Comment utiliser le générateur de mot de passe
- Un nouveau mot de passe de 16 caractères apparaît dès le chargement de la page. Cliquez sur Copier et collez-le où vous en avez besoin.
- Faites glisser le curseur ou saisissez une longueur comprise entre 4 et 128 caractères. Chaque modification crée un nouveau mot de passe.
- Choisissez les types de caractères : majuscules, minuscules, chiffres et symboles. Le générateur inclut toujours au moins un caractère de chaque type sélectionné, de sorte que le mot de passe passe sur les sites qui exigent « un chiffre et un symbole ».
- Activez Exclure les caractères qui se ressemblent si vous devez un jour le lire à voix haute ou le saisir à la main. Cela retire I, l, 1, O, 0, o et les guillemets.
- Cliquez sur En générer un nouveau jusqu’à en obtenir un qui vous plaise, puis rangez-le dans un gestionnaire de mots de passe.
Comment les mots de passe sont créés
Chaque caractère est tiré avec crypto.getRandomValues, le générateur de nombres aléatoires cryptographiquement sûr du navigateur. Les fonctions ordinaires comme Math.random sont prévisibles et ne doivent jamais servir pour des secrets. Pour que chaque caractère soit équiprobable, le générateur utilise un rejet d’échantillons plutôt qu’un simple reste de division, qui rendrait certains caractères un peu plus fréquents. Si un mot de passe terminé n’a par hasard pas l’un des types de caractères choisis, il est écarté et un nouveau est tiré. Résultat : tout mot de passe conforme à vos réglages est exactement aussi probable que n’importe quel autre. Rien ne quitte votre appareil.
Robustesse et entropie
La robustesse s’exprime en bits d’entropie : le logarithme en base 2 du nombre de mots de passe différents que vos réglages peuvent produire. Chaque bit supplémentaire double le nombre d’essais dont un attaquant a besoin. Pour une chaîne aléatoire entièrement libre, la formule classique est longueur × log₂(taille du jeu de caractères) ; avec les quatre types, le jeu compte 89 caractères et chaque caractère apporte donc environ 6,5 bits. Exiger au moins un caractère de chaque type choisi élimine certaines combinaisons, et l’outil le retranche exactement. L’effet n’est important que pour les mots de passe courts : à 4 caractères, on obtient 22,1 bits au lieu de 25,9, et à 16 caractères 103,4 au lieu de 103,6.
- Moins de 36 bits : faible. Acceptable seulement pour des codes PIN jetables.
- 36 à 59 bits : moyenne. Résiste aux tentatives en ligne, où les sites limitent le nombre d’essais de connexion.
- 60 à 127 bits : forte. Adaptée à presque tous les comptes.
- 128 bits ou plus : très forte, comparable à une clé de chiffrement de 128 bits.
Exemple : pourquoi la longueur compte
Imaginez une base de mots de passe divulguée et un attaquant qui teste 100 milliards d’essais par seconde sur une machine équipée de cartes graphiques. En moyenne, il trouve un mot de passe après avoir essayé la moitié de toutes les combinaisons. Pour des mots de passe entièrement aléatoires :
- 8 lettres minuscules (37,6 bits) : environ 1 seconde.
- 8 lettres et chiffres (47,6 bits) : environ 18 minutes.
- 12 lettres et chiffres (71,5 bits) : environ 500 ans.
- 16 caractères de tous types (103,6 bits) : environ 2,5 billions d’années (2,5 × 10¹², soit 2 500 milliards).
Passer de 8 à 16 caractères a fait bien plus que n’importe quel symbole ajouté. C’est pourquoi la valeur par défaut est ici de 16 ; les mots de passe de 16 caractères de ce générateur ont 103,4 bits, soit environ 2 billions d’années à cette vitesse.
Conseils pour utiliser des mots de passe forts
- Utilisez un mot de passe différent pour chaque site. Quand un site est piraté, les attaquants essaient la même adresse e-mail et le même mot de passe partout ailleurs.
- Confiez-les à un gestionnaire de mots de passe. Bitwarden, 1Password, KeePass et les gestionnaires intégrés aux navigateurs et aux téléphones enregistrent et remplissent pour vous de longs mots de passe aléatoires.
- Activez l’authentification à deux facteurs pour la messagerie, la banque et les comptes sociaux. Même un mot de passe parfait peut être récupéré par hameçonnage.
- Vous devez en retenir un ? Pour le mot de passe principal de votre gestionnaire, utilisez plutôt 5 à 6 mots tirés au hasard (une phrase secrète) ; elle est longue, robuste et plus facile à taper.
- N’adaptez pas un ancien mot de passe. Passer de « Ete2025! » à « Ete2026! » est la première variante que les outils de piratage essaient.
Questions fréquentes
Est-il sûr d’utiliser un générateur de mot de passe en ligne ?
Celui-ci l’est : les mots de passe sont créés dans votre navigateur avec crypto.getRandomValues, la même source aléatoire sécurisée que celle utilisée par les navigateurs pour les clés de chiffrement. Rien n’est envoyé à un serveur ni enregistré.
Quelle longueur doit avoir mon mot de passe ?
Au moins 12 caractères pour les comptes courants et 16 ou plus pour la messagerie, la banque en ligne et le mot de passe principal de votre gestionnaire de mots de passe. La longueur apporte plus de robustesse que n’importe quelle règle sur les symboles.
Dois-je inclure des symboles ?
Oui, quand le site les accepte. Les symboles agrandissent le jeu de caractères, si bien que chaque caractère apporte plus d’entropie. Si un site refuse certains symboles, désactivez-les et allongez plutôt le mot de passe de quelques caractères.
Que signifie « bits d’entropie » ?
C’est une mesure du nombre d’essais qu’un attaquant devrait faire : chaque bit supplémentaire double le travail. Environ 60 bits résistent aux attaques en ligne, tandis que 100 bits ou plus sont hors de portée de toute attaque hors ligne connue.