Générateur de mot de passe aléatoire

Comment ça marche

Indiquez dans la case de gauche combien de mots de passe il vous faut ; la page s'ouvre avec 5 propositions déjà prêtes. À chaque modification — longueur, jeu de caractères, nombre — la liste est reconstituée : il suffit donc de bouger légèrement le curseur pour obtenir une nouvelle série. Pour situer les ordres de grandeur : un mot de passe de 16 signes pris dans le jeu complet lettres-chiffres-symboles pèse environ 100 bits, ce qui signifie qu'un attaquant capable d'essayer dix milliards de combinaisons par seconde y passerait plus de temps que l'âge de l'univers. La ligne d'état affiche cette valeur en bits à chaque tirage et la qualifie de faible, moyenne, solide ou très solide. Le bouton de copie place toute la liste dans le presse-papiers ; le bouton de téléchargement l'enregistre dans un fichier texte. Le tirage s'appuie sur la source aléatoire cryptographique du navigateur (crypto.getRandomValues) et se déroule entièrement sur votre appareil : aucun mot de passe ne traverse le réseau, donc personne ne peut les voir, nous compris.

Qu'est-ce que Mot de passe solide ?

Ce n'est pas l'allure compliquée d'un mot de passe qui le rend solide, mais l'étendue de l'ensemble dans lequel il a été tiré — et rien n'élargit cet ensemble aussi vite que le nombre de signes. Ajouter des symboles fait passer les possibilités de chaque position d'une soixantaine à environ quatre-vingts ; ajouter deux signes de plus multiplie le total par plusieurs milliers. Voilà pourquoi 20 signes de lettres et de chiffres l'emportent sur 12 signes bourrés de ponctuation. La seconde condition est l'imprévisibilité : dates de naissance, suites de touches voisines (azerty1234) et mots du dictionnaire figurent en tête de toutes les listes d'attaque, quelle que soit leur longueur, et c'est exactement cette faiblesse que le tirage au sort supprime.

Qu'est-ce que Entropie (solidité exprimée en bits) ?

L'entropie indique en bits l'étendue de l'ensemble dans lequel un mot de passe a été tiré, chaque bit doublant le nombre de possibilités. La formule approchée est longueur × log2(taille du jeu) : 16 signes tirés d'un jeu de 90 donnent environ 104 bits. En dessous de 40 bits, du matériel actuel parcourt tout l'espace en quelques minutes ; autour de 60 bits, la résistance à une attaque déterminée reste tout juste suffisante ; à partir de 80 bits, on considère qu'un mot de passe n'est pratiquement plus cassable. La ligne d'état de cette page donne la valeur à chaque tirage — mais elle ne vaut que pour un mot de passe tiré au sort : celui qu'une personne invente possède bien moins d'entropie réelle que la formule ne le laisse croire.

Un mot de passe tiré au sort ne vaut que par le lieu du tirage

La propriété déterminante d'un générateur est sa source d'aléa. Cet outil emploie la source cryptographique du navigateur (crypto.getRandomValues) et supprime le biais de reste par échantillonnage avec rejet, de sorte que chaque signe est tiré avec la même probabilité. Sur les sites qui produisent le mot de passe côté serveur, votre secret a traversé la machine d'un tiers dès sa première seconde d'existence ; ici, le tirage s'achève sur votre appareil et aucun mot de passe n'apparaît dans le trafic réseau.

Le vrai danger commence après le tirage : s'expédier un mot de passe par courriel ou par messagerie revient à le confier en clair à des serveurs. Enregistrez plutôt le résultat directement dans un gestionnaire, et ne réutilisez jamais le même à deux endroits — une seule fuite ruine partout le plus solide des mots de passe dès qu'il a servi deux fois.

Quel réglage pour quel usage ?

Le réglage par défaut — 16 signes, jeu complet — convient aux mots de passe de comptes destinés à vivre dans un gestionnaire. Quand un site impose ses règles, rétrécissez plutôt le jeu de caractères que la longueur : réduire le jeu coûte beaucoup moins de solidité que retirer des signes.

• Mot de passe de compte (rangé dans un gestionnaire) → 16 à 24 signes, jeu complet
• Ancien système qui refuse la ponctuation → 20 signes, lettres + chiffres
• Clé du réseau sans fil tapée à la main sur un téléphone → 16 signes, minuscules + chiffres
• Code PIN de carte ou de porte → chiffres seuls, avec les caractères ressemblants sur « Conserver »

Questions fréquentes

Les mots de passe produits sont-ils enregistrés quelque part ?

Non. L'ensemble du travail reste dans votre propre navigateur : les résultats ne partent vers aucun serveur et ne sont pas conservés par le navigateur. Fermer l'onglet détruit la liste, alors rangez d'abord celui que vous gardez dans votre gestionnaire.

Quelle longueur choisir ?

Pour un mot de passe rangé dans un gestionnaire, 16 signes ou davantage sont considérés comme sûrs ; dès que la ligne d'état dépasse 80 bits, il devient pratiquement incassable. Pour un mot de passe que vous taperez à la main, ne descendez pas sous 12 signes.

Comment obtenir une nouvelle série ?

Ressaisissez le nombre, ou modifiez n'importe quel réglage : un léger mouvement du curseur de longueur suffit. La liste est reconstituée à chaque changement.

Pourquoi mon code PIN ne contient-il ni 0 ni 1 ?

Tant que l'option d'écartement des caractères ressemblants est active, le 0 et le 1 sont retirés de tous les jeux pour éviter la confusion avec les lettres O, l et I. Pour un PIN entièrement chiffré, basculez l'option sur « Conserver » et les dix chiffres seront employés.