やってはいけない管理方法
- パスワードを書いた付箋をモニターや誰でも見える場所に貼る
- Excelファイルやメモ帳に平文（暗号化なし）で保存する
- 複数のサービスで同じパスワードを使い回す
- 自分自身にメールでパスワードを送って保管する
おすすめの管理方法
1. パスワード管理アプリを使う
1Password、Keeperなどの専用パスワード管理アプリは、生成したパスワードを暗号化して安全に保管し、必要なときに自動入力してくれます。マスターパスワード1つを覚えるだけで、サービスごとに異なる複雑なパスワードを使い分けられるようになります。
2. ブラウザの保存機能を活用する
Google Chromeなど主要ブラウザには、パスワードを保存し次回から自動入力する機能が搭載されています。手軽に使える一方、端末の共有状況によってはリスクもあるため、共有PCでは利用を避けるか、都度確認することをおすすめします。
3. 二段階認証を併用する
パスワードに加えて多要素認証を設定すると、漏洩時の不正ログインを防ぎやすくなります。利用できる場合はパスキー、セキュリティキー、認証アプリを優先し、SMSは他の方式が使えない場合の互換手段として検討します。復旧コードも保管庫とは別の安全な場所へ保管してください。
なぜ当サイトは「パスワードを保存する機能」をあえて持たないのか
パスワード生成サービスの中には、生成した履歴をアカウントに紐づけて保存できるものもあります。しかし当サイトは、意図的にそうした保存・同期機能を実装していません。理由は次の2点です。
①攻撃対象（アタックサーフェス）を作らないため。パスワードをどこかのサーバーに保存する機能を作った時点で、そのサーバー自体が「破られたら大量のパスワードが漏えいする」新たな標的になります。当サイトは生成ロジックがブラウザ内のcrypto.getRandomValuesで完結し、生成結果を当サイトのデータベースへ保存しないため、サーバーに保管したパスワード一覧が一括流出するリスクを減らせます。ただし、配信スクリプトの改ざん、悪意のある拡張機能、端末のマルウェア、画面やクリップボードからの漏洩までゼロになるわけではありません。
②「生成」と「保管」は本来別の専門ツールが担うべき役割だと考えているため。保管・自動入力・端末間同期は、1Passwordやブラウザ内蔵機能など、その用途に最適化された専用ツールに任せる方が安全です。当サイトは「その場で強力なパスワードを作る」という一点に機能を絞り込むことで、余計な会員登録やアカウント管理の手間をなくしています。
パスワードは事件とリスクに応じて見直す
利用しているサービスで漏洩が確認された、不審なログインがあった、共有相手が変わった、弱い・使い回しの値だと判明した場合は速やかに変更します。根拠のない短期間の定期変更は、末尾だけを変える習慣を生むことがあるため一律には推奨しません。判断基準はパスワードの定期変更が必要な条件で解説しています。当サイトの一括生成ツールを使えば、複数アカウント分のパスワードをまとめて再発行できます。
生成ツールを安全な管理手順へ組み込む
生成ツールは、保管、共有、失効、漏洩監視を代行しません。文字数・文字種・除外文字を利用先の制約へ合わせて候補を作り、生成直後に管理アプリへ保存し、MFAを設定するまでを1つの手順にします。主な補助機能は標準パスワード生成ツールでそのまま使えます。
- 4〜128文字と必含ルール：利用先の許可範囲内で、十分な長さと必要な文字種を指定
- 先頭文字・除外文字：古い業務システムの制約へ合わせるときだけ利用
- 設定共有：URLで共有するのは生成条件だけで、生成結果そのものは含まない
- 強度表示：一様ランダム・オフライン総当たりという仮定の計算値として確認
- QR表示：対面など独立した経路で一時的に移す用途。画像の保存・メール添付には注意
候補の文字構成を確認したい場合は、パスワード強度チェックを利用できます。重要アカウントの実物ではなく、特徴を再現した近似サンプルで確認してください。
紙に記録する場合の現実的な考え方
紙への記録が常に最悪とは限りません。端末侵害のリスクが高く、物理的に施錠できる環境では、復旧コードなどを封印して保管する方が適切な場合があります。問題はモニター横や財布など、他人が容易に見られる場所へ置くことです。利用者、保管場所、盗難・災害時の復旧という脅威モデルに合わせて選びます。