Generator Password Aman: Panjang & Kekuatan
Buat password acak atau frasa kata bahasa Indonesia langsung di perangkat Anda. Lihat entropi dalam bit, perkiraan waktu retak berdasarkan asumsi laju tebakan yang bisa Anda ubah, dan rekomendasi panjang yang masuk akal untuk akun Anda.
Kekuatan password acak terutama ditentukan oleh panjang dan ukuran set karakter, bukan oleh simbol “rumit” yang mudah ditebak. Password 16 karakter dari set lengkap 94 karakter (A-Z, a-z, 0-9, 32 simbol) memiliki entropi ≈ 104,9 bit. Frasa 4 kata dari daftar 2.000 kata hanya ≈ 43,9 bit — cukup untuk sebagian akun, belum ideal untuk master password. Alat ini menghitung angka tersebut secara lokal; ia tidak memverifikasi apakah password Anda sudah bocor di internet dan tidak menjamin keamanan akun.
- Ukuran set = jumlah karakter unik yang boleh muncul, mis. 94 untuk A-Z + a-z + 0-9 + 32 simbol
- Panjang = jumlah karakter pada password acak, atau jumlah kata pada mode frasa
- Laju tebakan = asumsi jumlah tebakan per detik; default 10¹⁰ (serangan luring pada hash cepat)
- Entropi frasa = jumlah kata × log₂(2.000) = jumlah kata × 10,97 bit
- Membuat password dengan generator acak kriptografis bawaan browser (
crypto.getRandomValues), bukanMath.random(). - Menghitung entropi, ukuran set, dan estimasi waktu retak dari asumsi laju tebakan yang Anda isi sendiri.
- Menjaga seluruh proses di perangkat Anda: tidak ada unggahan, tidak ada pencatatan di server.
- Bukan jaminan “100% aman”, bukan sertifikasi keamanan, dan bukan audit atas perangkat Anda.
- Tidak memeriksa kebocoran data (mis. Have I Been Pwned) karena itu memerlukan permintaan jaringan.
- Tidak melindungi dari malware, keylogger, atau situs palsu yang mencuri password saat diketik.
- Tidak menggantikan pengelola password dan autentikasi dua faktor.
Password acak untuk kekuatan maksimum per karakter; frasa kata untuk yang perlu diingat tanpa pengelola password.
Panjang adalah faktor terbesar dalam entropi. Setiap tambahan 1 karakter mengalikan ruang kemungkinan dengan ukuran set.
Semakin banyak jenis karakter, semakin besar set dan semakin tinggi entropi per karakter.
Asumsi laju tebakan menentukan estimasi waktu retak. Ubah agar sesuai skenario yang Anda yakini.
📊 Tabel Entropi & Estimasi Waktu Retak (Set 94 Karakter)
Dihitung dari rumus yang sama dengan kalkulator di atas, pada asumsi 10¹⁰ tebakan/detik (serangan luring pada hash cepat). Angka waktu bersifat perkiraan matematis.
| Panjang | Entropi (bit) | Status | Estimasi waktu retak @10¹⁰/dtk | Catatan penggunaan |
|---|---|---|---|---|
| 4 | 26,2 | Lemah | kurang dari 1 detik | Hanya untuk uji coba; jangan dipakai |
| 6 | 39,3 | Lemah | ≈ 1,1 menit | PIN numerik 6 digit lebih lemah lagi (≈ 20 bit) |
| 8 | 52,4 | Cukup | ≈ 7,1 hari | Batas minimum NIST untuk akun biasa |
| 10 | 65,5 | Kuat | ≈ 171 tahun | Layak untuk akun rendah risiko |
| 12 | 78,7 | Kuat | ≈ 1,5 juta tahun | Titik minimum praktis untuk akun pribadi |
| 14 | 91,8 | Sangat kuat | ≈ 13,3 miliar tahun | Baik untuk email dan perbankan |
| 16 | 104,9 | Sangat kuat | ≈ 117,7 triliun tahun | Anjuran untuk akun utama dan pengelola password |
| 20 | 131,1 | Sangat kuat | praktis tak terhingga | Bila situs mengizinkan; perhatikan batas panjang layanan |
🔤 Pengaruh Ukuran Set Karakter (Panjang 16)
Menambah jenis karakter menaikkan entropi per karakter, tetapi panjang memberi kenaikan yang jauh lebih besar.
