Riêng tư tuyệt đối: mật khẩu được tạo ngay trên trình duyệt của bạn, nhờ hàm crypto.getRandomValues chuyên dùng cho mục đích mật mã. Không ký tự nào được gửi lên máy chủ của Vòng Quay May Mắn, và công cụ không lưu lại mật khẩu sau khi bạn rời trang.
Mật khẩu mạnh là gì?
Mật khẩu mạnh là mật khẩu đủ dài, được tạo ngẫu nhiên và chỉ dùng cho đúng một tài khoản. Trong ba yếu tố đó, độ dài quan trọng nhất: một chuỗi 16 ký tự ngẫu nhiên gồm chữ thường và số vẫn khó đoán hơn một chuỗi 8 ký tự trộn đủ chữ hoa, số và ký hiệu.
Nhiều người nghĩ “mạnh” nghĩa là phải có @, # hay chữ in hoa. Thực tế, những mật khẩu kiểu Matkhau@2026 trông phức tạp nhưng lại theo một khuôn rất phổ biến: một từ có nghĩa, viết hoa chữ đầu, thêm ký hiệu và năm. Công cụ dò mật khẩu luôn thử những khuôn như vậy trước tiên. Điều làm nên sức mạnh là tính không đoán trước được, và cách đáng tin nhất để có điều đó là để máy chọn ngẫu nhiên thay cho bạn.
Cách tạo mật khẩu ngẫu nhiên trên trang này
Password generator ở phía trên cho phép tùy chỉnh khá chi tiết. Các bước:
- Chọn độ dài từ 6 đến 64 ký tự bằng thanh trượt. Với tài khoản quan trọng, nên để từ 16 trở lên.
- Chọn bộ ký tự: bật hoặc tắt chữ hoa, chữ thường, số, ký tự đặc biệt. Một số hệ thống cũ không nhận ký hiệu, khi đó hãy tắt ô này và tăng độ dài để bù lại.
- Bỏ ký tự dễ nhầm nếu bạn phải đọc hoặc gõ tay mật khẩu: công cụ loại 0 và O, 1, l và I để tránh nhập sai.
- Chọn số lượng: tạo 1 đến 20 mật khẩu một lần, tiện khi cần cấp cho nhiều tài khoản mới.
- Xem thanh đo độ mạnh: con số entropy (tính bằng bit) cho biết mật khẩu khó đoán tới đâu.
- Bấm sao chép một chạm rồi dán thẳng vào ô mật khẩu hoặc trình quản lý mật khẩu.
Muốn có thứ dễ nhớ hơn, hãy chuyển sang chế độ cụm từ dễ nhớ: công cụ ghép ngẫu nhiên 3 đến 8 từ tiếng Việt không dấu kèm chữ số, ví dụ dạng ca-phe-may-bay-sach-47 (đây chỉ là mẫu minh họa, đừng dùng lại).
Vì sao độ dài quan trọng hơn độ phức tạp?
Vì mỗi ký tự thêm vào nhân số khả năng lên nhiều lần, còn việc mở rộng bộ ký tự chỉ tăng từng chút. Hãy so sánh bằng phép tính đơn giản.
Một mật khẩu 8 ký tự lấy từ 94 ký tự in được trên bàn phím có khoảng 94 mũ 8, tức chừng 6 triệu tỷ tổ hợp. Nghe nhiều, nhưng một mật khẩu 16 ký tự chỉ gồm 26 chữ thường đã có 26 mũ 16, lớn hơn con số kia khoảng 7 triệu lần. Nói cách khác, gấp đôi độ dài hiệu quả hơn hẳn việc ép người dùng chèn ký hiệu.
Thêm một lợi ích: mật khẩu dài chỉ gồm chữ và số dễ gõ trên điện thoại hơn, ít lỗi khi nhập trên tivi thông minh hay máy in văn phòng, nơi bàn phím ảo thường giấu ký hiệu ở trang thứ hai.
Entropy mật khẩu là gì và tính thế nào?
