安全指南
密码应该多长？
了解何时选择12、16、20或32个字符，以及为什么密码长度、唯一性和存储比视觉复杂性更重要。
摘要
对于大多数现代账户，16个随机字符是一个强大的实用基线。对于重要的个人、电子邮件、银行、工作或管理员账户，使用20个或更多字符。当密码存储在密码管理器中并保护高价值访问时，使用32个字符。
长度区间
短密码更容易被猜测，因为可能的组合更少。6到9个字符通常对于账户安全来说太短。10到14个字符可能被许多服务接受，但不应被视为重要账户的首选。
当密码管理器存储值时，16个随机字符是一个好的默认选择。20个字符增加了余量，同时与许多网站兼容。32个字符适用于管理面板、加密文件、数据库凭据和本地机密。
随机长度与人为长度
一个随机的16字符密码与一个人为创造的16字符短语截然不同。人为选择通常包含单词、日期、名字和可预测的结尾。攻击者在尝试盲目暴力破解之前，会先测试这些模式。
实用建议
- 使用16个字符作为常规基线。
- 对高价值账户使用20–32个字符。
- 如果需要记忆，使用密码短语。
- 仅在兼容性要求时使用无符号或无歧义预设。
- 即使密码很长，也绝不重复使用。
详细指导
本指南侧重于根据不同账户风险选择密码长度。它是为比较12、16、20、24和32字符选择的读者编写的，因此实际目标不是提出一个戏剧性的安全声明。目标是选择一个能够在日常使用中生存的密码习惯：登录表单、密码管理器、移动键盘、账户恢复、共享设备以及偶尔有奇怪验证规则的服务。只有当一个真实的人能够持续遵循时，一个安全的建议才有用。
最安全的起点是随机性加唯一性。随机性意味着值是从一个大的空间中通过密码学上合适的随机源选择的，而不是从生日、宠物名、键盘模式或最喜欢的引语中发明的。唯一性意味着相同的密码不在任何其他地方使用。一个长但重复使用的密码在一次无关的泄露后可能迅速失效，而一个唯一的随机密码将损害限制在使用它的单个账户上。
对于这个主题，一个实用的预设是：普通账户16个字符，重要账户20个或更多，对于存储而非输入的机密使用32个字符。你可以使用32字符密码生成器应用这个预设，然后将最终值存储在受信任的密码管理器中。PwdGen在浏览器本地使用Web Crypto生成值；生成的密码不会发送到PwdGen服务器。这种本地设计减少了服务器端暴露，但不能防范所有威胁。恶意的浏览器扩展、受感染的设备、钓鱼页面或不安全的剪贴板处理仍然可能在生成后暴露机密。
要避免的最常见问题是：短的随机值、最大长度限制、遗留表单以及假设一个固定数字对所有系统都是安全的。这些问题很重要，因为当人类习惯给攻击者提供捷径时，他们很少需要暴力破解每个可能的密码。凭证填充、钓鱼、泄露的密码列表和账户恢复滥用通常比纯数学搜索更现实。这就是为什么最好的建议将密码质量与账户级控制（如MFA、通行密钥、恢复代码存储以及定期检查恢复电子邮件或电话设置）结合起来。
在应用建议时使用此清单：
- 当不允许使用符号时，使用更长的长度。
- 在保存前检查目标最大长度。
- 避免为了方便而缩短密码。
- 当需要记忆时，使用密码短语。
如果网站拒绝了理想设置，不要手动将密码强制转换为更弱的模式。一次调整一个变量。如果符号被拒绝，保持大写、小写和数字启用，并增加长度。如果最大长度较低，使用可接受的最大长度，并确保值是唯一的。如果密码必须大声朗读、打印或在电视或路由器屏幕上输入，考虑排除混淆字符并增加长度以补偿较小的字母表。
最后，记住密码建议的边界。强密码是一层防御，而不是保证。它不能使钓鱼页面安全、修复恶意软件或补偿存储凭据不当的服务。有用的习惯是枯燥但持久的：生成唯一值，安全存储，保护恢复路径，并在怀疑暴露时迅速更换。
常见问题
12个字符够吗？
一个随机的12字符密码对于兼容性可能有用，但当服务接受时，16个或更多是更好的默认选择。
什么时候应该使用20或32个字符？
对重要账户使用20个或更多字符，对存储在密码管理器中的管理员、加密文件或开发者机密工作流使用32个字符。
密码可以太长吗？
一些服务施加最大长度或拒绝符号。使用目标接受的最长唯一随机值。