पैटर्न, जैसे कीबोर्ड पर लगातार दबाई गई कीज़, नाम के बाद जन्म का साल या पसंदीदा खेल टीम, हर अटैक डिक्शनरी में मौजूद होते हैं। क्रिप्टोग्राफ़िक स्रोत से जनरेट की गई असली रैंडमनेस पर डिक्शनरी और नियम-आधारित हमले बेअसर रहते हैं।

यूनिकनेस

कई अकाउंट में एक ही पासवर्ड इस्तेमाल करने का मतलब है कि एक सेंध से सारे अकाउंट खतरे में पड़ जाते हैं। हर सेवा का अपना अलग पासवर्ड होना चाहिए, ताकि कोई सेंध लगे भी तो वह सिर्फ़ एक अकाउंट तक सीमित रहे।

SecretNote का पासवर्ड जनरेटर क्यों इस्तेमाल करें

हम आपको केवल एक टूल देकर नहीं चले जाते। हम सरल भाषा में समझाते हैं कि पासवर्ड कैसे क्रैक होते हैं और आपको सुरक्षित रहने का सर्वोत्तम तरीका दिखाते हैं, भले ही आपकी कोई तकनीकी पृष्ठभूमि न हो।

SecretNote सामान्य ऑनलाइन टूल

पासवर्ड आपके ब्राउज़र में जनरेट होते हैं और कहीं भी नहीं भेजे जाते

लंबाई, अक्षरों का मिश्रण और लाइव स्ट्रेंथ जांच, सब एक ही जगह

गैर-तकनीकी लोगों के लिए सरल भाषा में समझाया गया

सबसे अच्छी आदतें बताता है: मैनेजर, हर जगह अलग पासवर्ड, 2FA

कोई अकाउंट नहीं, कोई साइन-अप नहीं, कोई विज्ञापन ट्रैकिंग नहीं, हमेशा मुफ्त

ब्रूट-फ़ोर्सिंग क्या है?

ब्रूट-फ़ोर्सिंग को समझना आसान है। हमलावर को आपका पासवर्ड पता नहीं होता, इसलिए वह एक कंप्यूटर को उस पर लगा देता है जो बस अनुमान लगाता रहता है और लाखों-करोड़ों संयोजन एक के बाद एक तब तक आज़माता है जब तक कोई एक काम न कर जाए। कंप्यूटर कभी थकता नहीं और सब कुछ अपने आप होता है, इसलिए उसे धीमा करने वाली सिर्फ़ दो चीज़ें हैं: आपके पासवर्ड का अनुमान लगाना कितना मुश्किल है, और वेबसाइट उसे बार-बार कोशिश करने से कितनी जल्दी रोकती है। यही वजह है कि लंबा, रैंडम पासवर्ड इतना मायने रखता है। यही वजह है कि पासवर्ड जनरेटर और पासवर्ड मैनेजर साथ मिलकर काम करते हैं: एक हर पासवर्ड को लंबा और रैंडम बनाता है, दूसरा उन सभी को याद रखता है, ताकि हर अकाउंट का अपना अलग पासवर्ड हो और एक लीक कभी भी कहीं और दोबारा इस्तेमाल न हो सके।

यह कहां होता है

ज्यादातर नज़रों से दूर। कभी-कभी अनुमान लगाना सीधे किसी वेबसाइट के लॉगिन पेज पर होता है। अधिकतर यह लीक हुई पासवर्ड सूची की एक कॉपी पर होता है जिसे हमलावर पहले ही डाउनलोड कर चुके होते हैं, जहां वे अपनी मशीनों की पूरी गति से अनुमान लगा सकते हैं, पूरी तरह ऑफलाइन और बिना किसी की नज़र के।

आप कैसे सुरक्षित रहते हैं

ऊपर दिए गए पासवर्ड जैसा लंबा, रैंडम और अनोखा पासवर्ड इस्तेमाल करें, उसे पासवर्ड मैनेजर में रखें, और जहां भी उपलब्ध हो, दो-चरणीय लॉगिन (आपके फोन या किसी ऐप से मिलने वाला दूसरा कोड) चालू करें। अगर कोई एक पासवर्ड अनुमान से पता चल भी जाए या लीक हो जाए, तो वह दूसरा चरण और हर जगह अलग पासवर्ड नुकसान को बेहद कम रखते हैं।

