Deze wachtwoord generator maakt een willekeurig wachtwoord van 8 tot 64 tekens. Standaard krijg je 16 tekens met minstens één hoofdletter, kleine letter, cijfer en symbool: ongeveer 103 bits entropie. Via het tabblad Pincode maak je een code van alleen cijfers. Alles gebeurt lokaal in je browser via de Web Crypto API, dus het wachtwoord wordt nergens naartoe verstuurd, niet opgeslagen en niet gelogd.
Hoe werkt een random wachtwoord generator?
Deze wachtwoordgenerator haalt zijn toeval uit de cryptografisch veilige randomgenerator van je browser, niet uit een server. De tool vraagt via crypto.getRandomValues willekeurige getallen op en kiest daarmee per positie een teken uit de tekens die je hebt aangevinkt. Rejection sampling zorgt dat elk teken even vaak kan voorkomen.
Je kunt dat zelf controleren. Open de ontwikkelaarstools van je browser (F12), ga naar het tabblad Netwerk en klik op "Nieuw wachtwoord genereren": er verschijnt geen enkel verzoek. Alleen het tabblad Wachtzin laadt eenmalig de woordenlijst, zonder iets over je wachtzin te versturen.
Wat is een sterk wachtwoord?
Een sterk wachtwoord is lang, willekeurig en uniek per account; lengte telt zwaarder dan symbolen. De sterkte druk je uit in bits entropie: lengte x log2(aantal mogelijke tekens). Met alle vier de tekensoorten aan heeft de tool 88 tekens tot zijn beschikking (26 hoofdletters, 26 kleine letters, 10 cijfers, 26 symbolen), goed voor 6,46 bits per teken. Een wachtwoord van 16 tekens komt zo op 16 x 6,46 = 103,4 bits.
De tabel toont de gemiddelde kraaktijd bij 1 biljoen (1012) pogingen per seconde, een offline aanval op een snelle hash en de zwaarste rij in de kraaktabel van de tool. Gemiddeld vindt een aanvaller het wachtwoord na de helft van alle mogelijkheden: 2bits / 2 / 1012 seconden.
| Lengte | Letters en cijfers (62 tekens) | Kraaktijd | Alle vier soorten (88 tekens) | Kraaktijd |
|---|---|---|---|---|
| 8 tekens | 47,6 bits | ca. 2 minuten | 51,7 bits | ca. 30 minuten |
| 12 tekens | 71,5 bits | ca. 51 jaar | 77,5 bits | ca. 3.400 jaar |
| 16 tekens | 95,3 bits | ca. 755 miljoen jaar | 103,4 bits | ca. 205 miljard jaar |
| 20 tekens | 119,1 bits | ca. 11 biljard jaar | 129,2 bits | ca. 12 triljoen jaar |
Zie je het patroon? Vier tekens extra levert meer op dan symbolen aanzetten. Het Amerikaanse NIST schrijft in de richtlijn SP 800-63B minimaal 15 tekens voor als het wachtwoord je enige inlogstap is, en 8 tekens als er een tweede factor bij komt. NIST raadt websites af om verplichte tekensoorten op te leggen. Voor accounts die ertoe doen is 16 willekeurige tekens een veilige keuze; 12 is de ondergrens.
Wachtwoord genereren in drie stappen
Een nieuw wachtwoord maken kost je minder dan tien seconden.
- Kies de lengte met de schuifregelaar (8 tot 64 tekens, standaard 16).
- Laat alle tekensoorten aangevinkt, tenzij een website een soort weigert; zet symbolen dan uit en maak het wachtwoord een paar tekens langer. "Minstens één teken van elke gekozen soort" staat standaard aan; zonder die optie mist een wachtwoord van 16 tekens in ongeveer 15 procent van de gevallen een cijfer. Moet je overtypen, kies dan "Gelijkende tekens weglaten (I l 1 O 0)": je houdt 83 tekens over, 6,375 bits per teken.
- Klik op Kopiëren en plak het wachtwoord direct in je wachtwoordbeheerder. Werkt kopiëren niet, selecteer het dan en druk op Ctrl+C. Met Aantal maak je er 1, 5 of 10 tegelijk, elk met een eigen knop Kopiëren.
Hoe lang duurt het om een wachtwoord te kraken?
Dat hangt vooral af van hoe de website je wachtwoord opslaat: een willekeurig wachtwoord van 16 tekens houdt zelfs de snelste offline aanval langer tegen dan het heelal bestaat. De tool toont daarom drie aanvallen (zie de tabel en "Aannames" in de tool). Bcrypt draait met kosten 5 op één RTX 4090; 1012 pogingen per seconde staat gelijk aan ongeveer 3,5 RTX 4090-kaarten op een snelle hash. Veel sites gebruiken hogere bcrypt-kosten, en dan duurt kraken nog langer.
| Aanval op 16 tekens, 88 tekens (103,35 bits) | Pogingen per seconde | Gemiddelde kraaktijd |
|---|---|---|
| Online aanval op een login | 10 | langer dan de leeftijd van het heelal |
| Gestolen database, bcrypt (één RTX 4090) | 184.000 | langer dan de leeftijd van het heelal |
| Gestolen database, snelle hash zoals NTLM | 1012 | ca. 205 miljard jaar |
Let op: deze kraaktijden gelden alleen voor willekeurige wachtwoorden. Een zelfbedacht wachtwoord valt veel sneller, omdat aanvallers eerst woordenlijsten en patronen proberen.
