पासवर्ड, पासफ़्रेज़, PIN और कुंजियाँ

आउटपुट के ऊपर मौजूद टैब चार तरह के गोपनीय मान के बीच स्विच करते हैं। चारों एक ही स्थानीय रैंडमनेस स्रोत का उपयोग करते हैं — सिर्फ़ वर्णमाला और नियम बदलते हैं।

यादृच्छिक — लंबाई 4 से 128 के बीच, बड़े अक्षर, छोटे अक्षर, अंक और विशेष चिह्नों के किसी भी मिश्रण के साथ। उन्नत विकल्प में वे सेटिंग्स हैं जो असली वेबसाइटें आप पर थोपती हैं: मिलते-जुलते अक्षर (0/O, 1/l/I) हटाना जो हाथ से टाइप करने में उलझन देते हैं, कोई खास अक्षर प्रतिबंधित करना जिसे कोई साइट स्वीकार नहीं करती, हर प्रकार के अक्षर की न्यूनतम संख्या तय करना, दोहराव या abc, qwe जैसे क्रमबद्ध पैटर्न रोकना, या टेम्पलेट से सटीक आकार तय करना (A बड़ा अक्षर, a छोटा अक्षर, # अंक, ! चिह्न, C व्यंजन, v स्वर)।

पासफ़्रेज़ — एक उलझे हुए स्ट्रिंग की जगह कई यादृच्छिक शब्द, XKCD 936 वाला correct-horse-battery-staple विचार। शब्द EFF large wordlist से आते हैं, 7,776 प्रविष्टियाँ और diceware का मानक सूची, इसलिए हर शब्द 12.9 बिट जोड़ता है: पाँच शब्द लगभग 65 बिट के बराबर होते हैं, और xK9#mP2$vL5@nQ8 के उलट इसे इतनी देर याद रखा जा सकता है कि फ़ोन पर टाइप किया जा सके। विभाजक चुनें, हर शब्द का पहला अक्षर बड़ा करें, या साइट माँगे तो अंक और चिह्न जोड़ें। दूसरी शैली अंग्रेज़ी शब्दों को पूरी तरह छोड़कर उच्चारण-योग्य शब्दांश बनाती है (जैसे tokrilmufsad) — फ़ोन पर बोलकर बताना आसान है और यह आपके कीबोर्ड लेआउट के बारे में कुछ नहीं मानती।

PIN — फ़ोन लॉक, SIM कार्ड, अलार्म पैनल और बैंक कार्ड के लिए 3 से 12 अंक। अनुमान लगाए जा सकने वाले PIN कभी बाहर नहीं आते: 1234, 0000, सभी एक जैसे अंक और जन्म वर्ष जैसा दिखने वाला कुछ भी अस्वीकार करके दोबारा जनरेट किया जाता है। यह फ़िल्टर सुनने में जितना मामूली लगता है, उतना है नहीं — लीक हुए PIN डेटासेट के विश्लेषण में, बीस सबसे सामान्य चार-अंकों वाले PIN लगभग एक-चौथाई हिस्से को कवर करते हैं।

कुंजियाँ — कोड जिन प्रारूपों की अपेक्षा करता है उनमें यादृच्छिक गोपनीय मान: हेक्साडेसिमल, Base64, या सिर्फ़ अक्षर और अंक। आकार बाइट में तय होता है, इसलिए 32 बाइट एक 256-बिट कुंजी देते हैं (64 हेक्स अक्षर, Base64 में 44) — किसी API key, session secret, JWT_SECRET या SECRET_KEY के लिए। यही टैब GitHub से पहचाने जाने वाले प्रारूप में 2FA बैकअप कोड भी बनाता है (k7fp-2mqx), ऐसे अक्षर समूह से जिसमें कोई मिलता-जुलता अक्षर नहीं है ताकि कागज़ पर लिखे जाने के बाद भी पढ़े जा सकें।

यह टूल केवल आपके ब्राउज़र में क्यों काम करता है

अधिकांश पासवर्ड जनरेटर ठीक काम करते हैं — जब तक आप यह नहीं सोचते कि वास्तव में क्या हो रहा है। जब आप किसी सर्वर पर पासवर्ड जनरेट करते हैं, तो वह सर्वर सैद्धांतिक रूप से उसे देखता है। अधिकांश साइटों के लिए यह शायद ठीक है। लेकिन “शायद” वह निश्चितता नहीं है जो आप बैंक खाता या ईमेल सेट करते समय चाहते हैं।

