密語是由幾個隨機單字串在一起的字串，例如 walnut-ferry-tidal-oxygen-clamp-violin。密碼則是隨機字元組成的字串，例如 q7#Vd!m2Kp@x。兩者的強度可以一樣強：從大型單字表中隨機選出的六個單字，強度大約等於 12 個隨機字元。需要由密碼管理器自動填入的內容，請用免費密碼產生器產生隨機字元密碼；只有你必須自己記住或手動輸入的少數東西，才用密語。
關鍵在於「隨機」。你自己挑選的密語（例如歌詞）很弱；由骰子或軟體挑選的密語才強。
快速比較
| 隨機密碼 | 隨機密語 | |
|---|---|---|
| 看起來像 | q7#Vd!m2Kp@x |
walnut-ferry-tidal-oxygen-clamp-violin |
| 強度來自 | 每個位置有很多可能的字元 | 每個位置有很多可能的單字 |
| 典型的強長度 | 16 到 20 個字元 | 6 到 7 個單字 |
| 容易記住嗎？ | 不容易 | 還算容易 |
| 在手機或電視遙控器上容易輸入嗎？ | 不容易，需要切換很多符號 | 容易，大多是小寫字母 |
| 處處都能用嗎？ | 幾乎可以；有些網站限制長度或禁用某些符號 | 有些網站的長度上限低於很長的密語 |
| 最適合 | 所有存放在密碼管理器中的密碼 | 密碼管理器主密碼、電腦登入、經常要輸入的 Wi-Fi 密碼 |
強度如何計算
強度以熵（位元）計算：每增加一個位元，攻擊者可能需要猜測的次數就會加倍。
- 產生器的 85 個字元集（字母、數字與 23 個符號）中，每個隨機字元增加約 6.4 位元。
- 從 7,776 個單字的清單（即廣泛使用的骰子密碼清單大小，每個單字由五次骰子擲出的結果決定）中隨機選一個單字，增加約 12.9 位元。
所以一個隨機單字的價值約等於兩個隨機字元。以下是一些對照：
| 密語 | 位元 | 相近的隨機密碼 |
|---|---|---|
| 4 個單字（7,776 字清單） | 約 52 | 8 個字元（約 51 位元） |
| 5 個單字 | 約 65 | 10 個字元（約 64 位元） |
| 6 個單字 | 約 78 | 12 個字元（約 77 位元） |
| 8 個單字 | 約 103 | 16 個字元（約 103 位元） |
只有當每個單字都是從整個清單中隨機挑選時，這些數學才成立。如果你自己挑單字，你會挑到常見、彼此相關的單字，而攻擊工具正是最先嘗試這些組合。清單較小也意味著位元較少：如果只有 2,000 個單字，每個單字只增加約 11 位元。
想知道這些位元數換算成時間有多長，請見密碼要多久才會被破解。
密碼勝出的情況
- 密碼管理器裡面。 你從來不用輸入或記住它們，所以要做得很長，並且完全隨機。包含四種字元類型的 20 個字元，約有 128 位元，遠超過你會想手動輸入的任何密語。
- 有短長度限制的網站。 有些舊網站把密碼上限設在 16 或 20 個字元。隨機字元能用較少的字元裝進較多的強度。
- API 金鑰、服務帳戶與共用的秘密。 機器不在乎好不好記。
密語勝出的情況
- 密碼管理器的主密碼。 它是你必須記住的那一個，而且保護著其他所有東西。六到七個隨機單字是很好的目標。
- 電腦或手機的登入，如果你是用密碼而不是 PIN 碼或指紋的話。
- **需要用彆扭的鍵盤輸入的內容：**智慧電視、遊戲主機，或是來訪的客人要手動輸入的 Wi-Fi 密碼。
- 需要唸出來的內容，例如
