Der findes mange gratis password-generatorer, og de fleste af dem producerer passwords, der ved første øjekast ser lige tilfældige ud. De forskelle, der faktisk betyder noget — hvor tilfældigheden kommer fra, om noget bliver sendt, hvor meget du kan tilpasse — er ikke synlige i selve outputtet. Dette er en guide til de kriterier, det er værd at tjekke, ikke bare en liste over navne.
Kort fortalt
- Det vigtigste spørgsmål for enhver password-generator er, om den kører udelukkende client-side (i din browser) eller sender en forespørgsel til en server.
- Det næstvigtigste spørgsmål er, hvilken tilfældighedskilde den bruger — en oplyst CSPRNG (som Web Crypto API) versus en uoplyst metode.
- Selvstændige generatorværktøjer, password-managerens indbyggede generatorer og browserens indbyggede generatorer løser alle samme problem med forskellige afvejninger i bekvemmelighed og portabilitet.
- Gratis niveauer fra fulde password-managere (Bitwarden, NordPass, 1Password, Proton Pass) inkluderer typisk en generator sammen med bredere funktioner; selvstændige værktøjer som PassGenerate fokuserer udelukkende på generering uden krav om konto.
Kort svar
Den bedste gratis password-generator for dig er den, du kan verificere kører udelukkende client-side, oplyser en reel tilfældighedskilde (CSPRNG, ikke Math.random()), og giver dig den tilpasning, du har brug for (længde, tegnsæt eller passphrase-tilstand). PassGenerate er bygget specifikt omkring disse tre kriterier — se Er det sikkert at bruge online password-generatorer? for, hvordan du selv verificerer enhver generator, inklusive denne.
Kriterierne der faktisk betyder noget
1. Client-side vs. server-side-generering. En generator, der beregner passwordet udelukkende i din browser, har aldrig mulighed for at logge, hvad den skaber, selv ved et uheld. En generator, der sender en forespørgsel til en server for at "generere" et password, introducerer et overførselstrin, der ikke har nogen teknisk begrundelse for denne opgave. Dette kan du selv verificere med din browsers udviklerværktøjs Network-fane.
2. Oplyst tilfældighedskilde. Kig efter eksplicit omtale af Web Crypto API'ets crypto.getRandomValues() eller en tilsvarende CSPRNG. Værktøjer, der ikke fortæller, hvordan de genererer tilfældighed, efterlader muligheden for, at de bruger en ikke-kryptografisk metode, hvilket er uegnet til noget sikkerhedsfølsomt, selv hvis outputtet ser tilfældigt ud for et menneske.
3. Tilpasning. Som minimum: justerbar længde og kontrol over, hvilke tegnsæt der inkluderes (store bogstaver, små bogstaver, cifre, symboler). Passphrase-tilstand (en streng af tilfældige ordbogsord) er en nyttig mulighed for passwords, du skal skrive udenad, da det ofte er lettere at indtaste korrekt end en tilsvarende stærk streng af symboler.
4. Ingen konto krævet. At generere et password er en tilstandsløs operation — det behøver ikke vide, hvem du er. En generator, der kræver tilmelding, før den lader dig generere noget, tilføjer friktion (og et datainsamlingspunkt) uden nogen funktionel grund.
Hvor forskellige typer værktøjer passer ind
Selvstændige browserbaserede generatorer (som PassGenerate) fokuserer på den ene opgave at generere, kræver ingen konto, og er lette at verificere som client-side, da der er lidt andet på siden, der konkurrerer om opmærksomheden. Afvejningen er, at de ikke gemmer noget — du genererer, kopierer og bruger passwordet et andet sted.
Password-managerens indbyggede generatorer (Bitwarden, NordPass, 1Password, Proton Pass og andre) er bekvemme, hvis du allerede bruger den manager, da det genererede password kan gemmes direkte i din boks i samme forløb. Bitwardens generator har specifikt den fordel, at den er en del af en open source-kodebase, der gennemgår årlige tredjepartssikkerhedsrevisioner (inklusive firmaet Cure53), så dens implementering af tilfældighed kan gennemgås uafhængigt frem for at blive taget for givet. Se NordPass Review og Password-manager vs. browserens gem-password for mere om at vælge selve manageren.
Browserens indbyggede generatorer (Chrome, Firefox, Safari tilbyder alle én, når du opretter en konto på en side) er bekvemme, fordi de dukker automatisk op på det rette tidspunkt, men er typisk knyttet til den specifikke browsers gemte password-lager, hvilket påvirker portabiliteten, hvis du skifter browser eller har brug for passwordet et sted, hvor browseren ikke er involveret.
Operativsystem- eller kommandolinje-generatorer (fx openssl rand, eller password-manager-CLI'er) er en legitim mulighed for tekniske brugere, der ønsker at verificere tilfældighedskilden direkte ved at læse værktøjets kildekode, men de er ikke en praktisk mulighed for de fleste, der genererer et password til en hjemmesidetilmelding.
En praktisk måde at vælge på
Du behøver ikke evaluere hver mulighed udtømmende. En fornuftig proces: hvis du allerede bruger en password-manager, brug dens indbyggede generator — det er ét værktøj mindre at stole på, og passwordet går direkte i opbevaring. Hvis du ikke bruger en manager, eller har brug for et password til noget, manageren ikke rører (en delt konto, en engangstilmelding), brug en selvstændig client-side-generator og verificér den selv én gang med Network-fane-tjekket — herefter kan du stole på værktøjet fremover uden at skulle verificere igen hver gang.
Vigtigste pointer
- Evaluér password-generatorer på client-side-udførelse, oplyst tilfældighedskilde og tilpasning — ikke på hvor "avanceret" grænsefladen ser ud.
- Client-side-udførelse kan du selv verificere direkte via din browsers udviklerværktøjer; du behøver ikke tage en leverandørs ord for det.
- Password-managerens indbyggede generatorer er bekvemme, hvis du allerede bruger den manager; selvstændige værktøjer som PassGenerate er velegnede, når du ikke har brug for opbevaring, kun generering.
- Bitwardens generator er værd at bemærke specifikt for at være en del af en open source, uafhængigt reviderbar kodebase.
Hvorfor du kan stole på PassGenerate
- Passwords genereres lokalt i din browser ved hjælp af Web Crypto API.
- Ingen passwords sendes til servere.
- Bruger en kryptografisk sikker pseudotilfældig talgenerator (CSPRNG).
- Følger moderne sikkerhedsbedste praksis anbefalet af NIST og OWASP.
Kilder
- MDN Web Crypto API Documentation
- OWASP Password Storage Cheat Sheet
- NIST SP 800-63B – Digital Identity Guidelines
Konklusion
Den bedste gratis password-generator er ikke den med den mest iøjnefaldende grænseflade — det er den, du kan verificere kører client-side, oplyser en reel kryptografisk tilfældighedskilde, og giver dig den tilpasning, dit specifikke brugstilfælde har brug for. Om det er din password-managers indbyggede generator eller et selvstændigt værktøj som PassGenerate afhænger primært af, om du vil have resultatet til at lande direkte i en boks eller bruge det et sted, hvor din manager ikke er involveret.