यह जनरेटर एक सिद्धांत के इर्द-गिर्द बनाया गया है: पासवर्ड कभी भी आपके डिवाइस को नहीं छोड़ता। सब कुछ JavaScript में सीधे आपके ब्राउज़र में चलता है। कोड का प्रासंगिक हिस्सा:

const array = new Uint8Array(length);
crypto.getRandomValues(array);

crypto.getRandomValues() आपके ऑपरेटिंग सिस्टम के रैंडम नंबर जनरेटर से एंट्रोपी खींचता है — वही स्रोत जो क्रिप्टोग्राफिक लाइब्रेरी उपयोग करती हैं। इस टैब को बंद करें और पासवर्ड चला जाता है। कोई लॉग नहीं, कोई डेटाबेस नहीं, कोई सर्वर नहीं।

पासवर्ड “ट्रिक्स” की समस्या

वर्षों से सुरक्षा सलाह इस तरह सुनाई देती थी: एक शब्द लें, पहले अक्षर को बड़ा करें, अंत में एक नंबर जोड़ें, एक अक्षर को प्रतीक से बदलें। P@ssw0rd जैसा कुछ।

हमलावर इन ट्रिक्स को जानते हैं। डिक्शनरी अटैक केवल सामान्य शब्दों की कोशिश नहीं करते — वे सामान्य संशोधनों के साथ सामान्य शब्दों की कोशिश करते हैं। P@ssw0rd एक मजबूत पासवर्ड नहीं है; यह वेश में एक कमजोर पासवर्ड है।

“पासवर्ड अंडरवियर की तरह हैं: लोगों को उन्हें देखने मत दो, अक्सर बदलो, और अजनबियों के साथ साझा नहीं करना चाहिए।”
— Chris Pirillo

वास्तविक बदलाव पासवर्ड मैनेजर के साथ आया। जब आपको पासवर्ड याद नहीं रखना पड़ता — जब यह Bitwarden, 1Password, या KeePass में सुरक्षित रूप से रहता है — तो हर अकाउंट के लिए xK9#mP2$vL5@nQ8 जैसा कुछ उपयोग न करने का कोई कारण नहीं है। जनरेट करें, कॉपी करें, स्टोर करें। यही पूरा वर्कफ्लो है।

नियमित रूप से पासवर्ड बदलने की जरूरत इस टूल को बनाने के मूल कारणों में से एक थी। पासवर्ड को रोटेट करने में 30 सेकंड लगने चाहिए, सिरदर्द नहीं।

कितना लंबा पर्याप्त है?

जटिलता से अधिक लंबाई मायने रखती है। केवल छोटे अक्षरों से बना 20-वर्ण का पासवर्ड, सभी चार प्रकार के वर्णों वाले 10-वर्ण के पासवर्ड की तुलना में अधिक एंट्रोपी रखता है। दोनों मायने रखते हैं, लेकिन लंबाई जीतती है।

पासवर्ड	लंबाई	तोड़ने का समय
`password123`	11 वर्ण	< 1 सेकंड
`RajeshKumar1985`	15 वर्ण	3 घंटे
`Abc123!@#`	9 वर्ण	2 दिन
`MyD0g!sF1uffy`	13 वर्ण	5 साल
`Tr$7mK@p9Lq2`	12 वर्ण	200+ साल
`xK9#mP2$vL5@nQ8`	15 वर्ण	34,000 साल

NIST Special Publication 800-63B न्यूनतम 8 वर्णों की अनुशंसा करता है, लेकिन नोट करता है कि लंबाई शक्ति का प्राथमिक चालक है — अनिवार्य विशेष वर्ण आवश्यकताएं अक्सर पासवर्ड को अधिक अनुमानित बनाकर उलटी पड़ जाती हैं।

