Tạo mật khẩu mạnh, kiểm tra độ mạnh mật khẩu

Tạo mật khẩu ngẫu nhiên hoặc cụm từ dễ nhớ, chấm điểm mật khẩu bạn đang dùng và kiểm tra nó đã nằm trong các vụ lộ dữ liệu chưa.

Miễn phí
Không cần đăng ký
Mật khẩu không rời máy

Độ dài: 16 ký tự

Chữ thường a–z Chữ HOA A–Z Số 0–9 Ký hiệu !@#… Bỏ ký tự dễ nhầm (0 O o l 1 I)

Chạy trên trình duyệt Mật khẩu không được lưu, không gửi về máy chủ Dorabot.

Trả lời nhanh: mật khẩu mạnh là chuỗi ngẫu nhiên từ 14–16 ký tự (hoặc cụm 5 từ trở lên chọn ngẫu nhiên), không chứa tên, ngày sinh, số điện thoại, chưa từng bị lộ, và mỗi tài khoản một mật khẩu riêng. Bấm Tạo lại để có mật khẩu mới, lưu vào trình quản lý mật khẩu, bật xác thực 2 bước.

Ba bước là xong

Chọn kiểu
Ngẫu nhiên (mạnh nhất), cụm từ dễ nhớ (gõ trên điện thoại dễ hơn) hoặc mã PIN.
Chỉnh độ dài
Kéo thanh độ dài, bỏ ký tự dễ nhầm nếu phải đọc cho người khác.
Chép và lưu
Bấm Chép, dán vào trang đổi mật khẩu và lưu vào trình quản lý mật khẩu.

Vì sao dùng công cụ này

Ngẫu nhiên thật

Dùng bộ sinh số ngẫu nhiên mật mã của trình duyệt (crypto.getRandomValues), không dùng Math.random.

Chấm điểm như kẻ gian đoán

Thư viện zxcvbn soi từ điển, tên, bàn phím, lặp lại; Dorabot thêm mẫu ngày sinh, số điện thoại Việt Nam.

Kiểm tra đã lộ

Tra kho mật khẩu bị lộ của Have I Been Pwned (Troy Hunt) theo cách k-anonymity: chỉ gửi 5 ký tự đầu mã băm.

Không lưu gì

Không có máy chủ nhận mật khẩu, không lưu lịch sử. Đóng trang là hết.

Hướng dẫn chi tiết

Mật khẩu thế nào là mạnh?

Kẻ gian không ngồi đoán từng chữ: chúng dùng máy thử hàng tỷ mật khẩu, bắt đầu từ danh sách mật khẩu đã lộ, từ điển, tên người, ngày tháng, rồi mới đến tổ hợp ngẫu nhiên. Vì vậy mật khẩu mạnh phải dài và không theo quy luật nào. Hoa@1990 có đủ chữ hoa, số, ký hiệu nhưng vẫn yếu vì là tên + năm sinh; một chuỗi như t7#Qm2vL9xR!pE4k mạnh hơn rất nhiều.

Ngẫu nhiên 16 ký tự (đủ 4 loại ký tự): khoảng 100 bit, thừa sức cho mọi tài khoản.
Cụm từ như Mua-Cafe-Dong-Ho-Bien-47: dễ gõ trên điện thoại, dễ đọc cho người thân; từ được chọn ngẫu nhiên từ danh sách hơn 500 từ nên vẫn khó đoán. Đừng tự nghĩ câu (lời bài hát, câu thơ) vì kẻ gian có cả những danh sách đó.
Mã PIN chỉ dùng cho thiết bị có giới hạn số lần nhập sai (thẻ ATM, điện thoại). Tránh 123456, ngày sinh, 6 số cuối số điện thoại.

Kiểm tra "đã bị lộ chưa" an toàn ra sao?

