Silne hasło to dziś nie luksus, a podstawa cyberbezpieczeństwa. W tym narzędziu w czasie rzeczywistym sprawdzisz, ile bitów entropii ma Twoje hasło, jak długo zajęłoby jego złamanie atakiem bruteforce i jakie błędy obniżają jego siłę. Cała analiza dzieje się lokalnie w przeglądarce — hasło nigdy nie trafia na żaden serwer.
Czym mierzymy siłę hasła
O sile hasła decydują trzy rzeczy: długość, rozmiar puli znaków oraz nieprzewidywalność. Pierwsze dwie składają się na tzw. entropię, którą wyrażamy w bitach.
Entropia [bity] = długość × log₂(pula znaków)Przykład: hasło 14-znakowe z pełnej puli (94 znaki) ≈ 14 × 6,55 = 92 bity — bardzo silne. Hasło 8-znakowe z samych małych liter ≈ 38 bitów — łamie się w minutach.
Co sprawdza nasz tester
- Długość hasła i pulę użytych znaków (małe/wielkie litery, cyfry, symbole).
- Entropię w bitach i szacowany czas złamania bruteforce.
- Czy hasło znajduje się na liście najczęstszych haseł z wycieków (rockyou, HIBP).
- Ciągi sekwencyjne typu 1234, abcd, qwerty — które łamacze testują pierwsze.
- Powtórzenia tego samego znaku (aaa, 111) obniżające realną entropię.
- Hasła zbudowane wyłącznie z cyfr (PIN-y są niewystarczające do bankowości online).
Tabela: ile zajmuje złamanie hasła
| Długość | Typ znaków | Entropia | Czas złamania |
|---|---|---|---|
| 6 znaków | tylko małe litery | ~28 bitów | kilka sekund |
| 8 znaków | litery + cyfry | ~48 bitów | kilka godzin |
| 8 znaków | litery + cyfry + symbole | ~52 bity | kilka dni |
| 12 znaków | litery + cyfry + symbole | ~79 bitów | ok. 200 tys. lat |
| 14 znaków | litery + cyfry + symbole | ~92 bity | ok. 1 mld lat |
| 16 znaków | litery + cyfry + symbole | ~105 bitów | praktycznie nigdy |
Dlaczego „P@ssw0rd!” nie jest silnym hasłem
Łamacze haseł takie jak Hashcat i John the Ripper używają tzw. reguł mangujących: biorą słownik popularnych słów i automatycznie testują warianty z podstawieniami (a→@, o→0, e→3, s→$) oraz dodanymi cyframi na końcu. Hasła typu P@ssw0rd!, Kochanie123, Polska2024! łamią się w sekundach, mimo że spełniają „wymóg trzech typów znaków”. Prawdziwe silne hasło musi być losowe — albo wygenerowane przez program, albo zbudowane z 4–6 niepowiązanych słów (passphrase).
Jak zbudować naprawdę silne hasło
- Minimum 14 znaków — to dziś próg, który chroni przed bruteforce na lata.
- Wszystkie typy znaków: wielkie, małe, cyfry, symbole — pula 94 znaków daje 6,55 bitu na znak.
- Losowość — użyj generatora kryptograficznego, nie wymyślaj samodzielnie.
- Unikalność — każde konto powinno mieć inne hasło (jeden wyciek nie otwiera reszty).
- Brak danych osobistych — imię, data urodzenia, miasto, imię psa są w słownikach atakujących.
- Menedżer haseł zamiast pamięci — Bitwarden, 1Password, KeePassXC, iCloud Keychain.
Włącz dwuetapową weryfikację (2FA)
Nawet bardzo silne hasło nie chroni przed phishingiem ani wyciekiem hasła w postaci jawnej. Drugi etap logowania (kod TOTP z Google Authenticator/Authy/Aegis lub klucz sprzętowy YubiKey) blokuje logowanie, nawet jeśli atakujący zna Twoje hasło. Włącz 2FA wszędzie: bankowość, poczta, social media, GitHub, menedżer haseł.
Najważniejsze wnioski
- Sprawdzaj siłę hasła entropią — minimum 60 bitów, najlepiej 80+.
- Długość bije skomplikowanie — 16 losowych małych liter jest silniejsze niż 8 znaków z symbolami.
- Hasła z podstawieniami (P@ssw0rd!) łamią się tak samo szybko jak słownikowe.
- Każde konto = inne hasło. Menedżer haseł rozwiązuje problem zapamiętywania.
- 2FA to drugi mur — włącz wszędzie, gdzie się da.