アカウント登録時のパスワード桁数上限一覧

ショッピングサイトなどを利用する時に、まずしないといけないのはアカウント登録。

アカウント登録といえばIDとパスワードの組み合わせが以前からの標準であり、（多段認証が増えてきたものの）今のデファクトスタンダードでもあります。

でも、このパスワードをどうやってサーバに保存するか、はここ近年で変わってきたのをご存じでしょうか。

最も簡単なのは平文でユーザが入力したパスワードをそのままDBに保存する方式ですが、それだと漏洩した際にパスワードが一目瞭然なのでかなり危険です。これはやっちゃいけないな、というのは想像つくかと思います。

ではどうするか、ですが、２つの方式があります。
①暗号化
②ハッシュ化

これまでは①の暗号化が主流でしたが、近年はより安全性が高い②のハッシュ化を採用するサイトが増えてきています。

この２つ、何が違うかというと、復号できるかどうか、です。
暗号化データは、復号方法も合わせて漏洩してしまうと元のパスワードが分かってしまうのに対して、ハッシュ化は復号できないので漏洩したとしても元のパスワードは分からず、より安全性が高いのです。

そして、ハッシュ化の特徴としてハッシュ後の文字列は固定長になる、というのがあります。元の文字列が何文字だろうが、ハッシュにかけると同じ桁数の文字になるのです（詳しくはググってください）。

この特徴を捉えるとアカウント登録のサイトから１つのことが分かります。

パスワード登録時に桁数制限があるかないかで、どういう風にパスワードをDBに保存しているかが分かる！

そうなのです、パスワードをハッシュ化しているサイトは固定長の文字をDBに保存するので元のパスワードは何桁だろうが関係なく、桁数制限が不要なのです。一方、暗号化（もしくは平文）でDBに保存しているサイトはDBのカラム長の設計が必要になるので最大桁数の指定があるのです。

ハッシュ化していたとしても、フロントエンドの都合等で桁数上限を設定している可能性はあるのですが、上限が設定されてなければパスワードがハッシュ化されてることは確実そうです。

ということで、各サイト調べてみました。

どのサイトを調べたかは私の個人的な趣向ですのであまり意味はないです（社会的インパクトが大きそうなサイトをチョイスしてるつもりです）。

サイトによって意外と違うのが分かるかと思いますので、ご参考にしてください。

※サイト上から読み解ける内容で記載しています。
※サイトの更改がなされた場合、情報が古い可能性があります。

敢えて各サイトの安全性については触れません。
皆様で調べてみてください。それがセキュリティリテラシー向上にも繋がりますので！！