Wachtwoordsterkte-checker + code voor een sterktemeter in aanmeldformulieren | We.Inc
Check hoe raadbaar een wachtwoord is, volledig in uw browser, met schattingen van de kraaktijd en de patronen die het verzwakken. Kopieer daarna een sterktemeter in React of gewone JavaScript met een knop om het wachtwoord te tonen.
Een sterk wachtwoord is een wachtwoord dat een aanvaller niet binnen een redelijk aantal pogingen kan raden. Lengte telt het zwaarst, daarna het vermijden van veelgebruikte wachtwoorden, woorden, toetsenbordreeksen en datums. Typ hieronder een wachtwoord voor een offline schatting van het aantal pogingen en de kraaktijd, en kopieer daarna een kant-en-klare sterktemeter met een knop om het wachtwoord te tonen voor uw eigen aanmeldformulier.
Wat de huidige NIST-richtlijnen van aanmeldformulieren vragen
Regel
NIST SP 800-63B
Minimale lengte
15 tekens als het wachtwoord de enige factor is; 8 bij gebruik met een andere factor
Maximale lengte
Sta minstens 64 tekens toe
Samenstellingsregels (moet een symbool bevatten...)
Leg ze niet op
Verplichte periodieke wijzigingen
Vereis ze niet; dwing een wijziging alleen af na een inbreuk
Blokkeerlijst
Weiger veelgebruikte, voorspelbare of gelekte wachtwoorden
Plakken en wachtwoordmanagers
Sta ze toe
De checker splitst uw wachtwoord in de stukken die een aanvaller als eerste zou proberen en vermenigvuldigt het aantal pogingen dat elk stuk vraagt. Niets wat u typt verlaat deze pagina. Daaronder staan twee sterktemeters die u in een aanmeldformulier kunt plakken, een voor React met Tailwind en een in gewone JavaScript.
Typ een wachtwoord. De schatting wordt bij elke toets bijgewerkt en verlaat uw browser nooit.
Lees de score van zeer zwak tot zeer sterk, het geschatte aantal pogingen en de tijd om het te kraken in vier aanvalsscenario's.
Zie welke delen werden herkend als veelgebruikte wachtwoorden, woorden, toetsenbordreeksen, reeksen, herhalingen of jaartallen, met een waarschuwing bij elk.
Kopieer de meter in React of gewone JavaScript voor uw eigen formulier. Beide hebben een knop om het wachtwoord te tonen en melden wijzigingen aan schermlezers.
Drie of vier willekeurige woorden achter elkaar verslaan een korte warboel van symbolen, en ze zijn veel makkelijker te typen op een telefoon.
Gebruik een wachtwoordmanager en laat die wachtwoorden genereren. Het beste wachtwoord is er een dat u nooit hoeft te onthouden.
Controleer op uw eigen aanmeldformulier nieuwe wachtwoorden op de server tegen een lijst met lekken. Have I Been Pwned biedt een gratis range-API die nooit de volledige wachtwoordhash ontvangt.
Zet autocomplete="new-password" op aanmeldvelden en autocomplete="current-password" op inlogvelden zodat wachtwoordmanagers de juiste actie aanbieden.
Veelgestelde vragen
Is het veilig om hier mijn echte wachtwoord te typen?
De controle draait volledig in uw browser en de pagina doet geen netwerkrequest met wat u typt. Toch is het veiligst om een wachtwoord te testen met dezelfde opbouw als uw echte, niet het echte zelf.
Hoe nauwkeurig is de kraaktijd?
Het is een schatting. De checker gebruikt korte ingebouwde lijsten met veelgebruikte wachtwoorden en woorden, dus een wachtwoord met een minder gangbaar woord kan hier hoger scoren dan het verdient. De vier scenario's gaan uit van typische aanvalssnelheden, van een inlogformulier met rate limiting tot een gestolen database met een snelle hash. Echte aanvallers gebruiken ook gelekte wachtwoordlijsten en regels die veel groter zijn dan wat een webpagina kan meeleveren.