वर्ण प्रकार क्या करते हैं

बड़े अक्षर (A–Z) — प्रति स्थान 26 संभावनाएं
छोटे अक्षर (a–z) — 26 और
नंबर (0–9) — 10
प्रतीक (!@#$%…) — चरित्र सेट के आधार पर 32+

सभी चार प्रकारों के साथ 16 वर्णों में (प्रति स्थान 94 संभावित मान): 94¹⁶ ≈ 3.7 × 10³¹ संयोजन। एक आधुनिक GPU क्लस्टर जो प्रति सेकंड एक अरब पासवर्ड क्रैक करता है, उसे ब्रह्मांड की आयु से अधिक समय की आवश्यकता होगी।

डेवलपर्स के लिए: कुंजियाँ, सीक्रेट्स और बल्क आउटपुट

कुंजियाँ टैब इसलिए है क्योंकि changeme और secret123 जितना कोई मानता है उससे कहीं ज़्यादा बार .env फ़ाइलों में पहुँच जाते हैं। लाइब्रेरी को वास्तव में जिस प्रारूप की ज़रूरत है वही मान जनरेट करें — कच्ची कुंजी चाहने वाली किसी भी चीज़ के लिए हेक्स, टोकन और हेडर के लिए Base64, और जहाँ शेल या URL + और / पर अटक जाए वहाँ अक्षर-अंक — और इसे अक्षरों की बजाय बाइट में तय करें, क्योंकि कुंजी की मज़बूती इसी तरह बताई जाती है: 16 बाइट एक 128-बिट कुंजी है, 32 बाइट 256-बिट।

सब कुछ crypto.getRandomValues() से आता है, ब्राउज़र का CSPRNG — Python के secrets या Go के crypto/rand जैसा ही स्रोत, और स्पष्ट रूप से Math.random() नहीं, जो इतना अनुमानित है कि उसे फिर से बनाया जा सकता है।

पैनलों के नीचे, एक साथ कई जनरेट करें 1,000 तक मान बनाता है और उन्हें TXT, CSV, JSON, YAML, .env या SQL के रूप में डाउनलोड करता है — टेस्ट खाते तैयार करने, शुरुआती क्रेडेंशियल बाँटने, या बिना कोई डिस्पोज़ेबल स्क्रिप्ट लिखे कोई कॉलम भरने के लिए। बल्क आउटपुट पासफ़्रेज़ और PIN टैब को नहीं, बल्कि यादृच्छिक-पासवर्ड सेटिंग (या आपके टेम्पलेट) को फ़ॉलो करता है।

दो छोटी सुविधाएँ और: कॉपी करने के 60 सेकंड बाद क्लिपबोर्ड साफ़ करें यह सीमित करता है कि कोई गोपनीय मान सिस्टम क्लिपबोर्ड में कितनी देर टिकता है, और सहेजी गई सेटिंग आपके ब्राउज़र में नियमों का एक नामित सेट रखती है, ताकि जो पॉलिसी आप बार-बार इस्तेमाल करते हैं — जैसे 20 अक्षर, बिना चिह्न, बिना मिलते-जुलते अक्षर — वह एक क्लिक दूर रहे। पेज का URL भी वही सेटिंग साथ लेकर चलता है, जनरेट किया गया मान कभी नहीं, इसलिए किसी पॉलिसी को बुकमार्क करना या किसी सहकर्मी को भेजना सुरक्षित है।

पासवर्ड मैनेजर का तर्क

मजबूत पासवर्ड जनरेट करना बेकार है यदि आप उन्हें पुनः उपयोग करते हैं या डेस्कटॉप पर passwords.txt में स्टोर करते हैं। Verizon का डेटा ब्रीच इन्वेस्टिगेशन रिपोर्ट लगातार पाता है कि 81% उल्लंघनों में चुराए गए या कमजोर पासवर्ड शामिल होते हैं। लोगों द्वारा पासवर्ड पुनः उपयोग करने का सबसे सामान्य कारण: ट्रैक करने के लिए बहुत अधिक खाते।

पासवर्ड मैनेजर इसे साफ-साफ हल करते हैं:

Bitwarden — ओपन सोर्स, मुफ्त स्तर अधिकांश जरूरतों को पूरा करता है, सभी प्लेटफॉर्म पर काम करता है
1Password — पॉलिश UI, उत्कृष्ट परिवार/टीम शेयरिंग
KeePass — पूरी तरह से स्थानीय, कोई क्लाउड नहीं, पूर्ण नियंत्रण

