Sobre o onepassword.net

O que é

14 geradores e um testador de força de senha para o que desenvolvedores e qualquer outra pessoa precisam de vez em quando: senhas, frases secretas, PINs, UUIDs, chaves de API, salts, hashes e códigos de resgate. Tudo grátis, sem conta, sem limite de uso, sem anúncios e sem versão paga.

Todos funcionam inteiramente no seu navegador. Não existe um servidor para onde mandar o que você gera, e isso é um fato da arquitetura, e não uma promessa sobre as nossas intenções. A página de privacidade explica como conferir isso em um minuto.

Três regras

Quase todas as ferramentas desse tipo parecem iguais por fora. O que muda é o que acontece quando a resposta fácil e a certa não coincidem. Estas são as três regras que decidem isso aqui, e cada uma foi escrita para você conferir, e não para acreditar.

1. O acaso vem de um lugar só

Todos os valores aleatórios deste site — cada caractere de cada senha, cada sílaba, cada byte de cada chave — saem da fonte aleatória criptográfica do navegador: crypto.getRandomValues(), ou crypto.randomUUID() nos UUIDs da versão 4.

Quando um valor precisa cair num alfabeto ou numa faixa de dígitos, a amostragem por rejeição faz com que todos os resultados tenham exatamente a mesma chance. As chaves, os salts e os UUIDs não precisam desse passo: usam os bytes aleatórios do jeito que saem.

Math.random() nunca é chamado. Isso você pode conferir: abra os arquivos JavaScript que uma ferramenta carrega e procure. O texto da maioria das páginas menciona a função, sim, para explicar por que ela não é usada.

2. Cada número é contado ou marcado como estimativa

Números de entropia são fáceis de inflar, e quase ninguém os confere. Por isso cada um diz de que tipo é.

O gerador de senhas pronunciáveis dá um número exato: as sílabas dele estão enumeradas e são sorteadas de forma uniforme, e uma senha gerada só pode ser dividida em sílabas de um jeito, então o número de possibilidades é literalmente 256ⁿ × 3 com as sílabas em português. Os testes unitários conferem essa ida e volta em vez de supô-la.

O testador de força de senha dá uma estimativa, e diz isso. Ele também publica as quatro categorias de fraqueza que não detecta, o nome da biblioteca que as detecta e quanto essa biblioteca pesa.

3. Dizer “você não precisa disto” vale mais que dizer algo impressionante

O gerador de saltEN (em inglês) começa avisando que, se você usa bcrypt ou Argon2, a biblioteca já criou o seu salt e aquela página não tem nada para lhe dar. Isso descreve a maioria de quem chega até ela.

O gerador de PIN descarta os PINs previsíveis e depois explica que esse filtro deixa o sorteio um pouco menos uniforme: contra um atacante que sabe que o filtro está ligado, três tentativas passam de 0,0300% para 0,0308%. Ficar calado teria sido mais fácil, e desonesto.

Se uma fonte não pôde ser lida e verificada, ela não é citada, mesmo que viesse bem a calhar.

O que ele não faz, de propósito

• Guardar qualquer coisa. Nem contas, nem histórico, nem valores salvos. Uma ferramenta que pudesse mostrar a senha da semana passada seria uma ferramenta que a guardou.
• Calcular o hash dos seus arquivos. O seu sistema operacional faz isso melhor, sem internet e sem uma página da web no meio.
• Oferecer um gerenciador de senhas. Gerar uma senha forte é a metade fácil. Guardá-la é outro produto, e uma responsabilidade muito maior.
• Publicar uma API. Uma API exige um servidor, e um servidor significa que os seus valores viajam para algum lugar. Não compensa.
• Mostrar anúncios ou inventar avaliações. Sem publicidade, e sem notas com estrelinhas inventadas nos dados estruturados, uma prática tão comum nesse tipo de site que vale a pena citá-la.

Quem faz

É um projeto independente, publicado sem assinatura. É de propósito: um nome numa assinatura não é algo que você possa verificar, e a credibilidade deste site quer se apoiar em coisas que você pode: as contas podem ser refeitas, as fontes são nomeadas e citadas, e o código que produz cada número pode ser lido na própria página.

Quando um número vem de outro lugar, a página nomeia a especificação, o artigo ou o conjunto de dados de onde ele sai. Quando foi calculado aqui, a página também diz isso, e um teste unitário o mantém nesse valor.

O OnePassword.net é um conjunto independente e gratuito de geradores online. Ele não é afiliado à 1Password nem à AgileBits, Inc., não tem o apoio delas e não tem nenhuma relação com elas.

Quando algo estiver errado

Algo vai estar. Se um número estiver errado, se uma fonte já não sustentar o que se diz ou se uma página falhar no seu aparelho, vale um e-mail: veja a página de contato. As correções são feitas na página, e a data no alto muda junto.