Verifica sicurezza password e codice del misuratore
Verifica sicurezza password
Verifica sicurezza password + codice del misuratore per i form di registrazione | We.Inc
Scopri quanto è indovinabile una password, interamente nel tuo browser, con stime dei tempi di cracking e gli schemi che la indeboliscono. Poi copia un misuratore di sicurezza in React o JavaScript puro con il pulsante mostra password.
Una password robusta è una password che un attaccante non riesce a indovinare in un numero ragionevole di tentativi. Conta soprattutto la lunghezza, poi evitare password comuni, parole, sequenze di tasti e date. Digita una password qui sotto per una stima offline dei tentativi e del tempo di cracking, poi copia un misuratore pronto con il pulsante mostra password per il tuo form di registrazione.
Cosa chiedono ai form di registrazione le attuali linee guida NIST
Regola
NIST SP 800-63B
Lunghezza minima
15 caratteri quando la password è l'unico fattore; 8 quando è usata con un altro fattore
Lunghezza massima
Consenti almeno 64 caratteri
Regole di composizione (deve contenere un simbolo...)
Non imporle
Cambi periodici obbligatori
Non richiederli; imponi un cambio solo dopo una compromissione
Blocklist
Rifiuta password comuni, prevedibili o violate
Incolla e password manager
Consentili
Lo strumento scompone la tua password nei pezzi che un attaccante proverebbe per primi e moltiplica i tentativi necessari per ciascun pezzo. Nulla di ciò che digiti lascia questa pagina. Più sotto trovi due misuratori di sicurezza da incollare in un form di registrazione, uno per React con Tailwind e uno in JavaScript puro.
Digita una password. La stima si aggiorna a ogni tasto e non lascia mai il tuo browser.
Leggi il punteggio da molto debole a molto robusta, il numero stimato di tentativi e il tempo per craccarla in quattro scenari di attacco.
Guarda quali parti sono state riconosciute come password comuni, parole, sequenze di tasti, sequenze, ripetizioni o anni, con un avviso per ciascuna.
Copia il misuratore React o JavaScript puro per il tuo form. Entrambi includono un pulsante mostra password e annunciano i cambiamenti agli screen reader.
Tre o quattro parole casuali di seguito battono un breve miscuglio di simboli, e sono molto più facili da digitare su un telefono.
Usa un password manager e lascia che generi le password. La password migliore è quella che non devi mai ricordare.
Nel tuo form di registrazione, controlla le nuove password sul server rispetto a un elenco di violazioni. Have I Been Pwned offre una range API gratuita che non riceve mai l'hash completo della password.
Imposta autocomplete="new-password" sui campi di registrazione e autocomplete="current-password" sui campi di accesso, così i password manager propongono l'azione giusta.
Domande frequenti
È sicuro digitare qui la mia vera password?
Il controllo avviene interamente nel tuo browser e la pagina non fa nessuna richiesta di rete con ciò che digiti. Ciononostante, l'abitudine più sicura è testare una password con la stessa struttura della tua, non quella vera.
Quanto è accurato il tempo di cracking?
È una stima. Lo strumento usa brevi elenchi integrati di password e parole comuni, quindi una password costruita su una parola meno comune può ottenere qui un punteggio più alto di quanto meriti. I quattro scenari presuppongono velocità di attacco tipiche, da un form di login con limite di tentativi a un database rubato con un hash veloce. Gli attaccanti reali usano anche elenchi di password trapelate e regole molto più grandi di qualsiasi cosa una pagina web possa includere.
Il mio form di registrazione dovrebbe richiedere un simbolo e un numero?
Le attuali linee guida NIST dicono di no. Le regole di composizione spingono le persone verso schemi prevedibili come Password1!, che rispettano la regola ma cadono comunque ai tentativi. Una lunghezza minima più un controllo contro password comuni e violate fa di più per la sicurezza.
Perché il mio form ha bisogno di un pulsante mostra password?
I campi mascherati causano errori di battitura, soprattutto sui telefoni, e gli errori portano a blocchi dell'account e reimpostazioni della password. Un pulsante permette di controllare ciò che si è digitato. Usa un vero button con un'etichetta chiara e fai passare il tipo del campo tra password e text.
Il codice del misuratore controlla le password rispetto alle violazioni?
No. I misuratori valutano nel browser lunghezza, varietà e alcuni schemi evidenti, così le persone ricevono un riscontro rapido. Il vero filtro deve stare sul tuo server: lì imponi la lunghezza minima e rifiuti le password presenti negli elenchi di violazioni.
Perché la lunghezza batte la complessità
Ogni carattere in più moltiplica il numero di password possibili. Aggiungere una lettera minuscola casuale lo moltiplica per 26, mentre sostituire una a con @ in una parola non aggiunge quasi nulla, perché gli attaccanti applicano queste sostituzioni in automatico.
Ecco perché la stima premia le passphrase lunghe. Quattro parole scollegate tra loro possono raggiungere la fascia più robusta restando facili da digitare, purché non siano una frase famosa o il verso di una canzone.
Costruire un misuratore di cui ci si fida
Un buon misuratore dà un riscontro che corrisponde esattamente alle regole del server. Se il misuratore dice robusta e poi il server rifiuta la password, le persone smettono di fidarsi di entrambi. Tieni le regole in un unico posto e mostra gli stessi messaggi in ciascuno.
Annuncia i cambiamenti in modo non invasivo con aria-live, così chi usa uno screen reader sente il risultato senza perdere il punto, e non affidarti mai al solo colore: abbina alla barra un'etichetta testuale come Debole o Robusta.
Misuratore di sicurezza React + Tailwind con mostra password
Un campo password controllato con un pulsante mostra e nascondi, una barra a quattro livelli, una checklist delle regole e un'etichetta testuale dinamica per gli screen reader.
Misuratore in HTML e JavaScript puro
La stessa idea senza framework. Incollalo in qualsiasi pagina; lo script tocca solo gli elementi dentro il wrapper.
Molto debole
Debole
Discreta
Robusta
Molto robusta
password comune
parola di uso comune
sequenza di tasti
caratteri casuali
Contiene una delle password più comuni. Gli attaccanti le provano per prime.
Contiene una parola di uso comune. Sostituire lettere con simboli (a con @) aiuta pochissimo.
Contiene una sequenza di tasti vicini come qwerty o 1qaz.
Contiene una sequenza come abc o 1234.
Contiene caratteri ripetuti.
Contiene un anno. Gli anni di nascita e quelli recenti vengono provati presto.
Più corta di 15 caratteri. La lunghezza aggiunge più sicurezza dei simboli.
Online, con limite di tentativi (100 tentativi all'ora)
Online, senza limite di tentativi (10 tentativi al secondo)
Database rubato, hash lento come bcrypt (10 mila al secondo)
Database rubato, hash veloce come MD5 (10 miliardi al secondo)
Verifica una password
Password (resta su questo dispositivo)
Nascondi
Mostra
circa 10^{n} tentativi
Tempo medio per indovinarla
Inizia a digitare per vedere la stima.
Codice del misuratore di sicurezza
Due misuratori da incollare in un form di registrazione. Mantieni le regole del server uguali a quelle del misuratore.
Prova il misuratore in JavaScript puro
Misuratore di password funzionante in JavaScript puro