अच्छी साइटें आपको कैसे सुरक्षित रखती हैं

जिम्मेदार वेबसाइटें हमलावरों को धीमा करती हैं: कुछ गलत प्रयासों के बाद अकाउंट लॉक कर देती हैं, प्रयासों के बीच थोड़ी देरी जोड़ती हैं, पासवर्ड को हैश करके (बदले हुए रूप में) स्टोर करती हैं ताकि लीक होने पर भी वे तुरंत पढ़े न जा सकें, दो-चरणीय लॉगिन की सुविधा देती हैं और बॉट्स द्वारा भेजे जाने वाले स्वचालित अनुमानों की बाढ़ को रोकती हैं।

कैसे पहचानें कि साइट सुरक्षा को गंभीरता से लेती है

देखें कि वेब एड्रेस https से शुरू होता हो, टू-फैक्टर लॉगिन चालू करने का विकल्प हो, और कुछ बार गलत पासवर्ड डालने पर थोड़ी देर की रोक लगती हो। बॉट चेक भी मायने रखता है: reCAPTCHA और hCaptcha जैसे कई लोकप्रिय बॉट चेक को सस्ती सेवाएं एक सेंट से भी कम कीमत में हल कर देती हैं, इसलिए ये असली हमलावर को मुश्किल से ही धीमा कर पाते हैं। PrivCaptcha जैसे नए, प्राइवेसी-फ्रेंडली विकल्प एक बेहतर संकेत हैं।

पासवर्ड जांचें

नीचे कोई भी पासवर्ड टाइप करें और देखें कि ब्रूट फोर्स से इसका अनुमान लगाने में मोटे तौर पर कितना समय लग सकता है।

क्रैक होने में लगने वाला अनुमानित समय —

यह पूरी तरह आपके ब्राउज़र में चलता है। आप जो टाइप करते हैं वह कहीं नहीं भेजा जाता, कभी सेव नहीं होता और इस पेज से बाहर नहीं जाता।

पासवर्ड का विकल्प: पासकी?

पासवर्ड उतना ही सुरक्षित होता है जितना उसका अनुमान लगाना मुश्किल हो। पासकी अलग रास्ता अपनाती है: इसमें कोई सीक्रेट होता ही नहीं जिसे टाइप किया जाए, अनुमान लगाया जाए या लीक किया जा सके। आसान शब्दों में इसका क्या मतलब है, यहां जानें।

पासकी क्या होती है?

याद रखने वाले पासवर्ड की जगह, हर वेबसाइट के लिए एक अलग पासकी बनाई जाती है, जिसे आपके फिंगरप्रिंट, चेहरे या डिवाइस PIN से अनलॉक किया जाता है। आपको कभी कोई सीक्रेट देखना या टाइप नहीं करना पड़ता। यह पासकी आपके फोन या लैपटॉप में, या 1Password, Bitwarden या LastPass जैसे किसी पासवर्ड मैनेजर में रह सकती है। ऐसे में मैनेजर आपके लिए पासकी बनाता और सेव करता है, और उसे उन सभी डिवाइसों पर सिंक करता है जिनमें आप साइन इन करते हैं, ताकि आप किसी एक फोन या ब्रांड से बंधे न रहें।

यह अधिक सुरक्षित क्यों है

इसमें न कुछ ब्रूट-फोर्स करने को है, न दोबारा इस्तेमाल करने को, और न किसी नकली लॉगिन पेज को सौंपने को। पासकी को न फ़िशिंग से चुराया जा सकता है, न अनुमान से पता किया जा सकता है, और चूंकि यह कभी आपके डिवाइस से बाहर नहीं जाती, किसी वेबसाइट के हैक होने पर भी यह उजागर नहीं होती।

फिलहाल की अड़चन

सबसे बड़ी सीमा यह है कि अभी हर वेबसाइट पासकी को सपोर्ट नहीं करती। अगर आप उन्हें पासवर्ड मैनेजर में स्टोर करते हैं, तो उन्हें एक डिवाइस से दूसरे पर ले जाना आसान है; दिक्कत तभी आती है जब आप उन्हें किसी एक फोन या ब्रांड तक सीमित रखते हैं। इसलिए सीधी सलाह यह है: जहां भी पासकी मिले, उसका इस्तेमाल करें, बेहतर हो कि किसी मैनेजर के ज़रिए, और जो साइटें अभी इन्हें सपोर्ट नहीं करतीं, उनके लिए लंबा, जनरेट किया गया पासवर्ड इस्तेमाल करते रहें। दोनों आराम से साथ-साथ काम करते हैं।

