Оценка стойкости пароля
Проверка надёжности пользовательского пароля: энтропия, время подбора оффлайн и (по запросу) сверка с базой утечек Have I Been Pwned.
Результат расчёта
Введите пароль — например, Aa1!b2c3. Оценка появится под полем, пароль никуда не уйдёт до «Рассчитать»
Калькулятор оценивает стойкость вашего пароля: считает битовую энтропию, вычитает штрафы за человеческие шаблоны и показывает, за сколько его подберут в трёх сценариях атаки. Новый пароль можно сразу создать на странице генератора паролей — он работает по той же шкале. Оба инструмента живут в категории «Математические» — там же остальные калькуляторы раздела.
Как читать результат
Калькулятор показывает битовую энтропию, оценку от 0 до 100 и время подбора в трёх сценариях атаки. Чем выше энтропия — тем надёжнее пароль. Онлайн-форма с задержкой даёт 100 попыток в секунду, одиночная видеокарта — 10⁴, ферма по украденному хешу — 10¹⁰.
Онлайн-форма
100 попыток/с
Стандартная веб-форма с rate-limit
GPU-подбор
10⁴ попыток/с
Одиночная видеокарта
Ферма SHA-1
10¹⁰ попыток/с
Оффлайн-подбор по украденному хешу
Приватность
Введённый пароль не сохраняется ни в базе, ни в логах, ни в браузерной истории. Если сверка с базой утечек включена, она выполняется по протоколу k-anonymity: на сервер HIBP уходит только префикс SHA-1 из 5 hex-символов, по которому нельзя восстановить пароль.
Как считается
Базовая энтропия — формула Шеннона: H = длина × log2(размер алфавита). При полном наборе классов алфавит — 94 символа, ≈ 6,6 бита на символ и около 65 бит базовой неопределённости. Из неё вычитаются штрафы за паттерны: словарное слово, клавиатурная или алфавитная последовательность, повтор символа, короткая длина, год. Итог переводится в оценку 0–100 логистической кривой, где 60 бит дают ≈ 50, а 80 бит ≈ 80. Вердикт: от 80 — «Очень надёжный», от 60 — «Надёжный», от 40 — «Средний», от 20 — «Слабый», ниже — «Очень слабый».
Пример с числами
Возьмём Qwerty123!: десять символов, алфавит 94, базовая энтропия 65,5 бита. Штрафы съедают 22,3 бита — 16,3 за словарное qwerty и 6,0 за последовательность 123. Итог — 43,2 бита и оценка 61 из 100 («Надёжный»): онлайн-подбор займёт 3 204 года, видеокарта справится за 32 года, ферма SHA-1 — за 17 минут. Сравните с Tr0ub4dor&3: одиннадцать символов дают 72,1 бита без штрафов, оценка 79 из 100 — ферме понадобится 16 049 лет. Пароль короче на символ, но надёжнее на треть: энтропия считает неопределённость, а не впечатление от строки.
Частые ошибки
- Считать, что спецсимволы спасают всегда: восемь символов со всеми классами дают ≈ 53 бита, шестнадцать строчных букв — ≈ 75.
- Путать базовую и итоговую энтропию: строка с qwerty или 123 внутри теряет треть бит ещё до расчёта времени подбора.
- Игнорировать проверку утечек: даже стойкий пароль из чужой базы нужно менять — калькулятор об этом скажет.
Что влияет на результат
Главный рычаг — длина: каждый символ добавляет log2 от алфавита, и энтропия растёт линейно. Второй — размер алфавита: цифры, заглавные и спецсимволы расширяют его с 26 до 94. Третий — паттерны: словарные слова, последовательности и повторы режут биты сильнее состава. Четвёртый — сценарий атаки: онлайн-задержка и офлайн-перебор по хешу отличаются на восемь порядков. Замену подберёт генератор паролей: он гарантирует хоть по символу из каждого выбранного набора.
Чем отличаются соседние калькуляторы
Здесь пароль измеряется: энтропия, штрафы, время подбора и сверка с утечками. Генератор паролей — обратная операция: создаёт строку нужной длины из выбранных наборов и оценивает её той же шкалой.
Связанные калькуляторы
Частые вопросы
Сохраняется ли введённый пароль?
Нет. Пароль существует только в памяти запроса: он приходит по HTTPS на бэкенд, участвует в расчёте энтропии и возвращается в браузер. Ни в БД, ни в логах, ни в файловой системе он не сохраняется.
Как проверяется утечка по Have I Been Pwned?
По протоколу k-anonymity: на сервер HIBP уходит только первые 5 hex-символов SHA-1 от пароля. В ответ приходит список суффиксов из 35 символов и количество утечек. Сам пароль целиком никогда не отправляется наружу. Сверка включается галочкой «Проверить по базе утечек»; если на сервере она отключена, калькулятор прямо сообщает об этом и добавляет к оценке пометку «без проверки утечек».
Почему длина важнее разнообразия символов?
Энтропия растёт линейно от длины и логарифмически от размера алфавита. Пароль из 16 строчных букв (log2(26^16) ≈ 75 бит) надёжнее пароля из 8 символов с цифрами, буквами и спецзнаками (log2(94^8) ≈ 53 бита).
Что такое «оффлайн-подбор»?
Это сценарий, в котором злоумышленник уже получил хеш-таблицу (например, через утечку БД) и подбирает пароли локально на своём железе со скоростью 10⁴–10¹⁰ SHA-1 в секунду: от одиночной видеокарты до фермы на тысячи GPU. Защититься от него можно только высокой энтропией — задержка онлайн-формы здесь не помогает.
Что значат штрафы в результате?
Каждый штраф — это найденный паттерн, снижающий реальную энтропию: словарное слово уменьшает неопределённость, повтор символа сжимает пространство поиска, короткий пароль делает атаку перебором реалистичной.