| Set karakter | Ukuran | Bit/karakter | Entropi 16 karakter | Estimasi retak |
|---|---|---|---|---|
| a-z | 26 | 4,70 | 75,2 bit | ≈ 138,2 ribu tahun |
| a-z + 0-9 | 36 | 5,17 | 82,7 bit | ≈ 25,2 juta tahun |
| a-z + A-Z | 52 | 5,70 | 91,2 bit | ≈ 9,1 miliar tahun |
| a-z + A-Z + 0-9 | 62 | 5,95 | 95,3 bit | ≈ 151,1 miliar tahun |
| Lengkap tanpa karakter mirip | 89 | 6,48 | 103,6 bit | ≈ 49,1 triliun tahun |
| Lengkap (A-Z, a-z, 0-9, 32 simbol) | 94 | 6,55 | 104,9 bit | ≈ 117,7 triliun tahun |
🧠 Frasa Kata dari Daftar 2.000 Kata Indonesia
Setiap kata menambah log₂(2.000) ≈ 10,97 bit. Kapitalisasi dan pemisah otomatis tidak menambah entropi.
| Jumlah kata | Entropi (bit) | Status | Estimasi retak @10¹⁰/dtk | Catatan |
|---|---|---|---|---|
| 3 | 32,9 | Lemah | kurang dari 1 detik | Tidak memadai untuk akun apa pun |
| 4 | 43,9 | Cukup | ≈ 27 menit | Cukup untuk akun tidak sensitif |
| 5 | 54,8 | Cukup | ≈ 37 hari | Batas bawah untuk akun pribadi |
| 6 | 65,8 | Kuat | ≈ 203 tahun | Seimbang untuk master password |
| 7 | 76,8 | Kuat | ≈ 405,6 ribu tahun | Bila Anda sanggup mengingatnya |
Entropi acak = panjang × log₂(ukuran set)
Ukuran set = 26 + 26 + 10 + 32 = 94
Set tanpa karakter mirip = 94 − 5 = 89
Entropi frasa = kata × log₂(2.000) ≈ kata × 10,97
Waktu retak ≈ 2^entropi ÷ tebakan per detik
Model brute force murni: mengasumsikan penyerang menebak seluruh ruang kemungkinan. Serangan berbasis kamus, pola, dan kebocoran data bisa jauh lebih cepat — karena itu hindari pola yang mudah ditebak.
Setiap tambahan satu karakter mengalikan ruang kemungkinan dengan 94. Dari 8 ke 16 karakter, entropi naik dari 52,4 menjadi 104,9 bit — dua kali lipat lebih banyak bit, yang berarti ruang tebakan 2⁵² kali lebih besar. Sebaliknya, mengganti satu huruf dengan satu simbol pada password pendek hanya menambah sekitar 6,5 bit. Inilah sebabnya NIST menekankan panjang dan melonggarkan aturan komposisi simbol.
⚖️ Kaidah & Rujukan Standar
Enam prinsip yang mendasari cara alat ini menghitung — dan batasnya.
- NIST SP 800-63B — Digital Identity Guidelines: panjang minimum 8 karakter, pengecekan terhadap daftar password yang bocor/umum, tanpa pemaksaan komposisi kaku, dan tanpa masa kedaluwarsa berkala. Alat ini mengikuti semangat itu dengan menampilkan panjang dan entropi, bukan memaksa simbol.
- OWASP Password Storage Cheat Sheet: password tidak boleh disimpan sebagai teks biasa; gunakan fungsi hash lambat (Argon2id, scrypt, bcrypt, PBKDF2) dengan salt unik. Entropi password hanya berguna bila penyimpanan di sisi layanan juga benar.