Entropy là thước đo độ khó đoán của mật khẩu, tính bằng bit. Mỗi bit tăng thêm làm số khả năng phải thử gấp đôi. Mật khẩu 60 bit khó đoán gấp khoảng một nghìn lần mật khẩu 50 bit.
Với mật khẩu tạo ngẫu nhiên hoàn toàn, công thức là: Entropy = L × log2(N), trong đó L là độ dài, N là số ký tự có thể xuất hiện ở mỗi vị trí. Ví dụ chỉ dùng chữ số (N = 10), mỗi ký tự cho log2(10) ≈ 3,32 bit; dùng chữ thường (N = 26) được khoảng 4,70 bit mỗi ký tự.
| Bộ ký tự (N) | Bit mỗi ký tự | 8 ký tự | 12 ký tự | 16 ký tự | 20 ký tự |
|---|---|---|---|---|---|
| Chỉ số (10) | 3,32 | 27 bit | 40 bit | 53 bit | 66 bit |
| Chữ thường (26) | 4,70 | 38 bit | 56 bit | 75 bit | 94 bit |
| Chữ thường + số (36) | 5,17 | 41 bit | 62 bit | 83 bit | 103 bit |
| Chữ hoa + thường (52) | 5,70 | 46 bit | 68 bit | 91 bit | 114 bit |
| Hoa + thường + số (62) | 5,95 | 48 bit | 71 bit | 95 bit | 119 bit |
| Đầy đủ ký tự in được (94) | 6,55 | 52 bit | 79 bit | 105 bit | 131 bit |
Nhìn bảng, bạn sẽ thấy 16 ký tự chữ thường (75 bit) đã vượt xa 8 ký tự đầy đủ ký hiệu (52 bit). Bỏ ký tự dễ nhầm làm N giảm đi vài đơn vị, entropy mỗi ký tự giảm nhẹ, nên khi bật tùy chọn này bạn có thể thêm một hai ký tự để bù.
Một mốc tham khảo thường gặp: dưới khoảng 40 bit là yếu, từ 60 bit trở lên là khá cho tài khoản thông thường, và từ 80 bit trở lên là thoải mái cho email, ngân hàng hay tài khoản quản trị. Đây là hướng dẫn chung, không phải tiêu chuẩn bắt buộc.
Lưu ý quan trọng về entropy
Công thức trên chỉ đúng khi mật khẩu thật sự ngẫu nhiên. Mật khẩu do người tự nghĩ, như tên người yêu kèm ngày sinh, có entropy thực tế thấp hơn rất nhiều so với con số tính theo độ dài, vì kẻ tấn công không thử mù mà thử những gì con người hay chọn.
Cụm từ dễ nhớ (passphrase) là gì và khi nào nên dùng?
Passphrase là mật khẩu được ghép từ nhiều từ ngẫu nhiên, ví dụ bốn đến sáu từ không liên quan đến nhau. Nó dài nên mạnh, lại gồm những từ quen thuộc nên dễ nhớ và dễ gõ hơn một chuỗi ký tự lộn xộn.
Cách tính entropy cũng tương tự, chỉ khác N là số từ trong kho từ. Giả sử kho có 2.048 từ, mỗi từ chọn ngẫu nhiên cho log2(2048) = 11 bit. Năm từ sẽ là 55 bit, thêm hai chữ số ngẫu nhiên được khoảng 6,6 bit nữa, tổng chừng 62 bit. Kho từ càng lớn hoặc càng nhiều từ thì càng mạnh; thanh đo trên công cụ sẽ hiển thị con số cụ thể cho cụm bạn vừa tạo.
Nên dùng passphrase cho: mật khẩu mở khóa máy tính, mật khẩu chính của trình quản lý mật khẩu, mật khẩu wifi bạn hay phải đọc cho khách. Nên dùng chuỗi ký tự ngẫu nhiên cho: những tài khoản đã có trình quản lý mật khẩu nhớ hộ, vì bạn không bao giờ phải gõ tay.
