Wachtwoordchecker: hoe veilig is je wachtwoord?

Dat hangt af van de lengte, willekeur en herkenbare patronen. De wachtwoordchecker deelt je wachtwoord in vijf niveaus in, van ‘Zeer zwak’ tot ‘Zeer sterk’. Voorbeeld: passwort123 is ‘Zeer zwak’ en wordt bij een gestolen hash meteen gekraakt. Ook Sommer1987! blijft ondanks het speciale teken zeer zwak. Een willekeurig wachtwoord zoals kT9#mQ2$vL8!pX4z is ‘Zeer sterk’.

De controle vindt alleen in je browser plaats: geen verzoek aan een server, geen opslag, niets in de URL en geen logging. Zolang het wachtwoord verborgen is, blijven ook de herkende delen afgeschermd. Test toch liever een vergelijkbaar wachtwoord dan je echte wachtwoord.

De checker schat hoeveel pogingen een aanvaller nodig heeft en deelt dat door de aanvalssnelheid: 100 per uur bij een online login met blokkering, 10.000 per seconde bij een gestolen bcrypt-hash en 10 miljard per seconde bij een snelle hash zoals MD5. Vanaf 13,8 miljard jaar toont hij ‘langer dan het universum bestaat’. Dit zijn schattingen, geen garanties.

De entropie in bits geldt als elk teken willekeurig was gekozen. De effectieve sterkte trekt af wat de herkende patronen een aanvaller aan moeite besparen. Het verschil tussen beide waarden laat zien hoeveel sterkte je door de patronen verliest.

Veelvoorkomende wachtwoorden en woorden, ook met hoofdletters of vervangingen zoals 0 voor o, letterreeksen die op woorden lijken, toetsenbordpatronen, reeksen zoals abc of 1234, herhalingen, jaartallen en datums. De ingebouwde woordenlijst is klein en bevat vooral Engelse en Duitse woorden. Andere woorden beoordeelt de tool op hoe ze klinken; de schatting valt daarvoor optimistischer uit.

De checker raadt minstens 14 tekens aan, of een wachtwoordzin van vier of meer willekeurige woorden. De wachtwoordzin Gartenzaun-Wolkenmeer-Teekanne-Bleistift is ‘Zeer sterk’, terwijl het korte, complexe Tr0ub4dor&3 slechts ‘Gemiddeld’ is. Voor e-mail, wachtwoordmanagers en servertoegang zijn 16 tot 20 tekens een goede keuze. De tabel met kraaktijden hierboven laat zien hoeveel elk extra teken oplevert.

Nee. Voor een controle op datalekken zou het wachtwoord of de hash ervan moeten worden verstuurd, en dat doet deze checker juist niet. Hij beoordeelt alleen de sterkte en patronen, rechtstreeks in je browser.

Volg de getoonde tips, zoals een langer wachtwoord kiezen en woorden, jaartallen en toetsenbordpatronen vermijden. Is de score lager dan 'Zeer sterk', dan brengt de knop 'Sterk wachtwoord genereren' je naar de wachtwoordgenerator, die een nieuw willekeurig wachtwoord maakt.