Trình duyệt tính mã băm SHA-1 của mật khẩu (40 ký tự), chỉ gửi 5 ký tự đầu tới Have I Been Pwned. Máy chủ trả về vài trăm mã băm có cùng 5 ký tự đầu, trình duyệt tự so phần còn lại. Have I Been Pwned không biết bạn đang kiểm mật khẩu nào (cách làm này gọi là k-anonymity), Dorabot cũng không nhận gì.

Sau khi có mật khẩu mạnh

Dùng trình quản lý mật khẩu để không phải nhớ: Bitwarden (miễn phí, đồng bộ mọi thiết bị) hoặc KeePassXC (lưu file trên máy). Xem thêm phần mềm thay LastPass, 1Password.
Bật xác thực 2 bước cho email, Zalo, Facebook, ngân hàng: ưu tiên ứng dụng tạo mã hoặc khoá bảo mật thay cho mã SMS.
Đổi ngay mật khẩu nào báo "đã bị lộ", và mọi tài khoản đang dùng chung mật khẩu đó.
Không đọc mật khẩu, mã OTP cho bất kỳ ai gọi điện tự xưng nhân viên ngân hàng, công an, nhà mạng.

Hỏi đáp

Mật khẩu tôi gõ vào có bị gửi đi đâu không?

Không. Việc tạo và chấm điểm chạy bằng JavaScript ngay trên trình duyệt của bạn. Khi bạn bấm Kiểm tra đã bị lộ chưa, trình duyệt chỉ gửi 5 ký tự đầu của mã băm SHA-1 (không phải mật khẩu) tới Have I Been Pwned, rồi tự so phần còn lại trên máy bạn. Bạn có thể tắt mạng sau khi trang tải xong để tự kiểm chứng: phần tạo và chấm điểm vẫn chạy.

Mật khẩu bao nhiêu ký tự thì đủ mạnh?

Mật khẩu ngẫu nhiên nên từ 14–16 ký tự trở lên, gồm chữ thường, chữ hoa, số và ký hiệu. Cụm từ dễ nhớ nên có từ 5 từ trở lên, chọn ngẫu nhiên (đừng tự nghĩ câu quen thuộc). Độ dài quan trọng hơn việc thay vài chữ bằng ký hiệu.

Đặt mật khẩu bằng ngày sinh, số điện thoại có sao không?

Rất dễ bị đoán. Ngày sinh, số điện thoại, biển số xe, tên con thường nằm sẵn trên Facebook, Zalo hoặc trong các vụ lộ dữ liệu, kẻ gian thử những thứ này đầu tiên. Công cụ sẽ cảnh báo khi thấy dãy giống ngày tháng hoặc số điện thoại Việt Nam.

"Đã bị lộ" nghĩa là gì?

Mật khẩu đó (của bất kỳ ai) đã xuất hiện trong các bộ dữ liệu bị đánh cắp mà Have I Been Pwned thu thập. Kẻ gian dùng chính các danh sách này để thử đăng nhập hàng loạt, nên mật khẩu đã lộ dù dài cũng không nên dùng nữa. Không thấy trong danh sách cũng không có nghĩa là chắc chắn an toàn.

Có nên dùng một mật khẩu cho nhiều tài khoản?

Không. Một trang bị lộ là kẻ gian thử ngay mật khẩu đó với email, ngân hàng, Facebook của bạn. Mỗi tài khoản một mật khẩu riêng, lưu trong trình quản lý mật khẩu như Bitwarden hoặc KeePassXC (miễn phí), và bật xác thực 2 bước cho tài khoản quan trọng.

Thời gian bẻ khoá trên trang tính thế nào?

Đó là ước tính của thư viện mã nguồn mở zxcvbn (Dropbox) cho trường hợp kẻ gian lấy được mã băm và thử khoảng 10.000 lần mỗi giây. Con số chỉ để so sánh mạnh yếu, thực tế phụ thuộc cách trang web lưu mật khẩu.

Bộ công cụ bảo mật miễn phí

Mẹo an toàn và nơi báo link lừa đảo