Générateur de mot de passe

Comment utiliser le générateur de mot de passe

1. Réglez la longueur, de 4 à 128 caractères. Pour la plupart des comptes, 16 caractères ou plus constituent un bon choix.
2. Sélectionnez les jeux de caractères à inclure : majuscules, minuscules, chiffres et symboles.
3. Si vous devez un jour lire ou taper le mot de passe à la main, activez l’option exclure les caractères ambigus pour écarter les caractères qui se ressemblent, comme 0 O o 1 l I |.
4. Laissez activée l’option au moins un caractère de chaque jeu si un site impose des règles de composition.
5. Choisissez le nombre de mots de passe à générer (jusqu’à 50), consultez l’estimation d’entropie et l’indicateur de robustesse, puis copiez celui qui vous convient dans votre gestionnaire de mots de passe.

Comment cet outil génère les mots de passe

Chaque caractère est tiré à l’aide du générateur de nombres aléatoires cryptographiquement sûr du navigateur, crypto.getRandomValues, qui fait partie de l’API Web Crypto. Contrairement à Math.random(), il est conçu pour que ses résultats soient imprévisibles, même pour quelqu’un qui aurait observé les valeurs précédentes.

Tirer des caractères de façon équitable est plus délicat qu’il n’y paraît. La méthode naïve, qui consiste à prendre un nombre aléatoire modulo la taille du jeu de caractères, introduit un biais de modulo : certains caractères sortent un peu plus souvent que d’autres. Cet outil élimine complètement ce biais : chaque caractère autorisé a ainsi exactement la même probabilité d’être choisi.

Tout se passe sur votre appareil. Les mots de passe ne transitent jamais par le réseau, ne sont jamais enregistrés ni journalisés. Dès que vous fermez ou rechargez la page, ils disparaissent.

Comprendre l’estimation d’entropie

L’entropie, exprimée en bits, indique le nombre d’essais qu’il faudrait à un attaquant dans le pire des cas. Pour un mot de passe généré au hasard, elle se calcule en multipliant la longueur par le logarithme en base 2 du nombre de caractères possibles. Chaque bit supplémentaire double le travail de l’attaquant.

• Un mot de passe de 12 caractères composé uniquement de minuscules (26 caractères) offre environ 56 bits.
• Un mot de passe de 16 caractères utilisant les quatre jeux (environ 90 caractères ou plus) offre environ 104 bits.
• Avec 20 caractères et les mêmes jeux, on dépasse les 130 bits.

À titre indicatif, moins de 50 bits, c’est faible pour un compte en ligne ; de 60 à 80 bits, c’est raisonnable ; à partir de 100 bits, c’est très robuste, même face au cassage hors ligne d’une base de mots de passe dérobée. Exclure les caractères ambigus réduit un peu le choix de caractères, donc l’estimation baisse légèrement : ajoutez un ou deux caractères pour compenser. Cette estimation ne vaut que pour les mots de passe générés ici au hasard ; elle ne dit rien des mots de passe inventés de tête, généralement bien plus faibles que leur longueur ne le laisse croire.

Des conseils vraiment utiles

• La longueur prime sur la complexité. Ajouter des caractères augmente l’entropie plus vite qu’ajouter des types de symboles. Les recommandations actuelles, comme celles du NIST (SP 800-63B), mettent l’accent sur la longueur et déconseillent les règles de composition arbitraires et les changements périodiques imposés.
• Utilisez un gestionnaire de mots de passe. Il peut conserver un mot de passe long, aléatoire et différent pour chaque site ; vous n’avez plus qu’une phrase de passe maîtresse à retenir.
• Ne réutilisez jamais un mot de passe. Quand un site est piraté, les attaquants essaient la même adresse courriel et le même mot de passe partout ailleurs. Des mots de passe uniques neutralisent ce « bourrage d’identifiants ».
• Activez l’authentification multifacteur partout où c’est possible, de préférence avec une application d’authentification, une clé de sécurité ou une clé d’accès (passkey) plutôt que par SMS.
• Changez un mot de passe quand il y a une raison de le faire, par exemple après une fuite de données, et non selon un calendrier arbitraire.