Générateur de mot de passe

Qu'est-ce qui fait la force d'un mot de passe ?

La force se mesure par un seul chiffre, l'entropie, c'est-à-dire le nombre de bits d'incertitude qu'un attaquant doit deviner pour retrouver le secret. Sa formule tient en une ligne puisqu'elle multiplie la longueur par le logarithme en base 2 de la taille de l'alphabet, autrement dit le nombre de symboles disponibles à chaque position. En cochant les quatre jeux de caractères, ce générateur puise dans 87 symboles (26 majuscules, 26 minuscules, 10 chiffres et 25 signes de ponctuation), ce qui vaut 6,44 bits par caractère tiré.

Prenons l'exemple d'un mot de passe de 16 caractères : chaque position apportant 6,44 bits, l'ensemble atteint près de 103 bits, bien au-delà des 80 bits qu'on considère hors de portée d'une recherche exhaustive. Comme chaque bit gagné double le travail de l'attaquant, la jauge grimpe vite dès que l'on tire le curseur de longueur. Passer de 8 à 16 caractères ne double pas la solidité mais agrandit l'espace de recherche d'environ 3 × 10^15 combinaisons, un saut que l'œil ne soupçonne pas.

L'ANSSI, l'agence française qui publie les référentiels de sécurité, recommande au moins 12 caractères variés pour un compte courant. Un mot de passe généré de 16 caractères dépasse largement ce seuil, ce qui laisse une marge confortable même face aux progrès du matériel.

Que veut vraiment dire aléatoire ici ?

Les caractères proviennent de crypto.getRandomValues, le générateur cryptographique intégré à tous les navigateurs récents, dont la sortie résiste à la prédiction. Un générateur ordinaire comme Math.random reste à l'écart d'un secret puisque sa suite se devine à partir de quelques valeurs observées. L'outil corrige aussi le biais de modulo, c'est-à-dire la légère préférence qu'un code naïf introduit en repliant des octets aléatoires sur un alphabet, de sorte que chacun des 87 symboles ressort avec la même probabilité.

Toute la génération se déroule sur l'appareil, sans qu'aucun mot de passe soit transmis, journalisé ou conservé ; recharger la page efface d'ailleurs la série entière. Chaque résultat embarque en plus au moins un caractère de chaque jeu coché, parce que beaucoup de sites rejettent un mot de passe où manque un chiffre ou un symbole.

Pourquoi la longueur bat-elle la complexité ?

Allonger un mot de passe pèse bien plus lourd qu'y glisser des symboles supplémentaires, comme le montre le temps nécessaire pour épuiser toutes les combinaisons. Le tableau ci-dessous suppose 10 milliards d'essais par seconde, un débit réaliste pour un seul GPU moderne lancé contre un hachage rapide, c'est-à-dire une fonction qui transforme le mot de passe en empreinte à faible coût.

Un mot de passe de 8 caractères tombe en quelques heures ou quelques jours, quel que soit le mélange retenu. Ajouter quatre caractères multiplie le temps par environ 15 millions sur un alphabet de 62 symboles, l'écart décisif entre un secret jetable et un secret hors d'atteinte. Quand un site plafonne la longueur autorisée, la complexité prend le relais ; partout ailleurs, mieux vaut rallonger avant de compliquer.

Pourquoi un mot de passe unique par compte ?

Un mot de passe solide bloque la recherche exhaustive sans rien pouvoir contre une fuite survenue sur un site où il a été réutilisé. Les attaquants récupèrent les paires d'identifiants divulguées lors de ces fuites puis les rejouent ailleurs, une technique appelée credential stuffing, qui réussit quelle que soit la force du mot de passe recyclé. Cette mécanique explique pourquoi un secret différent par compte compte autant que sa longueur.

Confier ces dizaines de mots de passe uniques à un gestionnaire règle le problème de mémoire, puisque ceux intégrés à Chrome, Firefox, Safari, iOS et Android les enregistrent et les saisissent à la demande. Il ne reste alors qu'une seule phrase de passe maîtresse à retenir, celle qui verrouille le coffre lui-même.