文字與日常工具·密碼產生器

您應該信任線上密碼產生器嗎？首先要檢查什麼

2026年4月22日 · 為什麼它很重要

密碼隱私信任

提供了一個用於判斷基於網絡的密碼產生器的清單 - 隨機性從何而來，是否發送了任何內容，加載了哪些腳本，是否記錄了限制 - 並解釋了為什麼“免費”產生器差異如此之大。

來自陌生人的密碼－要求網站發明你的秘密的奇怪想法

要求網站發明秘密感覺很落後，因為網頁通常透過網路到達並執行其他人的程式碼。正確的反應既不是盲目信任，也不是籠統地聲稱每個線上產生器都是不安全的。檢查隨機選擇發生的位置、離開頁面的內容、載入的腳本、使用後保持的狀態。

ToolAcre 支援範圍審計，因為來源和測試命名了這些接縫。這並不能保證其輸出對於受感染的瀏覽器或每個帳戶都是安全的。檢查表建立了產品行為，而裝置信任、目標策略和後續儲存仍然是單獨的決策。

從隨機來源開始。 ToolAcre 需要 `crypto.getRandomValues`，在啟用控制項之前對其進行探測，如果引擎無法取得它，則拋出例外。所有有界選擇都會經過拒絕抽樣。測試掃描生產來源以將 `Math.random` 排除在外，因此該宣告得到執行，而不是成為行銷判決。

然後檢查縮減和隨機播放，而不是停在 API 名稱處。加密位元組仍然可以嚴重減少。在這裡，在用安全有界整數對模和字元位置進行打亂之前，不均勻的尾部會被拒絕。如果另一個工具沒有描述或公開這條路徑，即使它提到了 Web Crypto，仍然存在不確定性。

在頁面載入、產生和複製時觀察網路。 ToolAcre 合法地從自己的來源下載靜態單字清單。瀏覽器測試將這些公共資產與憑證流量區分開來，並斷言「產生」和「複製」不會添加任何請求。產品註冊表禁用每個密碼頁面上的分析和廣告。

因此，非空白網路面板不會自動失敗。檢查請求目的、目的地、方法和主體，並蒐索組合值。還要檢查 CSP，它限制該產品與其自身來源的連接。網路靜默是一層，不能抵禦本地擴充或惡意軟體。

附帶的詞彙表不是未命名的自製池。選項中列出了三個提交的 EFF 檔案，記入產品內容中，並在建置時根據公佈的非空白行計數進行檢查：7,776 表示長列表，1,296 表示每個短列表。選擇使用實際載入和過濾的單字。

公共清單與安全產生相容，因為清單保密不是假設。隨機索引是未知的選擇。儘管如此，按字長過濾會改變合格的計數，因此仔細的工具應該從結果池中進行計算，而不是繼續引用完整的檔案大小。

檔案應說明行為和限制。 ToolAcre 命名單字和字元邊界、純英文資產、一次產生一個值、沒有可複製的種子、沒有違規檢查以及對工作加密瀏覽器來源的要求。它還指出，熵數字描述了假設下的設置，而不是保證結果。

失敗路徑是誠實的一部份。空白清單或缺失清單、不可能的離合詩、無效範圍、缺少字元群組、長度過多或不足、剪貼簿拒絕和缺少 Web Crypto 都會收到明確的回應。只記錄其快樂路徑的產生器會忽略最重要的行為。

工作簿聲稱有清除資料控件，但介面沒有。更正後的行為更具體：產生會取代一個目前狀態值，更改有意義的設定會清除它，而導航會丟棄它，因為不存在儲存或歷史記錄。輸出仍然是 DOM 中的文字節點，直到發生這些操作之一。

複製僅在使用者按「複製」並使用 `navigator.clipboard.writeText` 後發生。程式碼不會自動清除剪貼簿、檢查剪貼簿歷史記錄或控製作業系統剪貼簿管理器。如果權限被拒絕，則會顯示錯誤並要求使用者手動選擇並複製。

瀏覽器擴充功能和密碼管理器產生器以不同的權限和儲存模型執行，因此此清單無法透過代理程式審核它們。管理器可能是產生和儲存網站憑證的正確位置，但這是一個單獨的產品決策。 ToolAcre 不提供保管庫或自動填入。

同樣，線上產生器不應僅僅因為網路檢查通過而在共享或不受信任的裝置上使用。具有本機存取權限的軟體可以讀取輸出或剪貼簿。信任評估必須包括端點，而不僅僅是網站來源。

ToolAcre 通過了一組透明的檢查：強制 Web 加密、拒絕採樣、經過驗證的靜態列表、同源加載、無產生請求、無分析或廣告、無持久存儲、無歷史記錄和明確剪貼板操作。每個宣告都有一個審閱者可以檢查的來源或測試路徑。

結論仍然是有條件的。使用證據來決定該產生器是否適合特定情況，然後保持每個產生的值的私有性和唯一性。不要粗心地將清單透過視為重複使用、傳輸或儲存憑證的許可，並不要將產生與管理混淆。