Mỗi ký tự được lấy từ window.crypto.getRandomValues — nguồn ngẫu nhiên an toàn về mặt mật mã của trình duyệt, chính là nguồn được dùng cho khóa phiên TLS. Đây là nguồn mạnh hơn nhiều so với Math.random và đáp ứng mức độ entropy mà các trình quản lý mật khẩu cùng các cuộc kiểm toán bảo mật mong đợi.

Với hầu hết tài khoản, mật khẩu 16 ký tự gồm chữ hoa, chữ thường, số và ký hiệu thừa sức vượt quá 80 bit entropy và chống lại việc bẻ khóa ngoại tuyến. Mật khẩu chính của két lưu trữ và thông tin đăng nhập root nên dùng từ 24 ký tự trở lên; còn các tài khoản dùng một lần thì có thể dùng ít hơn.

Độ mạnh được ước tính theo công thức độ dài × log₂(kích thước tập ký tự), tính bằng bit. Bất kỳ giá trị nào trên ~80 bit được xem là an toàn trước tấn công vét cạn ngoại tuyến trong tương lai gần. Loại bỏ các lớp ký tự sẽ thu nhỏ tập ký tự, nên số bit cũng giảm theo.

Về lý thuyết thì có, nhưng xác suất nhỏ đến mức gần như không tưởng với bất kỳ độ dài hợp lý nào. Một mật khẩu 16 ký tự kết hợp nhiều loại có khoảng 10^31 giá trị khả dĩ — khả năng trùng lặp ngẫu nhiên còn nhỏ hơn nhiều so với khả năng hỏng phần cứng.

Bật "Loại trừ ký tự giống nhau" (i, l, 1, L, o, 0, O) khi mật khẩu sẽ được chép tay hoặc đọc qua điện thoại để tránh nhầm lẫn. Bật "Loại trừ ký tự dễ gây mơ hồ" ({} [] () /\ '"`,;:.) khi mật khẩu cần được dán gọn gàng vào cửa sổ dòng lệnh hoặc tập lệnh shell.

Không. Việc tạo mật khẩu diễn ra hoàn toàn trên thiết bị của bạn và các mật khẩu vừa tạo chỉ tồn tại trong bộ nhớ cho đến khi bạn tải lại tab. Không có gì được gửi qua mạng, không có gì được ghi lại và không có gì được lưu vào bộ nhớ đệm.

Có. Bật "Loại bỏ ký tự giống nhau" để bỏ các ký tự dễ nhầm trên màn hình hoặc qua điện thoại (i, l, 1, L, o, 0, O), và bật "Loại bỏ ký tự mơ hồ" để bỏ các dấu ngoặc, dấu gạch chéo và dấu ngoặc kép khó gõ. Sau đó tăng độ dài thêm vài ký tự để giữ entropy ở mức bạn mong muốn.

Switch the mode toggle from 'Random characters' to 'Passphrase (words)' — the generator then builds a password from several random dictionary words (EFF Diceware wordlist) instead of scrambled characters, which is easier to remember and type but still cryptographically strong.

The default of 6 words gives roughly 77 bits of entropy, the EFF-recommended minimum for a strong passphrase. Drag the Words slider higher (up to the maximum) for a master password protecting a password manager or crypto wallet, or lower for a passphrase you'll type frequently on a low-risk account.

Yes. The Separator dropdown lets you pick a hyphen, dot, underscore, space, or no separator at all. A hyphen or dot is usually easiest to type accurately on both desktop and mobile keyboards, while some login forms reject spaces in passwords.

Turn on 'Capitalize each word' if a site requires an uppercase character, and 'Append a number' if it requires a digit — many login forms enforce these composition rules even for long passphrases. Both options add negligible extra memorization effort while satisfying stricter password policies.

Use Passphrase mode with 7-8 words, a hyphen or dot separator for easy retyping, capitalize each word on, and append a number on — this comfortably clears 90+ bits of entropy while staying far easier to memorize and type accurately than an equivalent-strength random-character password.

The Length slider in Random characters mode runs from 8 up to 128 characters, matching the 'up to 128 characters' promise in the tool's title. For most logins 16-20 characters is plenty; push toward 128 only for systems that specifically call for an extremely long secret, like certain API tokens or hardware security modules.

The Words slider in Passphrase mode ranges from 3 words (shorter, lower entropy) to 12 words (extremely high entropy, well over 150 bits). The default of 6 words balances memorability with the EFF-recommended ~77-bit minimum for a strong passphrase.

The Regenerate button disables and the password field clears, with a hint reading 'Pick at least one character class to enable generation.' At least one of Uppercase, Lowercase, Numbers or Symbols must stay checked, since the generator needs a character pool to draw from.