Wachtwoord generator met woorden: de wachtzin
Een wachtzin (ook wel wachtwoordzin) is een reeks willekeurige woorden. Open het tabblad Wachtzin en kies 4 tot 10 woorden, een scheidingsteken en eventueel hoofdletters of een extra cijfer. Zes woorden uit een lijst van 7.776 woorden geven 77,5 bits (6 x log2(7.776) = 77,55), even sterk als 12 willekeurige tekens, maar makkelijker te onthouden. De Nederlandse woordenlijst is door gHacks samengesteld uit de OpenTaal Woordenlijst, zonder namen, Engelse woorden en beladen woorden.
Sterk wachtwoord voorbeeld
Gebruik nooit een voorbeeld van een website: wat online staat, is niet meer geheim.
| Voorbeeld | Opbouw | Sterkte |
|---|---|---|
*XG-f?v52p<9^KS( |
16 willekeurige tekens, vier soorten | 103,4 bits, zeer sterk |
Rq=YK%RM]D=:pV)7peOn |
20 willekeurige tekens, vier soorten | 129,2 bits, zeer sterk |
Zomer2026! |
woord, jaartal, uitroepteken | zwak: voldoet aan elke regel, maar staat bovenaan elke kraaklijst |
Pincode generator
Op het tabblad Pincode maakt de tool een willekeurige code van 4 tot 12 cijfers, standaard 6. Een pincode van 6 cijfers heeft 19,9 bits (6 x log2(10)) en valt bij 10 pogingen per seconde gemiddeld binnen 14 uur; gebruik een pincode dus alleen waar het apparaat of de bank pogingen blokkeert.
Veelgemaakte fouten bij een veilig wachtwoord
De grootste fout is één wachtwoord voor meerdere accounts: lekt één site, dan liggen ze allemaal open.
- Hergebruik. Maak voor elk account een nieuw wachtwoord.
- Voorspelbare variaties. Een cijfer ophogen (Zomer2026! wordt Zomer2027!) is geen nieuw wachtwoord.
- Delen via chat of mail. Deel veilig via de deelfunctie van je wachtwoordbeheerder.
- Geen tweede factor. Zet tweestapsverificatie aan of stap over op passkeys waar dat kan. Microsoft duwt Windows-gebruikers al die kant op, zoals in het bericht over het verdwijnen van afbeeldingswachtwoorden in Windows 11.
Veelgestelde vragen
Is een online wachtwoord generator veilig?
Ja, als het wachtwoord in je browser wordt gemaakt en niet op een server. Deze tool gebruikt de Web Crypto API en verstuurt niets: het wachtwoord komt niet in de adresbalk en wordt niet opgeslagen of gelogd. Het tabblad Netwerk in de ontwikkelaarstools (F12) blijft leeg, op het eenmalig laden van de woordenlijst voor wachtzinnen na.
Wat doet "sterk wachtwoord voorstellen" in Chrome of Safari, en waarom deze tool?
Chrome en Safari stellen bij een registratieformulier een sterk wachtwoord voor en bewaren het in de wachtwoordbeheerder van de browser. Prima als je altijd die browser gebruikt. Deze generator werkt in elke browser en ook buiten een webformulier, zoals voor wifi, een router of een versleuteld archief, en je kiest zelf lengte, tekensoorten en aantal.
Waar bewaar ik mijn wachtwoorden?
Bewaar ze in een wachtwoordbeheerder, zoals Bitwarden, KeePass of de beheerder van je browser. Dan onthoud je één sterk hoofdwachtwoord en krijgt elk account een uniek wachtwoord van 16 tekens of meer. Zet daarnaast tweestapsverificatie aan voor je belangrijkste accounts.
Meer handige hulpmiddelen vind je bij de gratis tools van gHacks.
Bronnen
- NIST, SP 800-63B Digital Identity Guidelines: Authentication and Authenticator Management (revisie 4).
- Chick3nman, hashcat v6.2.6 benchmark van een RTX 4090 (2022): NTLM 288,5 GH/s, bcrypt kosten 5 184,0 kH/s.
- Woordenlijst: gHacks, op basis van de OpenTaal Woordenlijst (BSD/CC BY 3.0), gerangschikt op woordfrequentie uit FrequencyWords (CC BY-SA 4.0).
- MDN Web Docs, Crypto: getRandomValues().