अक्सर पूछे जाने वाले प्रश्न

पासवर्ड सुरक्षा के बारे में सबसे अधिक पूछे जाने वाले सवालों के जवाब।

पासवर्ड एन्ट्रॉपी यह बताती है कि पासवर्ड का अनुमान लगाना कितना मुश्किल है, और इसे बिट में मापा जाता है। हर बिट से हमलावर को औसतन लगाने पड़ने वाले अनुमान दोगुने हो जाते हैं, इसलिए 64 बिट के लिए 2^64 और 128 बिट के लिए 2^128 अनुमान चाहिए। रैंडम रूप से जनरेट किए गए पासवर्ड की सटीक एन्ट्रॉपी log2(charset_size) को पासवर्ड की लंबाई से गुणा करके निकलती है। 16 कैरेक्टर वाले सेट से बने 95 कैरेक्टर के पासवर्ड में 16 x log2(95) = 105 बिट होते हैं। 75 बिट से ज़्यादा एन्ट्रॉपी को आज के GPU हार्डवेयर से होने वाले ऑफ़लाइन ब्रूट-फ़ोर्स हमलों के ख़िलाफ़ सुरक्षित माना जाता है; 128 बिट को निकट भविष्य की कोई भी कंप्यूटिंग तकनीक नहीं तोड़ सकती, Grover का एल्गोरिदम चलाने वाले क्वांटम कंप्यूटर भी नहीं।

हमलावर ब्रूट फ़ोर्स आज़माने से पहले डिक्शनरी अटैक चलाते हैं, जिनमें लाखों आम शब्द, वाक्यांश और अनुमान लगाए जा सकने वाले बदलाव (कैपिटल अक्षर, 'a' की जगह '@' जैसे leet बदलाव, आखिर में अंक या साल जोड़ना) आज़माए जाते हैं। कोई भी पासवर्ड जिसे इंसान आसानी से याद रख सके, चाहे वह वाक्यांश हो, नाम, तारीख या खेल टीम, आमतौर पर पहले कुछ मिलियन अनुमानों के भीतर ही क्रैकिंग डिक्शनरी (rockyou.txt, HaveIBeenPwned, कस्टम कॉर्पस डंप) में मिल जाता है। 16 कैरेक्टर वाले सेट से बने 95 कैरेक्टर के रैंडम पासवर्ड का अनुमान लगाने में, आखिर में एक अंक वाले आम 4 कैरेक्टर के शब्द की तुलना में लगभग 8 क्वाड्रिलियन गुना ज़्यादा समय लगता है। इसका हल यह है कि पासवर्ड खुद न सोचें, बल्कि जनरेट करें।

हां। पासवर्ड मैनेजर (Bitwarden, 1Password, KeePass, Proton Pass, LastPass या Apple Passwords) की मदद से आप हर अकाउंट के लिए अलग, रैंडम रूप से जनरेट किया गया पासवर्ड इस्तेमाल कर सकते हैं, और उनमें से किसी को याद रखने की ज़रूरत नहीं पड़ती; आपको सिर्फ़ एक मज़बूत मास्टर पासवर्ड याद रखना होता है। वॉल्ट आपके मास्टर पासवर्ड से आपके डिवाइस पर ही एन्क्रिप्ट होता है, और चाहें तो प्रदाता के ज़रिए सिंक भी हो सकता है। इसके उलट, एक ही पासवर्ड कई साइटों पर इस्तेमाल करने या पासवर्ड को बिना एन्क्रिप्शन के किसी टेक्स्ट फ़ाइल या ब्राउज़र ऑटोफिल में रखने का मतलब है कि एक ही डेटा ब्रीच से आपके सारे अकाउंट उजागर हो सकते हैं। आधुनिक मैनेजर पासकी भी बनाते हैं, डेटा ब्रीच डेटाबेस पर नज़र रखते हैं, और दोबारा इस्तेमाल हुए या कमज़ोर पासवर्ड के बारे में आपको चेतावनी देते हैं।

