パスワードの強度をチェックする方法｜無料ツールで今すぐ安全か確認する基準と使い方

パスワードの強度に対する漠然とした不安は抱えていながら、具体的な改善策が見つからずそのままにしていませんか。私も以前は同じ状況にありました。「大文字を混在させれば安全だろう」と思い込み、Passw0rd!のような文字列を複数のサービスで使い回していたのです。しかし後に判明したのは、その単純なパターンこそが攻撃者が最初に試みる手口であるという事実でした。

今回の記事では、パスワードの強さを数値で測るエントロピーという指標について説明します。無料で利用できる強度チェックツールや、既存のパスワードをまとめて管理する方法も紹介しています。数値は公式情報や公開データをもとに計算・確認しています。

---

パスワード強度とエントロピー

パスワードの強さは、総当たり攻撃（ブルートフォース）によって解読されるまでに要する時間を指します。この指標は「エントロピー」という単位で数値化されており、ビット（bit）で表すことが可能です。

エントロピーの計算式はシンプルで、エントロピー = 文字数 × log₂（文字の種類数）と表されます。たとえば小文字のみ（26種類）を使った8文字のパスワードの場合、エントロピーは 8 × log₂(26) ≈ 37.6ビットとなります。

この式でエントロピーを計算し、その数値をもとに、GPU（10億回/秒）で実行するブルートフォース攻撃の解読時間を推定した結果を、次の図に示します。

計算すると、Passw0rd のような「大文字+小文字+数字」の組み合わせでも、エントロピーは47.6ビットで、GPU攻撃なら2.5日で解読できてしまうという結果になりました。一方、同じ文字数でも4種の文字をランダムに使った16文字は104.9ビットとなり、現実的な攻撃では解読不能な水準になります。

NISTの現在の見解では、文字の複雑さよりも長さのほうが重視されています。この立場を示すのがNIST SP 800-63Bです。これは米国国立標準技術研究所が策定したデジタルアイデンティティガイドラインで、2017年に制定され、2025年8月に改訂版（SP 800-63B-4）が公開されました。改訂版では、パスワードだけで認証する場合は最低15文字（多要素認証の一部なら最低8文字）とし、64文字以上の長さを受け付けること、定期的な変更を求めないことを定めています（出典: （英語）NIST SP 800-63B-4、2026年10月確認）。IPAや総務省の指針も同じ方向性を示しています。IPAの「安全なウェブサイトの作り方」（出典: IPA公式）と総務省の「国民のためのサイバーセキュリティサイト」（出典: 総務省公式）の内容を確認したところ、2026年6月時点でも同様の考え方が確認できました。

「よくあるパスワード」の漏洩件数

パスワードの強度評価において、漏洩データベースへの登録状況は無視できません。過去の大規模データ侵害で流出したパスワードは、攻撃者の辞書リストに直ちに組み込まれてしまいます。そのため、文字数が長くても、すでに漏洩が確認されているパスワードの利用は避けることをおすすめします。

HaveIBeenPwned（HIBP）のAPI v3を用いて、代表的な弱いパスワードの漏洩件数を照会しました。このサービスは「k-anonymity」方式を採用しているため、サーバーへ送信するのはパスワードのSHA-1ハッシュ先頭5文字のみで、パスワード自体が外部に漏れることはありません（出典: Have I Been Pwned Passwords、API利用・2026年6月）。

検証の結果、衝撃的な数値が明らかになりました。「123456」は約2億1,000万回、「password」は約5,200万回、「admin」は約4,200万回も漏洩データの中に登場しています（2026年10月時点）。これらのパスワードを使用していた場合、攻撃者はブルートフォース攻撃を行わずとも、単純なリストマッチングで容易に突破できてしまいます。一方で、ランダムに生成した16文字のパスワード（3kRp$vL9!mNqW2@x相当）については登録件数ゼロという結果になりました。

HIBPでの確認手順は、Have I Been Pwned パスワード照会ページへアクセスしてパスワードを入力するだけで済みます。この際、入力された値はブラウザ側でSHA-1ハッシュ化してから照会が実行されます。なお、1PasswordのWatchtowerやBitwardenのデータ漏洩レポートも、HIBPのデータを利用しています。

無料パスワード強度チェックツール3選

単独でパスワードを入力して強度を確認できる無料ツールをいくつか実際に確認しました。選ぶ際に重要なのは、「入力したパスワードがサーバーに送信されないか」という点です。

① HaveIBeenPwned

セキュリティ研究者Troy Hunt氏が運営するサービスは、2026年10月時点で178億件以上の漏洩アカウントが登録されています。k-anonymity方式を採用しているほか、APIも公開されているため透明性が高いと言えます。このパスワードが漏洩済みかどうかを確認したい場合は、最も信頼できるサービスとして利用することをおすすめします。