Moet mijn aanmeldformulier een symbool en een cijfer vereisen?
Volgens de huidige NIST-richtlijnen niet. Samenstellingsregels duwen mensen naar voorspelbare patronen zoals Password1!, die aan de regel voldoen en toch geraden worden. Een minimale lengte plus een controle tegen veelgebruikte en gelekte wachtwoorden doet meer voor de beveiliging.
Waarom heeft mijn formulier een knop nodig om het wachtwoord te tonen?
Gemaskeerde velden veroorzaken typfouten, vooral op telefoons, en typfouten leiden tot blokkades en wachtwoordresets. Met een schakelaar kunnen mensen controleren wat ze typten. Gebruik een echte knop met een duidelijk label en laat het veldtype wisselen tussen password en text.
Controleert de metercode wachtwoorden tegen lekken?
Nee. De meters beoordelen lengte, variatie en een paar voor de hand liggende patronen in de browser, zodat mensen snel feedback krijgen. De echte poort hoort op uw server: dwing daar de minimale lengte af en weiger wachtwoorden die in lijsten met lekken staan.
Waarom lengte wint van complexiteit
Elk extra teken vermenigvuldigt het aantal mogelijke wachtwoorden. Eén willekeurige kleine letter erbij vermenigvuldigt het met 26, terwijl een a vervangen door @ in een woord bijna niets toevoegt, omdat aanvallers die vervangingen automatisch toepassen.
Daarom beloont de schatting lange wachtzinnen. Vier niet-verwante woorden kunnen de sterkste categorie halen en toch makkelijk te typen blijven, zolang ze geen bekende uitdrukking of songtekst zijn.
Een meter bouwen die mensen vertrouwen
Een goede meter geeft feedback die precies overeenkomt met de regels van de server. Zegt de meter sterk en weigert de server het wachtwoord daarna, dan vertrouwen mensen geen van beide meer. Houd de regels op één plek en toon in beide dezelfde berichten.
Meld wijzigingen beleefd met aria-live zodat gebruikers van een schermlezer het resultaat horen zonder hun plek kwijt te raken, en vertrouw nooit alleen op kleur: combineer de balk met een tekstlabel zoals Zwak of Sterk.
Sterktemeter in React + Tailwind met wachtwoord tonen
Een gecontroleerd wachtwoordveld met een knop om te tonen en te verbergen, een balk in vier stappen, een checklist met regels en een live tekstlabel voor schermlezers.
Meter in gewone HTML en JavaScript
Hetzelfde idee zonder framework. Plak het in elke pagina; het script raakt alleen elementen binnen de wrapper aan.
Zeer zwak
Zwak
Redelijk
Sterk
Zeer sterk
veelgebruikt wachtwoord
alledaags woord
toetsenbordreeks
willekeurige tekens
Bevat een van de meest gebruikte wachtwoorden. Aanvallers proberen die als eerste.
Bevat een alledaags woord. Letters vervangen door symbolen (a naar @) helpt nauwelijks.
Bevat een reeks naast elkaar liggende toetsen zoals qwerty of 1qaz.
Bevat een reeks zoals abc of 1234.
Bevat herhaalde tekens.
Bevat een jaartal. Geboortejaren en recente jaren worden vroeg geraden.
Korter dan 15 tekens. Lengte voegt meer sterkte toe dan symbolen.
Online, met rate limiting (100 pogingen per uur)
Online, zonder rate limiting (10 pogingen per seconde)
Gestolen database, trage hash zoals bcrypt (10 duizend per seconde)
Gestolen database, snelle hash zoals MD5 (10 miljard per seconde)
Controleer een wachtwoord
Wachtwoord (blijft op dit apparaat)
Verbergen
Tonen
ongeveer 10^{n} pogingen
Gemiddelde tijd om het te raden
Begin met typen om de schatting te zien.
Code voor de sterktemeter
Twee meters die u in een aanmeldformulier kunt plakken. Houd de regels van de server gelijk aan die van de meter.