जब पासवर्ड लीक हो

हर उस खाते पर तुरंत बदलें जहां आपने इसका उपयोग किया था
प्रभावित खाते पर 2FA सक्रिय करें
Have I Been Pwned जांचें — पिछले उल्लंघन देखने के लिए अपना ईमेल दर्ज करें
सक्रिय सेशन की समीक्षा करें और अपरिचित सब कुछ रद्द करें

खाता प्रकार के अनुसार सिफारिशें

वित्तीय खाते

16+ वर्ण, सभी वर्ण प्रकार
अद्वितीय पासवर्ड, कभी पुनः उपयोग नहीं किया गया
प्रमाणक ऐप के माध्यम से 2FA (SMS नहीं)

ईमेल

14+ वर्ण — आपका ईमेल हर दूसरे पासवर्ड को रीसेट करता है, जिससे यह आपकी सुरक्षा का ताज बन जाता है
अनिवार्य 2FA
लॉग इन उपकरणों की नियमित जांच करें

सोशल मीडिया

12+ वर्ण
प्रमाणक ऐप के माध्यम से 2FA — SMS-आधारित 2FA SIM-स्वैपिंग हमलों के प्रति संवेदनशील है

काम के खाते

कंपनी नीति का पालन करें (आमतौर पर 14+)
काम के सिस्टम पर कभी भी व्यक्तिगत पासवर्ड का उपयोग न करें; जाने पर तुरंत बदलें

बचने योग्य सामान्य गलतियाँ

सादे पाठ में पासवर्ड स्टोर करना (passwords.txt, नोट्स ऐप, ईमेल ड्राफ्ट) — इसके बजाय एन्क्रिप्टेड पासवर्ड मैनेजर का उपयोग करें।

चैट या ईमेल के माध्यम से पासवर्ड साझा करना — यदि आपको साझा करना ही है तो Bitwarden Send या समान सुरक्षित साझाकरण का उपयोग करें।

केवल ब्राउज़र को पासवर्ड मैनेजर के रूप में भरोसा करना — ब्राउज़र सुधर रहे हैं, लेकिन मास्टर पासवर्ड के साथ एक समर्पित मैनेजर बेहतर एन्क्रिप्शन और क्रॉस-प्लेटफॉर्म समर्थन प्रदान करता है।

भारतीय दिशानिर्देश

भारत की CERT-In (Indian Computer Emergency Response Team, cert-in.org.in) पासवर्ड सुरक्षा सहित साइबर सुरक्षा दिशानिर्देश प्रकाशित करती है। भारत के DigiLocker और UIDAI (आधार) सिस्टम मजबूत प्रमाणीकरण का उपयोग करते हैं, लेकिन उनके माध्यम से जुड़ी सेवाओं को अभी भी व्यक्तिगत पासवर्ड की आवश्यकता होती है। CERT-In विशेष रूप से सभी बैंकिंग और सरकारी खातों पर 2FA सक्षम करने की सिफारिश करता है।

पासवर्ड सुरक्षा आँकड़े

व्यावसायिक उल्लंघनों का 81% चुराए गए या कमजोर पासवर्ड से जुड़े हैं (Verizon DBIR)
59% लोग कई खातों में पासवर्ड का पुनः उपयोग करते हैं
सबसे सामान्य पासवर्ड का 23% 1 सेकंड से कम में तोड़ा जा सकता है
औसत उपयोगकर्ता के पास पासवर्ड की आवश्यकता वाले 100+ ऑनलाइन खाते हैं

अक्सर पूछे जाने वाले प्रश्न

क्या यह जनरेटर वास्तव में निजी है?

हाँ। पासवर्ड जनरेट करते समय अपने ब्राउज़र की डेवलपर कंसोल (F12) खोलें और नेटवर्क टैब जांचें — आप शून्य भेजे गए अनुरोध देखेंगे। सब कुछ स्थानीय रूप से चलता है।

मुझे कितनी बार पासवर्ड बदलना चाहिए?