② Bitwardenパスワードジェネレーター

Bitwardenが提供するこの公開ツールでは、強度チェックとパスワード生成を同時に実行できます。入力された値はブラウザ内のみで処理されるため、サーバーへの送信は行われません。生成したパスワードの強度の目安と推定解読時間が表示されるため、自分のパスワードがどれほど強力かを把握しやすいのが特徴です。

③ 1Passwordパスワードジェネレーター

1Passwordが提供するこのWebツールは、アカウント登録なしで利用できます。スライダーを操作して文字数や文字種を調整すると、生成したパスワードの強度がリアルタイムで表示されます。UI/UXが直感的にわかりやすいため、初めてパスワードジェネレーターを使う方にもおすすめです。

強いパスワードの3つの条件

NIST SP 800-63BとOWASP Authentication Cheat Sheet（出典: （英語）OWASP Authentication Cheat Sheet）は、パスワードだけで認証する場合は15文字以上（多要素認証と併用なら8文字以上）を最低ラインとし、64文字以上の長さを受け付けるよう求めています。これらの基準と前述のエントロピー計算を総合すると、強いパスワードには3つの条件があることがわかります。

① 長さ：最低16文字以上

前述の計算結果から、パスワードの文字数が増加するにつれてエントロピーが急激に高まる傾向が確認できました。16文字のランダムパスワードは104.9ビットの強度に達し、現代のGPUを用いた攻撃でも現実的な時間内に解読するのは不可能です。NISTの最低基準は15文字（多要素認証と併用なら8文字）ですが、実用上の安全性を考えると16文字以上を設定することをおすすめします。

② 文字種：4種すべてを使う

小文字・大文字・数字・記号を組み合わせると、利用可能な文字プールは最大で94種類に広がります。同じ16文字であっても、小文字のみの26種と4種混在の94種では、エントロピーに約30ビットの差が出ました。この差は解読時間に換算すると、何百万倍もの時間差につながります。

③ 予測困難性

Passw0rd!のような「単語+数字+記号」の組み合わせは、攻撃者が熟知している典型的なパターンです。表面的なエントロピーが高くても、辞書攻撃に対しては脆弱な状態にあります。真に安全なパスワードとは、人間が意図的に作成したものではなく、コンピューターがランダムに生成したものであることが必要です。

既存パスワードのまとめチェック方法

パスワードマネージャーを利用しているユーザーであれば、保存済みのパスワードをまとめてスキャンする機能を活用できます。1Password、NordPass、Bitwardenの3つのサービスについて、各社の公式情報を基に機能を確認しました。

今回の記事では、3つのサービスを比較した際に注目すべきポイントをいくつかご紹介します。まず、1Passwordの「Watchtower」は、弱いパスワードや重複、漏洩情報の検知に加え、2FAが未設定のサイトも通知してくれる点が他社にはない特徴です。次に、Bitwardenは無料プランでもデータ漏洩レポートを利用でき、弱い・使い回し・漏洩パスワードの一括レポートはPremiumで使えます。最後に、NordPassはPremiumプランへのアップグレードが必須ですが、漏洩モニタリングと健全性スキャンの機能を備えています。

参考までに、各社公式サイトのHTTPセキュリティヘッダー（HSTS・CSPなど）の設定も確認しました（2026年6月時点）。ただ、ヘッダーの返り方は確認方法や時期によって変わり、ボット対策の画面が返るサイトもあるため、点数での比較は控えます。これはWebサイト側の設定であり、保管データの暗号化やゼロ知識設計の強さとは別の話です。

パスワード管理アプリおすすめ比較【2026年版】では各サービスの詳細な比較情報をまとめています。さらに、パスワードが漏洩していないかどうかを確認する方法についても解説しています。

強いパスワードの自動生成と管理

人間が毎回ランダムな16文字以上のパスワードを作成し、それを記憶するのは困難です。そのため、生成と記憶の両方をパスワードマネージャーに任せることが解決策となります。

各社の料金プランを公式ページで確認しました（2026年10月時点）。

Bitwardenは年$19.80（月換算で約1.65ドル）のPremiumプランで弱い・使い回し・漏洩パスワードを含む健全性レポートが使えます。無料プランでもデータ漏洩レポートは利用でき、全デバイス同期もできます。費用対効果では最も優れています。1Passwordは月$3.99（年払い$47.88。新規登録者は初年度のみ月$2.99、2026年10月時点）でWatchtowerによる包括的な監視が受けられ、日本語サポートが完全に整っています（出典: 1Password公式サインアップページ、2026年6月確認）。NordPass Premiumは月1〜2ドル程度（契約期間や時期により変動、2026年10月時点）で中間の選択肢です。