Điều cần tránh là tự chọn từ theo ý mình, chẳng hạn một câu thơ nổi tiếng hay khẩu hiệu quen thuộc. Hãy để công cụ chọn từ ngẫu nhiên, đó mới là nguồn sức mạnh.
NIST SP 800-63B khuyến nghị gì về mật khẩu?
NIST SP 800-63B là bộ hướng dẫn về xác thực danh tính số của Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ, được nhiều tổ chức trên thế giới tham khảo. Bản sửa đổi thứ tư (SP 800-63B-4), hoàn thiện năm 2025, đi theo hướng ưu tiên độ dài và bỏ những luật gây phiền mà không giúp an toàn hơn. Ở mức tổng quan:
- Độ dài tối thiểu: 15 ký tự khi mật khẩu là yếu tố xác thực duy nhất; tối thiểu 8 ký tự khi dùng kèm xác thực đa yếu tố.
- Cho phép mật khẩu dài: hệ thống nên chấp nhận ít nhất 64 ký tự, cho phép khoảng trắng và ký tự Unicode.
- Không ép quy tắc thành phần kiểu “bắt buộc có chữ hoa, số và ký hiệu”.
- Không bắt đổi mật khẩu định kỳ; chỉ yêu cầu đổi khi có dấu hiệu bị lộ.
- Đối chiếu danh sách chặn: từ chối mật khẩu phổ biến, đã từng bị rò rỉ, từ điển hoặc chứa tên dịch vụ, tên người dùng.
- Hỗ trợ trình quản lý mật khẩu: cho phép dán và tự động điền.
- Không dùng gợi ý mật khẩu hay câu hỏi bảo mật kiểu “tên mẹ của bạn là gì”.
Các khuyến nghị này nhắm vào bên vận hành hệ thống, nhưng người dùng cá nhân cũng rút ra được bài học: chọn mật khẩu dài, ngẫu nhiên, và không cần thay đổi liên tục nếu nó chưa bị lộ.
Có nên dùng lại một mật khẩu cho nhiều tài khoản?
Không. Mỗi tài khoản cần một mật khẩu riêng, vì chỉ cần một trang web bị lộ dữ liệu là mọi tài khoản dùng chung mật khẩu đó đều gặp nguy.
Kẻ xấu thường lấy cặp email – mật khẩu bị lộ từ một dịch vụ rồi tự động thử đăng nhập vào hàng loạt dịch vụ khác. Nếu mật khẩu diễn đàn nấu ăn bạn đăng ký từ lâu trùng với mật khẩu email, thì sự cố ở một trang ít quan trọng có thể trở thành chìa khóa mở hộp thư chính, nơi nhận mã đặt lại mật khẩu của mọi tài khoản khác.
Biến tấu nhẹ như thêm số 1, số 2 vào cuối cũng không giải quyết được vấn đề, vì quy luật đó dễ đoán. Cách bền vững là tạo mật khẩu ngẫu nhiên mới cho từng nơi và giao cho trình quản lý mật khẩu ghi nhớ.
Trình quản lý mật khẩu giúp gì?
Trình quản lý mật khẩu là “két sắt” lưu mọi mật khẩu của bạn, được khóa bằng một mật khẩu chính duy nhất. Bạn chỉ cần nhớ một cụm từ mạnh, phần còn lại phần mềm tự điền.
Các trình duyệt phổ biến đều có sẵn tính năng lưu mật khẩu, ngoài ra có nhiều ứng dụng chuyên dụng chạy trên cả điện thoại và máy tính. Khi chọn, hãy ưu tiên loại có mã hóa đầu cuối, có đồng bộ giữa các thiết bị và cho phép bật xác thực hai lớp cho chính két sắt đó. Quy trình gọn nhất: tạo mật khẩu tại trang này, sao chép, dán vào ô đăng ký, để trình quản lý lưu lại.
Vì sao cần bật xác thực 2 lớp?