जब कोई कारण हो: एक ज्ञात उल्लंघन, समझौते का संदेह, या पहुंच साझा करने के बाद। NIST अब अपने लिए अनिवार्य आवधिक रोटेशन की सिफारिश नहीं करता — मजबूर बार-बार बदलाव आमतौर पर कमजोर, अनुमानित पासवर्ड का कारण बनते हैं।

क्या मैं कई खातों के लिए एक ही पासवर्ड का उपयोग कर सकता हूँ?

नहीं। एक उल्लंघन उस पासवर्ड को साझा करने वाले हर खाते को उजागर करता है। एक पासवर्ड मैनेजर सैकड़ों खातों के लिए अनूठे पासवर्ड बनाए रखना आसान बनाता है।

पासवर्ड या पासफ़्रेज़ — कौन सा इस्तेमाल करूँ?

जो चीज़ पासवर्ड मैनेजर आपके लिए टाइप करता है उसके लिए यादृच्छिक पासवर्ड इस्तेमाल करें, और उन कुछ गोपनीय मानों के लिए पासफ़्रेज़ जिन्हें आपको खुद टाइप करना पड़ता है — मैनेजर का मास्टर पासवर्ड, डिस्क एन्क्रिप्शन, लैपटॉप लॉगिन। EFF सूची के पाँच शब्द लगभग 65 बिट एन्ट्रॉपी के बराबर हैं — सभी चार वर्ण प्रकारों वाले 10-वर्ण के यादृच्छिक पासवर्ड जितना ही — और फ़ोन या TV रिमोट पर सही-सही टाइप करना कहीं आसान है।

क्या मैं यादृच्छिक PIN जनरेट कर सकता हूँ?

हाँ, PIN टैब 3 से 12 अंक बनाता है और अनुमान लगाए जा सकने वाले PIN अस्वीकार करता है: 1234, 0000, दोहराए गए अंक और जन्म वर्ष। सामान्य चार की जगह छह अंक टाइप करने में लगभग कुछ भी अतिरिक्त खर्च नहीं होता, लेकिन हमलावर को जितने अनुमान लगाने पड़ते हैं वह सौ गुना बढ़ जाता है।

क्या मैं इसे API key और एप्लिकेशन सीक्रेट के लिए इस्तेमाल कर सकता हूँ?

यही तो कुंजियाँ टैब का काम है: हेक्साडेसिमल, Base64 या अक्षर-अंक आउटपुट, बाइट में तय किया गया आकार। 32 बाइट एक 256-बिट कुंजी है, जिसे अधिकांश लाइब्रेरी JWT_SECRET, SECRET_KEY या वेबहुक सिग्नेचर के लिए मज़बूत सीक्रेट मानती हैं। यही टैब 2FA बैकअप कोड भी जनरेट करता है।

क्या मैं एक बार में एक से ज़्यादा जनरेट कर सकता हूँ?

एक साथ कई जनरेट करें 1,000 तक मान बनाता है और उन्हें TXT, CSV, JSON, YAML, .env या SQL के रूप में डाउनलोड करता है। यह यादृच्छिक-पासवर्ड सेटिंग या आपके टेम्पलेट का उपयोग करता है, इसलिए यह पासफ़्रेज़ और PIN टैब के लिए नहीं बल्कि खाते बनाने और टेस्ट डेटा के लिए है।

क्या मजबूत है — लंबाई या जटिलता?

लंबाई। केवल छोटे अक्षरों का 20-वर्ण का पासवर्ड, सभी वर्ण प्रकारों वाले 10-वर्ण के पासवर्ड की तुलना में अधिक एंट्रोपी रखता है। दोनों का उपयोग करें, लेकिन लंबाई को प्राथमिकता दें।

अगर मैं पासवर्ड भूल जाऊं तो क्या होगा?

केवल एक मास्टर पासवर्ड याद रखने की जरूरत हो इसलिए पासवर्ड मैनेजर का उपयोग करें। मैनेजर के बिना खातों के लिए, अधिकांश सेवाएं ईमेल-आधारित रिकवरी प्रदान करती हैं — इसलिए मजबूत पासवर्ड और 2FA के साथ अपने ईमेल की सुरक्षा करना अनिवार्य है।