Le Générateur de mots de passe produit des mots de passe aléatoires à partir des jeux de caractères que vous choisissez et indique la force de chacun en bits d'entropie plutôt qu'avec une étiquette vague. La longueur va de 4 à 128 caractères, avec des exclusions optionnelles de caractères ambigus et de crochets, et un mode phrase secrète qui construit des mots de passe mémorables en plusieurs mots.

Chaque mot de passe est généré dans le navigateur avec le générateur cryptographique de nombres aléatoires du système d'exploitation. Rien n'est transmis, journalisé ni stocké.

Générer un mot de passe aléatoire

Générer un mot de passe aléatoire.

Définissez une longueur, choisissez les jeux de caractères à utiliser, et le générateur renvoie un mot de passe immédiatement. Régénérez autant de fois que vous voulez ; chaque pression produit un nouveau tirage dans le même ensemble, et aucun n'est enregistré nulle part.

Seize caractères tirés des quatre jeux est une valeur par défaut raisonnable pour tout ce qui protège de l'argent ou une identité. Douze suffit lorsqu'un service limite les tentatives de connexion. En dessous de douze, un mot de passe n'est sûr que dans la mesure des défenses du site, et cela ne se vérifie pas.

La longueur compte plus que la complexité. Ajouter un caractère à un ensemble de 94 multiplie l'espace de recherche par 94. Remplacer une minuscule par un symbole dans un mot de passe de longueur fixe fait bien moins. Si un site limite la longueur à 16, utilisez les 16.

Choisir quels jeux de caractères inclure

Choisir quels jeux de caractères inclure.

Quatre jeux sont disponibles, et chacun que vous activez élargit l'ensemble dont chaque caractère est tiré.

Jeu	Caractères	Nombre
Minuscules	a-z	26
Majuscules	A-Z	26
Chiffres	0-9	10
Symboles	``!"#$%&'()*+,-./:;<=>?@[\]^_`{\	}~``	32

Les quatre ensemble donnent un ensemble de 94 caractères. Trois modificateurs le réduisent :

Exclure les caractères ambigus retire i I l 1 L |, o O 0 et les guillemets et signes de ponctuation ressemblants. Utile pour un mot de passe que vous lirez à l'écran et saisirez sur un autre appareil, ou dicterez au téléphone. Cela coûte peu d'entropie et évite une vraie frustration.

Exclure les crochets retire < > ( ) [ ] { }. Certains systèmes anciens les gèrent mal dans les formulaires de connexion, et quelques environnements shell les traitent spécialement lorsqu'un mot de passe est utilisé dans un script.

Pas de caractères répétés garantit que chaque caractère n'apparaît qu'une fois. Cela semble plus fort et l'est légèrement moins : cela réduit l'ensemble à chaque caractère placé et limite la longueur à la taille de l'ensemble. Utilisez-le seulement lorsqu'une politique l'exige.

Il existe aussi le choix entre tirer chaque caractère de l'ensemble combiné, ou garantir au moins un caractère de chaque jeu sélectionné. La seconde option existe parce que de nombreuses politiques d'entreprise l'exigent. Forcer un de chaque réduit très légèrement l'entropie, car cela élimine certaines combinaisons valides parmi les sorties possibles.

Mesurer la force du mot de passe en bits d'entropie

Mesurer la force du mot de passe en bits d'entropie.

L'entropie mesure combien de tentatives un attaquant doit faire, exprimée comme une puissance de deux. C'est la seule façon significative de comparer des mots de passe, car un indicateur « fort » ne dit pas contre quoi il est fort.

Entropy (bits) = length × log₂(pool size)
Combinations   = pool size ^ length

Les bits s'additionnent et chacun double le travail. Un mot de passe de 60 bits prend deux fois plus longtemps à craquer qu'un de 59, et 1 024 fois plus qu'un de 50. C'est pourquoi de petites augmentations de longueur produisent de grands gains de sécurité.

Seuils approximatifs et raison de chacun :

Moins de 40 bits : cassable en minutes par quiconque avec un GPU grand public. Insuffisant pour tout ce qui compte.
50 à 60 bits : résiste à une attaque occasionnelle, cède face à une attaque offline déterminée. Convient pour un forum.
70 à 80 bits : sûr face aux attaques offline réalistes aujourd'hui. Objectif raisonnable pour la plupart des comptes.
Plus de 100 bits : au-delà de ce que tout matériel prévisible brute-force. Adapté aux mots de passe maîtres de gestionnaires et aux clés de chiffrement.

Calculer l'entropie d'un mot de passe de 16 caractères

Calculer l'entropie d'un mot de passe de 16 caractères.

Un mot de passe de 16 caractères tiré des quatre jeux porte environ 105 bits d'entropie. Voici le calcul. 1. Additionnez l'ensemble. 26 minuscules + 26 majuscules + 10 chiffres + 32 symboles = 94 caractères 2. Trouvez les bits par caractère. log₂(94) = 6,55 bits

3. Multipliez par la longueur. 16 × 6,55 = 104,9 bits

4. Exprimez-le en nombre. 94¹⁶ ≈ 3,7 × 10³¹ mots de passe possibles

Réduisez à 12 caractères et l'entropie tombe à 78,6 bits, avec 4,7 × 10²³ combinaisons. Toujours solide, et environ 68 milliards de fois plus facile à attaquer que la version à 16 caractères. Retirez le jeu de symboles du mot de passe de 16 et l'ensemble tombe à 62, donnant 95,3 bits, une perte moindre que de raccourcir de quatre caractères.