Xác thực 2 lớp (2FA) thêm một bước kiểm tra ngoài mật khẩu, nên kể cả khi mật khẩu bị lộ, người khác vẫn không đăng nhập được nếu thiếu lớp thứ hai.
Lớp thứ hai có thể là mã sáu số từ ứng dụng xác thực, thông báo xác nhận trên điện thoại, khóa bảo mật vật lý hoặc passkey. Mã gửi qua SMS vẫn tốt hơn không có gì, nhưng ứng dụng xác thực và khóa bảo mật thường an toàn hơn. Hãy ưu tiên bật 2FA cho email chính, ngân hàng, mạng xã hội và tài khoản lưu trữ đám mây. Nhớ cất mã khôi phục dự phòng ở nơi an toàn, phòng khi mất điện thoại.
Những tình huống thực tế nên dùng trình tạo mật khẩu
| Tình huống | Thiết lập gợi ý | Lý do |
|---|---|---|
| Đặt mật khẩu wifi gia đình | Cụm từ dễ nhớ 4–5 từ + số | Đọc cho khách dễ, không nhầm ký tự |
| Phòng IT cấp tài khoản cho 15 nhân viên mới | Tạo 15 mật khẩu, 16 ký tự, bỏ ký tự dễ nhầm | Mỗi người một mật khẩu riêng, yêu cầu đổi ở lần đăng nhập đầu |
| Tài khoản email chính | 20 ký tự đầy đủ bộ ký tự + bật 2FA | Email là chìa khóa khôi phục mọi tài khoản khác |
| Mật khẩu file nén gửi đồng nghiệp | 14–16 ký tự chữ và số | Gửi mật khẩu qua kênh khác với kênh gửi file |
| Mật khẩu chính của trình quản lý mật khẩu | Cụm từ 6–8 từ | Phải nhớ được mà vẫn rất mạnh |
| Tài khoản học trực tuyến của con | Cụm từ 4 từ | Trẻ tự gõ được, phụ huynh vẫn quản lý |
Mật khẩu tạo ở đây có thực sự ngẫu nhiên và an toàn?
Có. Nguồn ngẫu nhiên ở đây là crypto.getRandomValues, giao diện mà trình duyệt cung cấp riêng cho các tác vụ bảo mật, khác với hàm ngẫu nhiên thông thường vốn chỉ phù hợp cho trò chơi. Mỗi ký tự được chọn độc lập, không theo quy luật nào và không ai, kể cả đội ngũ phát triển trang, biết trước kết quả.
Toàn bộ quá trình diễn ra trên máy bạn: không có yêu cầu gửi mật khẩu đi, không lưu vào lịch sử, không ghi vào bộ nhớ trình duyệt. Nếu muốn kiểm chứng, bạn có thể ngắt mạng sau khi tải trang rồi bấm tạo; công cụ vẫn hoạt động bình thường. Đây cũng chính là nguồn ngẫu nhiên mà vòng quay may mắn và trang quay số ngẫu nhiên sử dụng để chọn kết quả.
Phần an toàn còn lại phụ thuộc vào bạn: đừng tạo mật khẩu trên máy tính công cộng, đừng chụp màn hình gửi qua tin nhắn, và xóa nội dung vừa dán ở các ghi chú tạm.
Những lỗi thường gặp khi đặt mật khẩu
- Dùng thông tin cá nhân: ngày sinh, số điện thoại, biển số xe, tên thú cưng.
- Theo khuôn bàn phím như 123456, qwerty, 1q2w3e.
- Thay chữ bằng số theo kiểu quen thuộc (a thành @, o thành 0); công cụ dò mật khẩu đã biết các phép thay này.
- Ghi mật khẩu lên giấy dán ở màn hình hoặc lưu trong ghi chú không khóa.
- Chia sẻ mật khẩu chung một tài khoản cho cả nhóm thay vì cấp quyền riêng.
- Tin rằng một mật khẩu “rất khó” là đủ mà bỏ qua xác thực 2 lớp.