पासवर्ड को किसी तय शेड्यूल पर न बदलें। NIST SP 800-63B (2017, बाद के संशोधनों में भी दोहराया गया) अनिवार्य समय-समय पर पासवर्ड बदलने के ख़िलाफ़ साफ़ सलाह देता है, क्योंकि इससे लोग अनुमान लगाए जा सकने वाले पैटर्न अपनाने लगते हैं। 'Summer2024!' को 'Summer2025!' में बदलने से सुरक्षा बढ़ती नहीं, बल्कि कमज़ोर होती है। पासवर्ड तभी बदलें जब कोई ठोस वजह हो: कोई पुष्ट डेटा सेंध (HaveIBeenPwned अलर्ट, सेवा प्रदाता की सूचना), किसी के साथ साझा की गई पहुंच जिसे रद्द करना हो, फ़िशिंग या डिवाइस हैक होने का शक, या किसी अविश्वसनीय डिवाइस पर पासवर्ड इस्तेमाल होने के बाद। पासवर्ड मैनेजर और हर साइट के लिए एक अलग रैंडम पासवर्ड के साथ, किसी सेंध का असर सिर्फ़ उसी एक अकाउंट तक सीमित रहता है।

मज़बूत पासवर्ड के लिए चार गुण एक साथ ज़रूरी हैं: लंबाई, रैंडमनेस, कैरेक्टर की विविधता और यूनिकनेस। सबसे ज़्यादा मायने लंबाई रखती है, क्योंकि 95 कैरेक्टर वाले सेट से हर अतिरिक्त कैरेक्टर अनुमानों की संख्या को 95 गुना कर देता है। रैंडमनेस डिक्शनरी अटैक को बेअसर कर देती है। विविधता (लोअरकेस, अपरकेस, अंक, प्रतीक) हर कैरेक्टर का सर्च स्पेस ज़्यादा से ज़्यादा बढ़ाती है। यूनिकनेस यह पक्का करती है कि एक सेंध का असर दूसरे अकाउंट तक न फैले। चारों कैरेक्टर प्रकारों से, क्रिप्टोग्राफ़िक रूप से सुरक्षित रैंडम स्रोत द्वारा जनरेट किए गए 16 कैरेक्टर के पासवर्ड में लगभग 105 बिट एन्ट्रॉपी होती है और आज की तारीख में इसे ब्रूट फ़ोर्स से तोड़ना संभव नहीं है।

बारह कैरेक्टर व्यावहारिक रूप से न्यूनतम हैं, सोलह या उससे ज़्यादा की सलाह दी जाती है, और अहम अकाउंट (ईमेल, बैंकिंग, पासवर्ड मैनेजर का मास्टर पासवर्ड) के लिए बीस से ज़्यादा बेहतर हैं। हर कैरेक्टर के लिए 95 विकल्प हों तो 12 कैरेक्टर से 79 बिट, 16 से 105 बिट और 20 से 131 बिट एन्ट्रॉपी मिलती है। एन्ट्रॉपी बढ़ाने का सबसे आसान तरीका लंबाई है, क्योंकि हर अतिरिक्त कैरेक्टर हमलावर का काम कई गुना बढ़ा देता है, जबकि प्रतीकों और केस की जटिलता से फ़र्क थोड़ा ही पड़ता है। अगर कोई सिस्टम पासवर्ड को 12-16 कैरेक्टर तक सीमित करता है, तो जितनी अधिकतम लंबाई की अनुमति हो उतनी रखें और जनरेटर का इस्तेमाल करें।

पहले, पासफ्रेज़ क्या है? यह बस कई रैंडम शब्दों को जोड़कर बना पासवर्ड है, जैसे 'correct-horse-battery-staple', न कि अक्षरों, अंकों और प्रतीकों का गड्डमड्ड। इसका फायदा यह है कि 'x7$Kp2!qLm' जैसी किसी चीज़ की तुलना में शब्दों को याद रखना और टाइप करना इंसान के लिए कहीं आसान होता है। क्या ये ज़्यादा सुरक्षित हैं? तभी, जब ये पर्याप्त लंबे हों। EFF वर्डलिस्ट (7,776 शब्द) से बना चार शब्दों का पासफ्रेज़ 51 बिट एन्ट्रॉपी देता है, जो 9 कैरेक्टर के रैंडम पासवर्ड से भी कमज़ोर है। छह शब्द 77 बिट देते हैं, जो लगभग 12 रैंडम कैरेक्टर के बराबर है। पासफ्रेज़ याद रखने की सुविधा के बदले एन्ट्रॉपी घनत्व छोड़ देते हैं, इसलिए रैंडम पासवर्ड जितनी मज़बूती पाने के लिए इन्हें ज़्यादा शब्दों की ज़रूरत होती है। सबसे अच्छा तरीका: जिस एक पासवर्ड को आपको याद रखना ही है (आपका डिवाइस लॉगिन या पासवर्ड मैनेजर का मास्टर पासवर्ड), उसके लिए लंबा पासफ्रेज़ इस्तेमाल करें, और बाकी सब के लिए जनरेटर से रैंडम पासवर्ड बनवाएं, क्योंकि उन्हें मैनेजर आपके लिए याद रखता है।

