Générateur de mot de passe

Ce qui rend un mot de passe robuste

Un mot de passe est difficile à deviner quand il a été choisi au hasard parmi un très grand nombre de combinaisons possibles. On mesure généralement ce nombre en bits d’entropie : chaque bit supplémentaire double le nombre de combinaisons qu’un attaquant devrait essayer.

C’est la longueur qui compte le plus. Ajouter des caractères multiplie les combinaisons bien plus qu’élargir les types de caractères : un mot de passe de 20 caractères uniquement en minuscules a plus d’entropie (environ 94 bits) qu’un mot de passe de 12 caractères avec minuscules, majuscules, chiffres et symboles (environ 78 bits).

L’apparence de complexité, elle, n’apporte aucune sécurité. « Motdepasse1! » respecte les règles de nombreux sites, mais suit un schéma très courant et se devine facilement. Les mots de passe de cet outil ne suivent aucun schéma : chaque caractère est tiré au hasard.

Comment l’entropie et la robustesse sont calculées

L’entropie affichée est approximative : longueur × log₂(nombre de caractères possibles). Avec les quatre types activés, il y a 90 caractères possibles : chaque caractère apporte donc environ 6,5 bits. L’outil garantit au moins un caractère de chaque type coché, ce qui écarte une petite partie des combinaisons et réduit très légèrement l’entropie réelle.

L’indicateur de robustesse utilise ces seuils :

• Faible : moins de 60 bits.
• Moyen : de 60 à 74 bits.
• Fort : de 75 à 99 bits.
• Très fort : 100 bits ou plus.

Comment les mots de passe sont générés

Chaque caractère est choisi avec crypto.getRandomValues, le générateur cryptographiquement sûr du navigateur. Pour qu’aucun caractère ne sorte plus souvent qu’un autre, on utilise l’échantillonnage par rejet, qui évite le biais dit « du modulo ». Les caractères sont ensuite mélangés avec l’algorithme de Fisher-Yates pour que les caractères obligatoires ne se retrouvent pas toujours aux mêmes positions.

Tout se passe dans votre navigateur. Les mots de passe ne sont envoyés à aucun serveur, ne sont pas conservés et ne sont pas enregistrés dans les outils de mesure d’audience.

Bonnes pratiques

Un mot de passe aléatoire ne protège bien que s’il est bien utilisé :

• Utilisez un mot de passe différent pour chaque service. Si un site subit une fuite de données, vos autres comptes restent protégés.
• Rangez-les dans un gestionnaire de mots de passe : vous n’avez pas à les retenir et pouvez utiliser de longs mots de passe sans effort.
• Activez la double authentification sur les comptes importants (messagerie, banque, réseaux sociaux).
• Pour le mot de passe principal du gestionnaire, que vous devrez mémoriser, une longue phrase de passe composée de plusieurs mots tirés au hasard est plus facile à retenir qu’une suite de symboles.