Générateur de mot de passe

Généré dans votre navigateur, jamais envoyé ni enregistré

Ce générateur de mot de passe fonctionne entièrement sur votre appareil. La page est chargée sans aucun mot de passe : le premier n’est créé qu’une fois l’outil lancé dans votre navigateur. Chaque caractère est tiré avec crypto.getRandomValues, le générateur de nombres aléatoires cryptographique du navigateur, et non avec Math.random. Les résultats restent uniquement dans la mémoire de la page : ils ne sont ni envoyés, ni journalisés, ni stockés localement, ni ajoutés à l’adresse de la page. Rechargez ou fermez l’onglet et ils disparaissent.

Comment chaque caractère est choisi

Transformer un nombre aléatoire en « un caractère parmi 90 » paraît simple, mais le raccourci habituel, prendre le reste de la division par 90, rend certains caractères un peu plus fréquents que d’autres. Cet outil utilise l’échantillonnage par rejet : les nombres qui introduiraient ce biais sont écartés et tirés à nouveau, si bien que chaque caractère a exactement la même probabilité.

Quand « Au moins un caractère de chaque type choisi » est activé, le générateur tire d’abord un caractère de chaque type coché (par exemple une majuscule, un chiffre et un symbole), complète la longueur avec des caractères tirés parmi tous les types cochés, puis mélange toutes les positions avec l’algorithme de Fisher–Yates. Les caractères imposés ne se retrouvent donc pas toujours au début, un schéma que les attaquants testent en priorité. C’est exactement ce qu’exigent beaucoup de banques et de services en ligne : « au moins une majuscule, un chiffre et un caractère spécial ».

L’entropie, simplement

L’entropie mesure le nombre de possibilités qu’un attaquant devrait essayer. Pour un mot de passe, c’est longueur × log2(nombre de caractères possibles). Avec les quatre types cochés, on a 90 caractères : chacun apporte environ 6,5 bits, et le mot de passe de 16 caractères proposé par défaut atteint environ 104 bits. Pour une phrase de passe, c’est nombre de mots × log2(taille de la liste) : la liste compte 976 mots, chacun apporte environ 9,9 bits et cinq mots donnent environ 50 bits. L’option « Ajouter un chiffre » apporte quelques bits de plus.

L’indicateur de robustesse dépend du nombre de bits : moins de 40, faible ; de 40 à 59, moyen ; de 60 à 79, fort ; 80 et plus, très fort. Le temps affiché correspond à l’essai de toutes les combinaisons à 10 milliards de tentatives par seconde, une attaque rapide contre une base de mots de passe volée ; en moyenne, la bonne combinaison est trouvée à mi-parcours. Ces chiffres ne valent que pour des mots de passe tirés au hasard comme ceux-ci. Un mot de passe inventé, comme le nom de votre chat suivi de votre année de naissance, est bien plus faible que sa longueur ne le laisse croire.

Les bons réflexes, plus importants que le générateur

• Un mot de passe par site. La plupart des piratages de comptes consistent à essayer ailleurs des mots de passe divulgués lors de la fuite d’un autre site. Un mot de passe unique et aléatoire bloque cette attaque.
• Utilisez un gestionnaire de mots de passe. Personne ne retient des dizaines de mots de passe aléatoires. Un gestionnaire les stocke chiffrés et les remplit à votre place ; vous ne retenez qu’une phrase de passe maître solide.
• Une phrase de passe pour ce que vous tapez à la main. Pour le mot de passe maître ou l’ouverture de session de votre ordinateur, sept mots aléatoires ou plus se tapent plus facilement que 16 caractères aléatoires et restent très difficiles à deviner (environ 70 bits).
• Activez la double authentification (2FA). Une application d’authentification ou une clé de sécurité protège le compte même si le mot de passe est divulgué.

Besoin de tirer des noms ou des nombres équitablement ? Le tirage au sort en ligne utilise la même méthode sans biais. Et pour vérifier la longueur d’un texte avant de le coller dans un champ limité, essayez le compteur de mots.