安全指南

線上密碼產生器安全嗎？

了解線上密碼產生器何時安全使用、本地瀏覽器產生的意義，以及仍存在的風險。

摘要

線上密碼產生器在以下情況下是安全的：它在瀏覽器中本地產生密碼、使用加密隨機源，且不將產生的值傳送到伺服器。僅因頁面使用 HTTPS 或看起來專業，並不代表自動安全。

PwdGen 的設計圍繞本地產生。您可以閱讀方法論並在瀏覽器網路面板中測試此聲明。

「本地產生」的含義

本地產生表示密碼是由瀏覽器中執行的程式碼選取的。網站可以傳遞頁面，但不需要接收產生的密碼。在 PwdGen 中，產生器使用 Web Crypto，在頁面中呈現結果，僅在您點擊複製時才寫入剪貼簿。

需要驗證的事項

開啟開發者工具，清除網路面板，然後重新產生並複製一個密碼。您不應看到包含產生值的 Fetch、XHR 或 Beacon 請求。同時檢查網站是否說明其隨機性來源、不聲稱不可能保證，且不要求您建立帳戶僅為了產生密碼。

剩餘風險

本地產生無法保護受感染的電腦、惡意瀏覽器擴充功能、剪貼簿監控程式、螢幕錄製軟體、釣魚頁面或不安全的密碼管理器。一旦產生值出現，就應將其視為機密。

詳細指引

本指南專注於評估線上密碼產生器是否安全使用。它為注重隱私、希望獲得瀏覽器便利性但不想讓伺服器處理密碼的使用者而寫，因此實際目標並非製造戲劇性的安全聲明。目標是選擇一種能經得起日常使用的密碼習慣：登入表單、密碼管理器、行動鍵盤、帳戶復原、共用裝置，以及偶爾遇到驗證規則奇怪的服務。只有當真實的人能夠一致遵循時，安全的建議才有用。

最安全的起點是隨機性加上唯一性。隨機性表示該值是從一個大空間中由加密適用的隨機源選取，而非來自生日、寵物名、鍵盤模式或喜愛的名言。唯一性表示同一個密碼不會在其他地方使用。一個長但重複使用的密碼可能在一次無關的資料外洩後迅速失效，而唯一的隨機密碼則將損害限制在使用該密碼的單一帳戶。

針對此主題，實用的預設設定是使用 Web Crypto 的瀏覽器本地產生，且不將產生的值提交到伺服器。您可以使用離線密碼產生器套用此預設，然後將最終值儲存在受信任的密碼管理器中。PwdGen 使用 Web Crypto 在瀏覽器中本地產生值；產生的密碼不會傳送到 PwdGen 伺服器。這種本地設計減少了伺服器端的暴露，但無法防範所有威脅。惡意瀏覽器擴充功能、受感染的裝置、釣魚頁面或不安全的剪貼簿處理仍可能在密碼產生後將其暴露。

最常見的問題包括伺服器產生的密碼、密碼欄位附近的第三方腳本、侵入式分析、複製的克隆網站以及具有頁面存取權限的瀏覽器擴充功能。這些問題之所以重要，是因為攻擊者很少需要暴力破解所有可能的密碼，人類習慣給了他們捷徑。憑證填充、釣魚、洩漏的密碼列表和帳戶復原濫用通常比純數學搜尋更現實。這就是為什麼最佳建議將密碼品質與帳戶層級控制（如 MFA、通行金鑰、復原碼儲存以及定期檢查復原電子郵件或電話設定）相結合。

在應用建議時，請使用此檢查清單：

• 尋找本地產生的說明。
• 避免需要帳戶才能進行基本產生的工具。
• 檢查隱私權和方法論頁面。
• 處理高價值憑證時使用離線模式。

如果網站拒絕理想設定，請勿手動將密碼強制改為較弱的模式。一次調整一個變數。如果拒絕符號，請保留大寫、小寫和數字，並增加長度。如果最大長度較低，請使用可接受的最大長度，並確保該值是唯一的。如果密碼必須朗讀、列印或在電視或路由器螢幕上輸入，請考慮排除容易混淆的字元，並增加長度以補償較小的字母集。

最後，請記住密碼建議的界限。強密碼是一層防禦，而非保證。它無法讓釣魚頁面安全、修復惡意軟體，或補償儲存憑證不當的服務。有用的習慣雖然無聊但持久：產生唯一值、安全儲存、保護復原路徑，並在懷疑暴露時迅速更換。

常見問題

如果線上產生器在本地執行，安全嗎？

它可能比伺服器端產生更安全，因為產生的值無需離開瀏覽器，但裝置和瀏覽器的信任仍然重要。

使用前應檢查什麼？

尋找本地產生、Web Crypto、無包含密碼的請求、隱私權政策以及明確的方法論。

本地產生能防範惡意軟體嗎？

不能。惡意軟體、惡意擴充功能、不安全的剪貼簿管理器和釣魚頁面都超出產生器的保護範圍。