नहीं। यह जनरेटर पूरी तरह आपके ब्राउज़र में चलता है और WebCrypto API (window.crypto.getRandomValues) का इस्तेमाल करता है, जो ऑपरेटिंग सिस्टम पर आधारित, क्रिप्टोग्राफ़िक रूप से सुरक्षित रैंडमनेस का स्रोत है। पासवर्ड आपके डिवाइस पर ही बनता है, सिर्फ़ आपको दिखता है और कहीं नहीं भेजा जाता। सर्वर सिर्फ़ पेज की फ़ाइलें भेजता है और उसे पता नहीं चलता कि क्या जनरेट हुआ। इसलिए आप इस टूल को अपने असली, ज़रूरी अकाउंट के लिए भी बेझिझक इस्तेमाल कर सकते हैं।

अगर वेबसाइट पासकी की सुविधा देती है, तो हां, वे ज़्यादा सुरक्षित विकल्प हैं। पासकी पासवर्ड की जगह पूरी तरह ले लेती है: टाइप किए जाने वाले किसी सीक्रेट के बजाय, आपका फोन या लैपटॉप हर साइट के लिए एक अनोखी कुंजी बनाता है और उसे आपके फिंगरप्रिंट, चेहरे या डिवाइस PIN से अनलॉक करता है। चूंकि इसमें टाइप करने, दोबारा इस्तेमाल करने या किसी नकली लॉगिन पेज को सौंपने के लिए कुछ होता ही नहीं, पासकी को न फ़िशिंग से चुराया जा सकता है, न अनुमान या ब्रूट-फोर्स से तोड़ा जा सकता है, और यह कभी आपके डिवाइस से बाहर नहीं जाती, इसलिए किसी साइट पर डेटा ब्रीच होने पर भी यह उजागर नहीं होती। कमी यह है कि इसका सपोर्ट अभी बढ़ ही रहा है, और पासकी को एक डिवाइस से दूसरे पर ले जाना आपके फोन या ब्राउज़र के इकोसिस्टम पर निर्भर करता है। व्यावहारिक तरीका यह है कि जहां भी उपलब्ध हो, पासकी इस्तेमाल करें, और जो साइटें अभी इन्हें सपोर्ट नहीं करतीं, उनके लिए पासवर्ड मैनेजर में लंबा, जनरेट किया गया पासवर्ड रखें। दोनों एक-दूसरे के प्रतिस्पर्धी नहीं, बल्कि पूरक हैं।

और भी प्राइवेसी टूल

निजी डेटा सुरक्षित रूप से साझा करने के लिए ज़रूरी हर चीज़, एक ही जगह। पूरी तरह मुफ़्त, शुरू करने के लिए अकाउंट की ज़रूरत नहीं, और सब कुछ आपके ब्राउज़र में चलता है।

SecretNote

निजी नोट लिखें, एक बार इस्तेमाल होने वाला लिंक बनाएं और उसे साझा करें। नोट पढ़े जाते ही अपने आप नष्ट हो जाता है। न कुछ स्टोर होता है, न कुछ लीक होता है।

सीक्रेट नोट बनाएं →

SecretScreen

स्क्रीनशॉट अपलोड करें और अपने आप मिट जाने वाला शेयर लिंक पाएं। इमेज को अपलोड से पहले एन्क्रिप्ट किया जाता है और पहली बार देखे जाने के बाद हटा दिया जाता है। कोई स्थायी होस्टिंग नहीं।

स्क्रीनशॉट साझा करें →

SecretFile

कोई भी फ़ाइल अपलोड करें और एक बार इस्तेमाल होने वाले डाउनलोड लिंक के ज़रिए साझा करें। फ़ाइल एंड-टू-एंड एन्क्रिप्टेड होती है और प्राप्तकर्ता के डाउनलोड करते ही स्थायी रूप से हटा दी जाती है।

सीक्रेट फ़ाइल भेजें →

हैश जनरेटर

अपने ब्राउज़र में तुरंत MD5, SHA-1, SHA-224, SHA-256, SHA-384 और SHA-512 हैश बनाएं। आपका इनपुट कभी सर्वर पर नहीं भेजा जाता।

हैश बनाएं →