Générateur de mot de passe

Qu'est-ce qui fait la force d'un mot de passe ?

Un seul nombre tranche vraiment, l'entropie comptée en bits, dont la formule reste courte puisqu'elle multiplie la longueur par log2 de la taille de l'alphabet. Cochez les quatre jeux de caractères et ce générateur tire parmi 87 symboles (26 majuscules, 26 minuscules, 10 chiffres et 25 signes de ponctuation), soit 6,44 bits chacun. Un mot de passe de 16 caractères atteint donc environ 103 bits, bien au-delà des 80 bits jugés hors de portée du brute force.

Comme chaque bit supplémentaire double le travail de l'attaquant, la jauge bondit dès que vous tirez le curseur de longueur, où passer de 8 à 16 caractères ne double pas la solidité mais agrandit l'espace de recherche d'environ 3 × 10^15. L'ANSSI conseille au moins 12 caractères variés pour un compte ordinaire, un seuil qu'un mot de passe généré de 16 caractères dépasse largement.

Que veut vraiment dire aléatoire ici ?

Les caractères sortent de crypto.getRandomValues, le générateur cryptographique intégré à tous les navigateurs modernes, pas de Math.random, dont la sortie se prévoit et n'a aucune place dans un secret. L'outil supprime aussi le biais de modulo qu'un code naïf ajoute en projetant des octets aléatoires sur un alphabet, si bien que chacun des 87 symboles ressort avec la même probabilité.

La génération reste sur votre appareil, sans qu'aucun mot de passe soit envoyé, journalisé ou stocké ; recharger la page efface d'ailleurs la série d'un coup. Chaque résultat contient en plus au moins un caractère de chaque jeu coché, parce que beaucoup de sites refusent un mot de passe où manque un chiffre ou un symbole.

Pourquoi la longueur bat-elle la complexité ?

Rallonger un mot de passe aide bien plus que d'y glisser des symboles. Le tableau donne le temps pour essayer toutes les combinaisons à 10 milliards d'essais par seconde, un débit crédible pour un seul GPU moderne face à un hash rapide.

Un mot de passe de 8 caractères tombe en quelques heures ou quelques jours quel que soit le mélange. Quatre caractères de plus multiplient le temps par environ 15 millions sur un alphabet de 62 symboles. Quand un site limite la longueur, jouez la complexité ; partout ailleurs, ajoutez d'abord des caractères.

Pourquoi un mot de passe unique par compte ?

Un mot de passe fort arrête le brute force, pas une fuite sur un site où vous l'avez réutilisé. Les attaquants récupèrent les paires email et mot de passe divulguées et les rejouent ailleurs : c'est le credential stuffing, qui réussit quelle que soit la force du mot de passe réutilisé. Donnez à chaque compte son propre mot de passe et laissez un gestionnaire les retenir : ceux intégrés à Chrome, Firefox, Safari, iOS et Android font très bien ce travail. Il ne reste alors qu'une seule phrase de passe maîtresse à mémoriser.