Wachtwoordgenerator

Zo werkt het

Het toeval komt uit de cryptografische bron van de browser, die er juist is voor waarden die niet te raden mogen zijn. De gewone toevalsfunctie in JavaScript volstaat niet: die is te voorspellen als je genoeg van haar uitkomsten hebt gezien.

Elk teken wordt gelijkmatig uit de gekozen verzameling getrokken. Een simpele rest zou de laagste waarden bevoordelen als de verzameling niet netjes opgaat, daarom worden de bovenste trekkingen weggegooid en opnieuw getrokken.

De entropie meet hoeveel pogingen er nodig zijn, uitgedrukt als macht van twee. Ze geldt voor wachtwoorden die zo getrokken zijn. Een zelf bedacht wachtwoord heeft bijna altijd minder entropie dan de lengte doet vermoeden, omdat taal en toetsenbord de keuze sterker sturen dan je denkt.

De lengte weegt zwaarder dan de tekenverzameling. Van twaalf naar zestien tekens gaan levert meer op dan er leestekens bij nemen, en is bovendien makkelijker te typen.

De optie om verwarrende tekens weg te laten, haalt de nul, de hoofdletter O en de kleine o eruit, en de één, de hoofdletter I, de kleine l en de verticale streep. Dat kost wat entropie, maar loont als het wachtwoord voorgelezen of met de hand op een ander apparaat ingetypt moet worden, zoals een tv of een spelcomputer.

Niets van wat hier ontstaat verlaat je browser, en de pagina bewaart niets. Sluit het tabblad en de wachtwoorden zijn weg.

Zo werkt de tool

De tekenverzameling bestaat uit de groepen die je kiest: 26 kleine letters, 26 hoofdletters, 10 cijfers en 25 leestekens, samen 87. Verwarrende tekens vermijden haalt er zeven weg en laat er 80 over. Elk teken wordt apart getrokken met crypto.getRandomValues. Een willekeurig getal van 32 bits heeft 4.294.967.296 mogelijke waarden, en de hoogste 16 worden weggegooid en opnieuw getrokken, zodat de rest precies deelbaar is door 87 en elk teken even waarschijnlijk is.

De entropie is de lengte maal de logaritme met grondtal 2 van de grootte van de verzameling. Twintig tekens uit 87 geven 20 × 6,443 = 128,86 bits, wat de tool als 129 toont. Zonder verwarrende tekens is het 20 × 6,322 = 126,4 bits. De schaal onder het resultaat noemt alles onder 50 bits zwak, onder 75 bruikbaar, onder 110 sterk en de rest heel sterk.

Lengte of leestekens

Met de getallen van de tool zelf: 12 tekens uit alle 87 geven 77 bits, 16 tekens zonder leestekens, dus uit 62, geven 95 bits, en 16 tekens met leestekens 103 bits. De vier extra tekens leveren 26 bits op, de leestekens 8.

Wat de overheid adviseert

Veiliginternetten.nl, een initiatief van onder meer het Nationaal Cyber Security Centrum, raadt een uniek, lang wachtwoord van minimaal 12 tekens aan, bij voorkeur een wachtwoordzin, en daarnaast inloggen in twee stappen waar dat kan. In de Verenigde Staten zegt NIST SP 800-63B, revisie 4 van juli 2025, dat diensten minstens 15 tekens moeten eisen als het wachtwoord de enige factor is en minstens 8 naast een andere factor, minstens 64 tekens zouden moeten toestaan, wachtwoordmanagers moeten toelaten en geen gemengde tekensoorten of periodieke wijzigingen mogen eisen. De lengtes in de tool lopen van 6 tot en met 64 tekens.

Randgevallen

De tool garandeert niet dat elke gekozen groep in het wachtwoord voorkomt. Met alle vier de groepen mist ongeveer één op de elf wachtwoorden van 20 tekens er minstens één, bij 12 tekens 27% en bij 8 tekens 51%. Een dienst die bijvoorbeeld een cijfer eist, kan het wachtwoord dan weigeren. Maak in dat geval liever een nieuw wachtwoord dan dat je met de hand een teken vervangt. Wachtwoorden zonder een van de groepen weggooien kost bij 20 tekens maar 0,14 bits, maar een teken dat je zelf kiest, is helemaal niet willekeurig.

Bronnen

• Veiliginternetten.nl – Veilig inloggen
• NIST SP 800-63B-4 – Digital Identity Guidelines: Authentication and Authenticator Management

Zo worden de tools gecontroleerd