Générateur de mots de passe

À propos de cet outil

Ce générateur crée des mots de passe aléatoires directement dans votre navigateur avec le générateur cryptographique du système. Réglez la longueur et les familles de caractères ; l'outil affiche l'entropie exacte du mot de passe en bits, un niveau de solidité et le temps moyen qu'il faudrait pour le trouver par force brute. Rien n'est stocké ni envoyé.

Comment utiliser cet outil

1. Réglez la longueur avec le curseur (16 caractères ou plus recommandés).
2. Cochez les familles de caractères souhaitées : majuscules, minuscules, chiffres, symboles.
3. Gardez l'exclusion des caractères ambigus (I, l, 1, O, 0) si vous devez le recopier à la main.
4. Cliquez sur le bouton de génération ou appuyez sur Espace pour obtenir un nouveau mot de passe.
5. Copiez-le dans votre gestionnaire de mots de passe ; lisez l'entropie et le temps de craquage estimé.

Ce qui rend un mot de passe solide : le hasard et la longueur

Un mot de passe est attaqué de deux façons. L'attaque par force brute teste toutes les combinaisons possibles ; l'attaque par dictionnaire teste d'abord les mots, prénoms, dates et variantes courantes (« k4ng0urou », « kangourou01 »…). Face à la seconde, seul un mot de passe réellement aléatoire résiste. Face à la première, tout se joue sur le nombre de possibilités, que l'on mesure en bits d'entropie :

Chaque bit supplémentaire double le travail de l'attaquant. Ce calcul n'est exact que si chaque caractère est tiré au hasard : un mot de passe « inventé » à la main, même long, vaut bien moins que son entropie théorique, parce que nos choix sont prévisibles. C'est pourquoi on fait générer le mot de passe par un outil.

* En supposant 10 milliards d'essais par seconde, ce qui est réaliste contre un mot de passe mal protégé (empreinte rapide, matériel spécialisé), et hors attaque ciblée ou fuite préalable. L'outil affiche le même calcul pour la configuration que vous avez choisie. Retenez surtout l'ordre de grandeur : chaque caractère supplémentaire apporte plus de sécurité que l'ajout d'un symbole. Passer de 12 à 16 caractères multiplie le travail de l'attaquant par environ 41 millions (80⁴).

Ce que recommandent les autorités

• La CNIL (2022) raisonne en entropie et fixe un minimum de 80 bits pour un mot de passe sans mesure complémentaire. Elle donne trois exemples équivalents : au moins 12 caractères mêlant majuscules, minuscules, chiffres et au moins 37 caractères spéciaux possibles ; au moins 14 caractères avec majuscules, minuscules et chiffres ; ou une phrase de passe d'au moins 7 mots. Elle a aussi abandonné le renouvellement obligatoire des mots de passe pour les comptes ordinaires. Cette recommandation n'est pas une norme, mais l'état de l'art auquel les organismes peuvent se référer pour leurs obligations de sécurité au titre du RGPD.
• Le NIST américain (SP 800-63B-4) exige des services en ligne un minimum de 15 caractères pour un mot de passe utilisé seul (8 s'il s'agit d'un second élément avec une authentification multifacteur), interdit d'imposer des règles de composition (« une majuscule, un chiffre… ») et le renouvellement périodique, demande d'accepter au moins 64 caractères et de refuser les mots de passe connus ou compromis.
• L'ANSSI publie un guide détaillé sur l'authentification multifacteur et les mots de passe, complémentaire de la recommandation de la CNIL, notamment pour les usages professionnels et les comptes à privilèges.

Les valeurs par défaut de l'outil (16 caractères, majuscules, minuscules et chiffres) atteignent environ 93 bits d'entropie, au-dessus du seuil de 80 bits de la CNIL. Activer les symboles les porte à près de 100 bits.

Comment l'outil génère votre mot de passe

• Aléa cryptographique. Chaque caractère est tiré avec crypto.getRandomValues(), le générateur sécurisé du navigateur, et non avec Math.random(), qui est prévisible. Une méthode de rejet évite le biais du « modulo » : tous les caractères de l'alphabet ont exactement la même probabilité.
• Au moins un caractère de chaque famille cochée. Beaucoup de sites l'exigent encore. L'outil tire le mot de passe puis recommence tant qu'une famille manque, ce qui préserve l'uniformité (contrairement à une méthode qui « force » un caractère à une place fixe, ce qui rend le résultat plus prévisible).
• Entropie exacte. Le calcul tient compte de l'obligation d'avoir une famille de chaque type : il dénombre précisément les mots de passe valides, au lieu de la formule approximative.
• Caractères ambigus exclus (option). Les I, l, 1, O, o et 0 se confondent facilement ; les retirer réduit un peu l'alphabet, mais évite les erreurs de recopie, utile pour un mot de passe que l'on doit saisir à la main (une borne Wi-Fi, un téléviseur).
• Rien ne quitte votre navigateur. Le mot de passe n'est ni envoyé ni enregistré : il disparaît à la fermeture de la page.

Bonnes pratiques : un mot de passe par service, et un gestionnaire

1. Un mot de passe unique par compte. La plupart des intrusions viennent de la réutilisation : un site mal protégé est piraté, et les identifiants servent à essayer d'autres services. Un mot de passe unique limite les dégâts à un seul compte.
2. Un gestionnaire de mots de passe (logiciel dédié ou celui du navigateur ou du système, protégé par un mot de passe maître robuste) retient tout à votre place. Vous n'avez alors à mémoriser qu'une phrase de passe solide, et à copier les autres.
3. Activez la double authentification (application d'authentification, clé de sécurité, passkey) sur les comptes importants : messagerie, banque, réseaux sociaux, comptes d'achat. Un mot de passe volé ne suffit alors plus.
4. Protégez d'abord votre messagerie : elle permet de réinitialiser tous les autres comptes.
5. Pour le mot de passe maître, une phrase de passe de sept mots tirés au hasard (pas une citation, pas une phrase célèbre) se retient mieux qu'un mot de passe de 14 caractères aléatoires, pour une robustesse comparable.
6. Ne changez de mot de passe qu'en cas de besoin : compromission d'un service, fuite connue, partage avec quelqu'un. Changer à intervalle fixe pousse à choisir des variantes prévisibles.
7. Vérifiez si un mot de passe a déjà fuité. Le service Pwned Passwords permet de tester un mot de passe sans le divulguer (seul un fragment de son empreinte est transmis). Un mot de passe généré aléatoirement ne devrait évidemment pas y figurer.
8. Évitez les « questions secrètes » dont la réponse se devine ou se trouve en ligne (nom de jeune fille, ville de naissance) : utilisez des réponses aléatoires, conservées dans le gestionnaire.

Si vous développez un site, ne stockez jamais les mots de passe en clair : utilisez un algorithme de hachage conçu pour cela (Argon2id, scrypt ou bcrypt) comme le recommande la fiche OWASP citée en source. Les fonctions de hachage rapides comme MD5 ou SHA-256, seules, ne conviennent pas ; vous pouvez les expérimenter avec le générateur de hash.

Questions fréquentes