quartz-lemon-harbor在電話中傳達，比q7#Vd!m2好得多。
依據 NIST SP 800-63B（第 4 版，2025 年），歡迎使用長密碼與密語，網站應允許空白字元並接受至少 64 個字元，也不應強制組合規則或定期更換。有些網站仍要求大寫字母、數字與符號。可以把它們放在一個固定可預測的位置，例如 Walnut-ferry-tidal-oxygen-clamp-violin-7。這不會增加多少強度，但能滿足規則，又不會削弱隨機單字。
各自的做法
隨機密碼：打開免費密碼產生器，設定長度（預設 20，可從 8 到 128），保持小寫、大寫、數字與符號都勾選，按下產生，再按複製。它是在你的裝置上產生的，從不會傳送到任何地方。
**隨機密語：**密碼產生器只產生字元密碼，不會挑選單字。有兩種方式可以得到隨機密語：
- 骰子。 使用公開的「骰子密碼」單字表，每個單字擲五次骰子。每次擲出的結果從 7,776 個單字中選出一個。這種方式較慢，但完全離線。
- 我們的隨機挑選器。 打開免費亂數產生器，選擇從清單挑選，貼上一個很長的單字清單（每行一個單字，越長越好），把要挑選的數量設為 6，然後按下挑選。它使用瀏覽器的安全隨機來源，而且不會上傳任何內容。用連字號或空白把單字接起來即可。
無論你選哪一種，都不要把結果改成「比較好聽」的樣子。把隨機單字換成你喜歡的單字，正是強度流失的原因。
常見迷思
**「密語一定比較強，因為比較長。」**字母的多寡不重要，重要的是隨機選擇的次數。correcthorsebattery 有 19 個字母，但只有 3 個隨機單字，從 7,776 字清單來看約 39 位元，比一個隨機 8 個字元的密碼還弱。
「把字母換成符號就很強。」P@ssw0rd 是任何破解工具最先嘗試的猜測之一。a→@、o→0 這類替換是眾所周知的。
**「我先把密碼雜湊一下，就會變隨機。」**雜湊一個弱密碼會得到很長的字串，但攻擊者只要知道你的方法，就能對同樣的猜測做雜湊。免費雜湊產生器是用來產生檢查碼的，不是用來製作密碼的。
若想了解完整的做法，包括每種帳戶該用多長的密碼，請閱讀如何建立強密碼。
現在就產生一個
對於密碼管理器要管理的每一個帳戶，隨機的 16 到 20 個字元的密碼是最強、也最簡單的選擇。用免費密碼產生器做一個，直接複製到你的管理器中，而把密語留給你自己需要打字的少數幾件事。
常見問題
- 密語比密碼更安全嗎？
- 不一定。六個隨機單字和 12 個隨機字元的強度大約相同。隨機密語比較容易記住；隨機密碼則能在相同強度下更短。
- 密語應該有幾個單字？
- 對於重要的事物，例如密碼管理器的主密碼，應該用大型清單中的六個或更多隨機單字。四個單字的強度只等於一個隨機 8 個字元的密碼。
- 我可以把一句話或歌詞當作密語嗎？
- 比短密碼好，但好不了多少。著名的句子與歌詞都在攻擊者的清單裡。由骰子或軟體挑選的隨機單字，強度要強得多。
- EveryApp 的產生器能產生密語嗎？
- 不能，它只產生 8 到 128 個字元的隨機字元密碼。要製作密語，請用骰子搭配骰子密碼單字表，或使用亂數產生器的「從清單挑選」功能配合一份很長的單字清單。
- 密語應該包含空白嗎？
- 只要網站允許，空白是可以的。連字號是安全的選擇，因為幾乎每個網站都接受它。
產生器
試試密碼產生器
免費、免註冊，在瀏覽器中就能用。 一鍵產生高強度的隨機密碼：選擇 8 到 128 個字元的長度，以及要使用小寫字母、大寫字母、數字和符號中的哪些類型，然後複製即可。