怎麼設定密碼才夠安全？
長度比複雜度更重要。16 碼以上的隨機密碼，即使只用大小寫加數字，暴力破解的成本已遠高於 12 碼全符號密碼。建議重要帳號（Email、銀行、密碼管理器主密碼）用 20 碼以上。
真正的風險在於同一組密碼到處用，密碼不夠複雜還在其次。一個網站外洩，所有帳號一起淪陷。搭配密碼管理器讓每個網站都用獨立密碼，才是根本解法——可參考我們的密碼管理器選購指南。
不同帳號的密碼策略
不是所有帳號都需要同樣等級的密碼，分三層管理比較實際：
- 第一層（最重要）：Email、銀行、密碼管理器主密碼。這三個被攻破會連帶淪陷所有其他帳號。用 20 碼以上隨機密碼，搭配 2FA，絕不重複使用。
- 第二層（工作相關）：雲端硬碟、公司系統、社群帳號。用密碼管理器生成 16 碼以上獨立密碼。
- 第三層（低風險）：一次性註冊、看完就走的網站。密碼管理器隨手生成一組即可，不需要記。
為什麼不要用「記得住的規則」造密碼
很多人用「網站名＋生日＋符號」這類規則造密碼，覺得又好記又每站不同。問題是這種規則一旦被猜到（例如某站明文外洩你的密碼），攻擊者就能推出你在其他網站的密碼。隨機密碼的價值在於無規律可循——一個網站外洩，不會透露任何其他帳號的資訊。
常見問題
這個工具產生的密碼安全嗎？
本工具用瀏覽器內建的 crypto.getRandomValues() 產生密碼，這是密碼學等級的隨機數產生器，比 Math.random() 安全。整個過程在你的瀏覽器本機完成，不經過網路，關閉頁面後不留紀錄。
密碼要多久換一次？
現在的主流建議（NIST 指引）是：沒有外洩跡象就不需要定期換密碼，強迫定期換密碼反而讓人選更弱的密碼。真正要做的是：發現外洩立刻換、每站密碼不重複、重要帳號開 2FA。
密碼管理器本身被攻破怎麼辦？
主流密碼管理器用零知識加密：你的主密碼不離開你的裝置，廠商伺服器只存加密後的資料。即使廠商被駭，攻擊者拿到的也是加密資料。前提是主密碼要夠強——這是為什麼主密碼要放在第一層。
密碼使用瀏覽器內建 crypto.getRandomValues() 在你自己的裝置上產生，不會傳送到任何伺服器，關閉頁面後不保留任何紀錄。