Ngoài mật khẩu, nếu bạn cần những lựa chọn ngẫu nhiên khác như tung đồng xu quyết định hay quay ra một chữ cái bất kỳ, bộ công cụ của chúng tôi đều dùng chung nguyên tắc: kết quả do máy chọn khách quan, minh bạch.
Câu hỏi thường gặp
Trang web có lưu hoặc nhìn thấy mật khẩu tôi tạo không?
Không. Mật khẩu được sinh ra ngay trong trình duyệt của bạn bằng crypto.getRandomValues và không được gửi tới máy chủ, không lưu vào lịch sử. Khi đóng hoặc tải lại trang, kết quả biến mất. Bạn có thể ngắt mạng sau khi mở trang để tự kiểm chứng rằng công cụ vẫn tạo được mật khẩu.
Mật khẩu nên dài bao nhiêu ký tự là đủ?
Với tài khoản thông thường có bật xác thực 2 lớp, 12 đến 16 ký tự ngẫu nhiên là hợp lý. Với email chính, ngân hàng hay tài khoản quản trị, nên dùng từ 16 đến 20 ký tự. Hướng dẫn NIST bản mới đặt mức tối thiểu 15 ký tự khi mật khẩu là lớp bảo vệ duy nhất.
Entropy bao nhiêu bit thì được coi là mạnh?
Không có mốc tuyệt đối, nhưng thường người ta xem dưới khoảng 40 bit là yếu, từ 60 bit là khá cho tài khoản phổ thông và từ 80 bit trở lên là mạnh. Mỗi bit thêm vào làm số khả năng gấp đôi. Thanh đo trên công cụ hiển thị con số này cho từng mật khẩu bạn tạo.
Cụm từ dễ nhớ có an toàn bằng mật khẩu ký tự ngẫu nhiên không?
Có thể an toàn tương đương nếu đủ số từ và các từ được chọn ngẫu nhiên bởi máy. Một cụm năm đến sáu từ ngẫu nhiên kèm số thường đạt mức entropy tốt, lại dễ gõ và dễ nhớ hơn. Điều quan trọng là không tự chọn câu quen thuộc như lời bài hát hay câu tục ngữ.
Tôi có nên đổi mật khẩu định kỳ ba tháng một lần?
Theo hướng dẫn NIST SP 800-63B bản mới, việc ép đổi định kỳ không còn được khuyến nghị vì người dùng thường chỉ thay đổi nhỏ theo quy luật dễ đoán. Bạn chỉ cần đổi khi có dấu hiệu bị lộ, chẳng hạn nhận cảnh báo đăng nhập lạ hoặc dịch vụ thông báo sự cố.
Vì sao nên bỏ các ký tự dễ nhầm như 0, O, 1, l, I?
Khi phải đọc mật khẩu qua điện thoại, gõ lại từ giấy hoặc nhập trên tivi, những ký tự này rất dễ bị đọc sai và gây khóa tài khoản. Bỏ chúng đi làm entropy mỗi ký tự giảm rất ít, nên bạn chỉ cần thêm một hai ký tự vào độ dài là bù lại được.
Hệ thống không chấp nhận ký tự đặc biệt thì phải làm sao?
Hãy tắt ô ký tự đặc biệt trong công cụ và tăng độ dài lên. Một mật khẩu 18 ký tự gồm chữ hoa, chữ thường và số có entropy khoảng 107 bit, vẫn rất mạnh. Độ dài bù cho bộ ký tự hẹp hiệu quả hơn nhiều so với ngược lại.
Tạo 20 mật khẩu một lần dùng vào việc gì?
Tính năng này hữu ích khi cần cấp tài khoản hàng loạt, ví dụ phòng IT tạo mật khẩu tạm cho nhân viên mới, giáo viên chuẩn bị tài khoản cho học sinh hoặc quản trị viên cài đặt nhiều thiết bị. Mỗi người nhận một mật khẩu riêng và nên được yêu cầu đổi ở lần đăng nhập đầu tiên.