Tester la robustesse d'un mot de passe

Comment tester un mot de passe

1. Saisissez ou collez le mot de passe dans Mot de passe à tester. Les caractères sont masqués ; appuyez sur Afficher pour les voir, puis sur Masquer pour les cacher de nouveau.
2. Le résultat s’affiche au fil de la frappe. La barre Robustesse va de 0 (Très faible) à 4 (Très fort).
3. Consultez le tableau Temps estimé pour le craquer : il donne une durée pour chacun des quatre scénarios d’attaque, du site qui limite les tentatives de connexion jusqu’à la base de données volée attaquée avec des cartes graphiques.
4. Lisez Faiblesses et conseils. Cette section nomme le problème repéré (mot de passe courant, motif de clavier, date, séquence répétée…) et propose une façon d’y remédier.

Le mot de passe est analysé uniquement dans cette page. Il n’est jamais envoyé, enregistré ni journalisé, et le champ est vidé quand vous quittez la page. Par prudence, testez de préférence un mot de passe qui ressemble au vôtre plutôt que le vrai.

Comment la note est calculée

Cet outil s’appuie sur zxcvbn, un estimateur libre créé à l’origine chez Dropbox (ici dans sa version TypeScript maintenue, zxcvbn-ts). Plutôt que de compter les majuscules et les symboles, il raisonne comme un logiciel de cassage de mots de passe. Il découpe le mot de passe en morceaux et cherche les motifs que les attaquants essaient en premier :

• les mots de passe divulgués les plus fréquents, les prénoms, les noms de famille et les mots courants en français et en anglais, y compris à l’envers ou avec des substitutions « l33t » comme m0t2p@sse ;
• les suites de touches du clavier comme azerty, qwerty ou 1qaz2wsx ;
• les caractères répétés (aaaa), les blocs répétés (abcabc) et les séquences (abcd, 9876) ;
• les dates et les années récentes.

Il estime ensuite le nombre de tentatives nécessaires pour trouver le mot de passe complet, affiché dans Nombre d’essais estimé. La note en découle : moins de mille essais donnent 0, moins d’un million 1, moins de 100 millions 2, moins de 10 milliards 3, et au-delà la note est de 4.

Les quatre scénarios d’attaque

Les temps affichés divisent le nombre d’essais estimé par la vitesse de chaque attaque :

Une attaque en ligne consiste à essayer des mots de passe dans un formulaire de connexion. Une attaque hors ligne survient après une fuite de données : l’attaquant possède une copie des empreintes (hachages) des mots de passe et les teste sur son propre matériel. La dernière ligne est le pire cas ; c’est elle qu’il faut regarder pour la messagerie, la banque ou le gestionnaire de mots de passe. Ces durées sont des moyennes : un attaquant chanceux peut trouver plus vite.

Estimation d’entropie

L’Estimation d’entropie est le calcul classique de force brute : longueur × log2(taille de l’alphabet), l’alphabet étant la somme des types de caractères utilisés (26 minuscules, 26 majuscules, 10 chiffres, 33 symboles et 100 pour les autres caractères comme les lettres accentuées ou les émojis). Selon cette formule, Azerty123! obtient environ 66 bits, alors que zxcvbn ne lui donne que 1 sur 4 (Faible), car c’est une rangée du clavier suivie d’un suffixe banal. L’entropie n’a de sens que pour un mot de passe tiré au hasard, par exemple par un générateur ; pour un mot de passe inventé, fiez-vous à la note et aux temps estimés.