最新の正確な価格は1Password公式サイト・NordPass公式サイト・Bitwarden公式サイトでご確認ください。

1Passwordの自動生成手順

実際の操作は非常に分かりやすい構成になっています。具体的な進め方は、次のとおりです。

1. まず1Passwordに登録し、ブラウザ拡張機能をインストールしてください。14日間の無料トライアルも利用できます。
2. 次に、対象サービスのパスワード変更ページへアクセスします。
3. 1Passwordが「パスワードを生成しますか？」と表示した際、その提案を受け入れる操作を行います。
4. この手順で生成されたランダムなパスワードは、自動的に保存されます。
5. 次回ログインする際は1Passwordが自動入力してくれるため、パスワードを記憶しておく必要はありません。

よくある質問

最後に、パスワードの強度チェックについてよくある質問を以下にまとめておきます。

無料のパスワード強度チェックツールにパスワードを入力しても大丈夫？

HaveIBeenPwned、Bitwarden、1Passwordといった透明性の高い組織が提供するツールであれば、入力値がサーバーに送信されないクライアント側処理やk-anonymityの仕組みを採用しているため、安全に利用できます。一方で、運営者が不明なサードパーティサービスに対しては、実際に使っているパスワードを入力するのは避けてください。強度チェックを行う際には、架空のパスワード例やジェネレーターで作成した新しいパスワードを使うのが賢明です。

エントロピーは何ビット以上で安全？

パスワードの強度を測る一般的な目安としては、80ビット以上あれば現在の計算機能力では解読が非現実的とされています。ランダムな16文字・4種混在のパスワードは約105ビットに達する計算です。NIST SP 800-63B-4ではパスワードだけで認証する場合に15文字以上を求めていますが、2026年現在のGPU性能を考えると実用上は16文字以上（80ビット以上）が安全圏です。

パスフレーズはパスワードより強い？

A. 長さが確保できれば、はい。「correct-horse-battery-staple」（28文字）のようなパスフレーズは文字数こそ長いものの、攻撃者が単語単位で推測する場合の強さは単語の数で決まります（EFFの7,776語リストなら1単語あたり約12.9ビットで、4単語では約52ビット）。単語をランダムに選び、6単語以上にする（EFF Dicewareリストを推奨）と約77ビットとなり、実用的な強さになります。人間が覚える必要があるマスターパスワードなどに向いています。

同じパスワードを複数サービスで使っていた場合

A. 優先度をつけて順番に変更してください。まず金融機関・メール・SNS（特にSMS認証に使っている電話番号と紐づくサービス）から変更するのが鉄則です。パスワード管理の方法の記事で手順を詳しく解説しています。パスワードマネージャーを導入してから変更作業を行うと、新しいランダムパスワードを自動生成・保存できて効率的です。

Googleパスワードマネージャーの強度チェック機能で十分？

A. パスワードの弱さ・重複・漏洩（Google独自のデータで照合）を検出する機能は備わっていますが、2FA未設定サイトの通知は提供されていません。また、Chrome/Googleエコシステム以外のサービスとの連携も限定的で、iOSアプリでの自動入力にも制限があります。ChromeのパスワードマネージャーとNordPassの比較で詳しく解説しています。

まとめ

パスワードの強度を客観的に評価する指標として「エントロピー」という数値があります。加えて、実際の測定データを確認したところ、「password」は約5,200万回、「123456」は約2億1,000万回も漏洩データに登場されていることがわかりました。そのため、これらを使用すること自体がリスクにつながると考えます。

あなたの状況	おすすめ	理由
今使っているPWが安全か確認したい	HaveIBeenPwned	無料・パスワード送信なし・漏洩件数が即わかる
強いパスワードを無料で生成したい	Bitwardenジェネレーター	エントロピー表示あり・サーバー送信なし
既存PW全部を一括チェックしたい（無料）	Bitwarden Free	全デバイス同期・データ漏洩レポートが無料
漏洩監視まで含めて管理したい	1Password	Watchtowerで漏洩・弱・重複・2FAを一括監視
コスト重視で漏洩チェックもしたい	Bitwarden Premium	年$19.80で弱い・使い回し・漏洩パスワードを一括チェック

各サービスにランダム生成した16文字以上のパスワードを設定し、パスワードマネージャーに管理させることが最終的なゴールです。「パスワードの強度チェック」はあくまで手段であり、目的ではありません。この状態を実現すれば、パスワードの強度を心配する必要がそもそもなくなります。