パスワードの強さの計算
文字数と使っている文字の種類を選ぶと、組み合わせの数と、総当たりで試し終わるまでにかかる時間の目安を出します。アメリカ国立標準技術研究所（NIST）が求める15文字以上を満たしているかもわかります。
くわしい条件を変える（なくても計算できます）
計算方法
組み合わせの数 ＝ 文字の種類の数 文字数、全部試し終わる時間 ＝ 組み合わせの数 ÷ 1秒に試せる回数
例：小文字・大文字・数字（62種類）で12文字なら、組み合わせは62の12乗で約10の21乗通りです。1秒に10億回試せるとすると、全部試し終わるまでに10の4乗年ほどかかる計算になります。平均では、その半分ほどで当たります。
数字だけ大きくても安全とは限らない
この計算は、1文字ずつ順番にすべて試す場合の数です。辞書にある言葉や名前、生年月日、キーボードの並びを使っていると、それらを先に試されるため、計算よりずっと早く見つかります。
NISTが示していること
アメリカ国立標準技術研究所（NIST）のSP 800-63B（第4版、2025年8月26日）は、サービスを作る側に次のことを示しています。
- パスワードだけで本人確認をする場合は15文字以上を求める
- 64文字以上の長さを受け付けられるようにする
- 文字の種類を混ぜる決まりを課さない
- 定期的な変更を求めない
- すでに漏れたパスワードの一覧と照らし合わせる
長さを増やすほうが、種類を混ぜるより効きます。
出典：アメリカ国立標準技術研究所（NIST）SP 800-63B-4「Digital Identity Guidelines: Authentication and Authenticator Management」（2025年8月26日。15文字以上を求める、64文字以上を受け付ける、文字の種類を混ぜる決まりを課さない、定期的な変更を求めない、漏れたパスワードの一覧と照合する）、計算式の定義（同じ文字の種類から1文字ずつ選ぶときの組み合わせの数は、種類の数を文字数ぶん掛け合わせた値になるという定義によるもの）
よくある質問
何文字あれば安心？
アメリカ国立標準技術研究所（NIST）は、パスワードだけで本人確認をする場合に15文字以上を求めています。ただし文字数だけでは決まりません。ほかのサービスと同じパスワードを使い回していると、1か所から漏れただけで他も破られます。
記号を混ぜたほうがいい？
組み合わせの数は増えますが、NISTは文字の種類を混ぜる決まりを課さないよう示しています。覚えにくくして紙に書いてしまうくらいなら、長くて覚えやすい言葉のつながりにするほうが実際には安全です。
定期的に変えたほうがいい？
NISTは、定期的な変更を求めないよう示しています。ただし、漏れたおそれがあるときは必ず変える必要があります。
この時間があれば絶対に安全？
いいえ、目安です。実際の安全性は、同じパスワードを使い回していないか、二段階認証を使っているか、そのサービスがパスワードをどう保管しているかで大きく変わります。