Проверка надёжности пароля

Страница не делает сетевых запросов — чекер это несколько килобайт арифметики во вкладке, и панель сети остаётся пустой, пока вы печатаете, в чём можно убедиться. И всё же аккуратная привычка — проверять кандидата той же формы, а не тот пароль, которым уже пользуетесь.

Потому что настолько различаются сценарии. Онлайн-атакующий упирается в лимиты сервера — порядка сотни попыток в секунду в лучшем случае. Офлайн-атакующий держит украденный файл хешей и спрашивает ферму GPU — десятки миллиардов быстрых хешей в секунду. Один и тот же пароль в одной истории цел, в другой — уже нет.

Энтропия — длина, умноженная на log2 пула, и длина — топливо экспоненты: 25 строчных букв несут около 117 сырых бит, а 8 символов полной клавиатуры — около 52. Замена o на 0 не добавляет почти ничего — взломщики пробуют эти мутации первыми. Длинное и запоминаемое бьёт короткое и вычурное.

Не украшать — удлинять. Четыре случайных слова лучше любого восьмисимвольного выверта; менеджер паролей лучше обоих, делая каждый пароль случайным и уникальным. И включайте двухфакторную аутентификацию, где дают: это контроль, переживающий даже взломанный пароль.