Analyze password entropy, crack time, and check against known data breaches. Your password never leaves the browser.
All password analysis is performed locally in your browser. The breach check uses k-anonymity: only the first 5 characters of your password's SHA-1 hash are sent to Have I Been Pwned. The full hash never leaves your device.
Password strength is measured in entropy bits — the average number of guesses an attacker must try before hitting the password. This tool derives the charset size N from the character classes present (26 lowercase, 26 uppercase, 10 digits, 33 specials), then computes E = length × log₂(N). Each extra bit doubles the search space. The crack-time estimate divides 2^E by 10 billion guesses per second — an offline GPU brute-force rate — and formats the result as seconds, hours, years, or centuries. It also runs eight policy checks (length, case, digits, repeats, sequences, common-password lists) and a k-anonymity breach lookup against Have I Been Pwned.
Every character class widens the search space; entropy grows linearly with length and logarithmically with charset size.
Maya is rolling out a password manager for her team of ten and uses this tester to pick a safe master password. Every number below is what the tool actually computes.
To test password strength: type a candidate — the checker estimates entropy, offline crack time against GPU rigs, and flags patterns, dictionary words, and reuse risks without ever sending the password anywhere.
FreeToolHub Password Strength Checker is a free browser-based tool that scores password entropy and estimates crack time locally, no signup, no transmission.
Analise a força da senha com cálculo de entropia, tempo estimado de quebra, 9 verificações de qualidade e sugestões acionáveis. 100% no lado do cliente.
Este testador analisa a força da senha com matemática real em vez de barras coloridas: ele calcula a entropia em bits a partir do espaço de caracteres e comprimento, estima o tempo de quebra offline contra taxas de ataque modernas de GPU e executa nove verificações de qualidade que abrangem comprimento, variedade de caracteres, sequências repetidas, padrões de teclado, palavras do dicionário e listas de senhas comuns. Cada resultado vem com uma sugestão acionável — não apenas fraca, mas fraca porque contém uma palavra do dicionário e ganharia 26 bits adicionando quatro caracteres aleatórios. A análise é inteiramente do lado do cliente: a senha nunca é transmitida, registrada ou armazenada, que é o único design aceitável para uma ferramenta deste tipo.
Usuários que auditam senhas antes de adotá-las para contas importantes — bancárias, de e-mail, a própria senha mestra do gerenciador de senhas. Equipes que ensinam higiene de segurança demonstram concretamente por que P@ssw0rd!1 falha em nove verificações apesar de parecer em conformidade. Desenvolvedores calibram regras de política de senha contra a realidade da entropia em vez de regras de complexidade ingenuas que empurram os usuários para padrões previsíveis. Qualquer pessoa que escolha uma senha mestra para arquivos criptografados ou carteiras cripto obtém o número de tempo de quebra que indica qual margem de segurança eles realmente têm.
(1) Digite uma senha candidata — a análise é executada ao vivo por tecla. (2) A entropia é calculada como o comprimento vezes o log2 do espaço de caracteres realmente usado: uma senha de 12 caracteres dos quatro conjuntos carrega cerca de 78 bits. (3) As estimativas de tempo de quebra aplicam throughput de ataque real — centenas de bilhões de tentativas por segundo para hashes rápidos — e traduzem bits em durações em escala humana. (4) As nove verificações relatam individualmente com correções específicas; a nota geral pondera o fator mais fraco, porque os atacantes também atacam o fator mais fraco.
As regras de complexidade que todos memorizaram — oito caracteres, maiúsculas, minúsculas, número, símbolo — vieram de uma orientação de 2003 cujo próprio autor mais tarde se desculpou, porque otimizam para a previsibilidade humana: P@ssw0rd1 satisfaz todas as regras e cai instantaneamente. A mudança baseada em pesquisa, formalizada em NIST SP 800-63B, prioriza o comprimento em relação à composição, proíbe a rotação periódica forçada (o que faz os usuários passar de Password1 para Password2) e filtra novas senhas contra listas de violações conhecidas em vez de adivinhar padrões. A melhor prática atual: comprimento 16 ou uma frase de senha aleatória de 4-6 palavras, unicidade por site imposta por um gerenciador de senhas, verificação de violação na criação e autenticação multifator carregando o peso real de segurança para contas importantes. A matemática explica por quê: cada caractere aleatório adicional multiplica o espaço de busca por 70-90×, enquanto símbolos obrigatórios adicionam apenas um pequeno fator constante — e na maior parte apenas empurram todos para as mesmas substituições leetspeak que crackers automatizaram anos atrás. As verificações deste testador codificam o conjunto de regras moderno, então forte aqui significa forte contra como os ataques realmente funcionam.
Comprimento vence complexidade: 16+ caracteres aleatórios de conjuntos mistos. Uma senha aleatória de 12 caracteres resiste à quebra offline muito mais tempo que uma de 8 caracteres com símbolos e substituições como P@ssw0rd, que já está em dicionários.
Uma senha aleatória de 12 caracteres com conjunto misto leva séculos contra rigs GPU típicas; 8 caracteres caem em horas. Este verificador estima o tempo de quebra a partir do espaço de caracteres e comprimento sem armazenar nada.
Sim quando feitas de 4-6 palavras aleatórias — 25+ caracteres com estrutura memorável. Evite citações famosas ou frases derivadas de letras, que aparecem em listas de palavras para quebra.
O preenchimento de credenciais reproduz violações em outros sites. Um gerenciador de senhas com senhas únicas contém o raio de explosão de qualquer vazamento único àquela única conta.
Ele calcula a entropia (bits de aleatoriedade) com base no tamanho do conjunto de caracteres e comprimento, depois estima o tempo de quebra contra ataques offline: 100 bilhões de tentativas/segundo (cluster GPU com hashcat) versus 10.000 tentativas/segundo (login online limitado). Uma senha de 12 caracteres com maiúsculas/minúsculas e símbolos tem ~71 bits de entropia — aproximadamente 34.000 anos a 100 bilhões de tentativas/segundo.
Ele sinaliza palavras do dicionário, padrões de teclado (qwerty, 1qaz2wsx), caracteres repetidos, números sequenciais e substituições comuns (@ por a, 0 por o). Ele também verifica contra as 100.000 senhas mais violadas dos dados HaveIBeenPwned. "P@ssw0rd123" é classificada como fraca apesar de atender às regras de complexidade típicas.
It calculates entropy (bits of randomness) based on character set size and length, then estimates crack time against offline attacks: 100 billion guesses/second (GPU cluster with hashcat) versus 10,000 guesses/second (online throttled login). A 12-character mixed-case password with symbols has ~71 bits of entropy—roughly 34,000 years at 100B guesses/second.
It flags dictionary words, keyboard patterns (qwerty, 1qaz2wsx), repeated characters, sequential numbers, and common substitutions (@ for a, 0 for o). It also checks against the top 100,000 breached passwords from HaveIBeenPwned datasets. "P@ssw0rd123" scores as weak despite meeting typical complexity rules.
What do you call a really smart cookie?
No signups, no data sold. Every tool is free to use — the free tier allows 5 downloads or saves per day, and the optional Pro plan ($7/mo, $59/yr) adds unlimited downloads, batch processing, white-label exports and an ad-free experience.
☕Support me on Ko-fi— support the free tier100% of proceeds go towards hosting & building more free tools.