- RFC 4086 — Randomness Requirements for Security: keacakan untuk keperluan keamanan harus berasal dari sumber kriptografis, bukan PRNG aritmetika. Karena itu alat memakai
crypto.getRandomValues()dan menolak berjalan bila API itu tidak tersedia. - OWASP ASVS 5.0 — V6 Authentication: kebijakan password minimal 12 karakter (dianjurkan) dan pemeriksaan terhadap password umum. Gunakan angka ini sebagai target untuk sistem yang Anda bangun.
- UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi: kredensial akses termasuk data pribadi yang wajib dilindungi. Membuat password di browser dan tidak mengirimkannya ke pihak ketiga mengurangi permukaan risiko; kewajiban pengamanan tetap ada pada Anda sebagai pengguna atau pengelola sistem.
- ISO/IEC 27001:2022 — A.5.17 & A.8.5: manajemen kredensial autentikasi dan autentikasi aman mensyaratkan proses yang terkendali. Password kuat tanpa autentikasi dua faktor dan tanpa pengelolaan kredensial tetap meninggalkan celah.
📖 Cara Menggunakan Membuat Password Aman dan Memeriksa Kekuatannya
Password acak untuk kekuatan maksimum, atau frasa kata bila password harus diingat tanpa pengelola.
Gunakan minimal 12 karakter untuk akun biasa dan 16 untuk akun penting. Aktifkan angka dan simbol bila situs mengizinkan.
Lihat bit, status kekuatan, dan estimasi waktu retak. Ubah laju tebakan bila Anda ingin skenario yang lebih konservatif.
Salin dengan tombol 📋, tempel ke pengelola password, lalu jangan biarkan halaman terbuka di perangkat bersama.
💡 Tips Praktis Menjaga Password
Tanya Jawab Generator Password, Entropi & Waktu Retak (FAQ)
Math.random()). Yang tidak dapat dijamin: keamanan perangkat Anda, ada tidaknya malware atau keylogger, dan cara Anda menyimpan password. Karena itu kami tidak menyebut hasilnya “100% aman” dan tidak mengklaim sertifikasi apa pun — entropi tinggi hanya berarti ruang tebakan sangat besar, bukan jaminan bebas insiden.localStorage peramban Anda dan parameter di URL hash (mode, panjang, jenis karakter, asumsi tebakan) — keduanya tidak memuat password. Tetap waspada: ekstensi peramban dan malware dapat membaca isi halaman. Gunakan perangkat yang Anda percayai.
💡 Cerita di Balik Pembuatan Alat Ini
Saya membuat alat ini setelah berulang kali melihat dua ekstrem yang sama-sama berbahaya: password “P@ssw0rd2024!” yang terasa rumit tetapi ada di setiap daftar tebakan, dan frasa empat kata yang dianggap kuat padahal hanya sekitar 44 bit. Keduanya lahir dari kebingungan yang sama — tidak ada yang menunjukkan angka entropi dan asumsi serangan di baliknya.
Tujuan alat ini bukan menakut-nakuti, melainkan menampilkan hitungannya secara terbuka: panjang, ukuran set, entropi bit, laju tebakan yang bisa Anda ubah, dan rekomendasi yang masuk akal. Saya sengaja tidak menulis “100% aman” di mana pun, karena keamanan akun bergantung pada perangkat, penyimpanan, dan kebiasaan Anda — bukan pada satu halaman web.
🔗 Coba Juga Tools Lain
Tools ini cocok dipadukan dengan kalkulator lainnya:
Paragraf Indonesia, nama & alamat dummy, CSV/JSON 🪪 Cek NIK & Wilayah KTP
Baca kode wilayah dan tanggal lahir ✉️ Email Signature Generator
Tanda tangan email rapi 📁 Konverter Ukuran File
Estimasi ukuran & upload 📊 Hitung Kata & Karakter
Hitung panjang teks ✍️ Pengubah Huruf EYD
Rapikan kapitalisasi teks
Diskusi Penggunaan Generator Password Aman: Panjang & Kekuatan
Ada pertanyaan seputar rumus perhitungan, dasar regulasi, kendala teknis, atau saran pengembangan alat ini? Tuliskan diskusi Anda di bawah.