Cette comparaison mérite attention. Retirer quatre caractères coûte plus d'entropie que de retirer un jeu de caractères entier. La longueur est le levier.

Comprendre le temps nécessaire pour craquer un mot de passe

Comprendre le temps nécessaire pour craquer un mot de passe.

Tout chiffre de « temps pour craquer » est sans sens sans préciser l'attaque. Le même mot de passe tombe en secondes ou dépasse l'âge du soleil selon la façon dont l'attaquant devine, donc le générateur rapporte deux scénarios et les nomme tous deux.

Expected guesses = 2^(entropy − 1)
Time             = expected guesses / guesses per second

Attaque online, environ 10³ tentatives par seconde. L'attaquant envoie des tentatives à un formulaire de connexion actif. Limitation de débit, verrouillages et latence réseau plafonnent la vitesse. La plupart des attaques réelles contre un seul compte ressemblent à cela, et presque tout mot de passe généré y survit indéfiniment.

Attaque offline, environ 10¹² tentatives par seconde. Le service a été compromis et l'attaquant possède les hachages de mots de passe. Avec un cluster GPU et un hachage rapide comme MD5 ou SHA-1 non salé, les tentatives atteignent un billion par seconde ou plus. C'est le scénario qui compte, car c'est celui que vous ne pouvez pas influencer.

À 10¹² tentatives par seconde, un mot de passe de 78 bits prend environ 4 800 ans et un de 105 bits dépasse l'âge de l'univers de plusieurs ordres de grandeur. Un de 40 bits prend moins d'une seconde.

Une réserve que les chiffres masquent : ils supposent que l'attaquant devine à l'aveugle. Un mot de passe fait de mots, de dates ou de motifs clavier tombe bien plus vite que son nombre de caractères ne le suggère, car les attaquants testent d'abord les candidats probables. C'est pourquoi les mots de passe ici sont tirés aléatoirement plutôt qu'assemblés à partir de quelque chose de mémorable.

Utiliser une phrase secrète plutôt qu'une chaîne aléatoire

Utiliser une phrase secrète plutôt qu'une chaîne aléatoire.

Une phrase secrète est plusieurs mots aléatoires joints. Elle atteint une entropie comparable à une chaîne aléatoire tout en restant mémorisable et saisissable, ce qui convient aux quelques mots de passe que vous ne pouvez pas stocker dans un gestionnaire.

Entropy = number of words × log₂(word list size)

Avec une liste de 7 776 mots, chaque mot apporte log₂(7776) = 12,9 bits.

Mots	Entropie	Comparable à
4	51,7 bits	Un mot de passe aléatoire de 8 caractères
5	64,6 bits	Un mot de passe aléatoire de 10 caractères
6	77,5 bits	Un mot de passe aléatoire de 12 caractères
7	90,4 bits	Un mot de passe aléatoire de 14 caractères

Six mots donnent 77,5 bits, solides face à une attaque offline, et la plupart des gens peuvent les mémoriser en quelques répétitions. Comparez la saisie de correct-horse-battery-staple-mountain-glass à K7#mQ2vX@pL9. Les deux sont forts ; un seul peut être rappelé et saisi avec une télécommande.

Deux règles rendent une phrase secrète sûre. Les mots doivent être choisis aléatoirement par une machine, pas par vous ; le choix humain se regroupe fortement autour du vocabulaire courant et des associations thématiques. Et ils ne doivent pas former une phrase existante quelque part, car une citation reconnue porte presque aucune entropie quel que soit le nombre de mots.

Utilisez une phrase secrète pour le mot de passe maître du gestionnaire, la connexion à l'appareil et le compte e-mail. Utilisez des chaînes aléatoires, stockées dans le gestionnaire, pour tout le reste.

Comprendre pourquoi ce générateur utilise crypto.getRandomValues

Comprendre pourquoi ce générateur utilise crypto.getRandomValues.

Le Générateur de mots de passe tire chaque caractère de crypto.getRandomValues(), le générateur cryptographique de nombres aléatoires du navigateur, alimenté par le pool d'entropie du système d'exploitation. Il n'utilise pas Math.random(), et cette distinction fait la différence entre un mot de passe et l'apparence d'un mot de passe.

Math.random() est un générateur pseudo-aléatoire rapide conçu pour les simulations et les jeux. Son état interne est petit, les navigateurs documentent qu'il est inadapté à la sécurité, et sa sortie est prévisible pour quiconque en observe assez ou connaît l'implémentation et la date approximative de génération. Un générateur de mots de passe basé sur Math.random() produit des mots de passe reconstructibles plutôt que devinables, et le nombre de caractères n'offre aucune protection contre cela.

Il y a une seconde exigence plus subtile. Mapper des octets aléatoires sur un jeu de caractères avec une simple opération modulo introduit un biais : 2³² ne se divise pas exactement par 94, donc les premiers caractères de l'ensemble apparaissent légèrement plus souvent. Le biais est invisible sur un mot de passe individuel et mesurable sur suffisamment d'entre eux ; il abaisse l'entropie réelle sous le chiffre calculé. Ce générateur utilise un échantillonnage par rejet : une valeur tombant dans la queue inégale est rejetée et retirée, donc la distribution est réellement uniforme.

Aucune graine n'est affichée pour les mots de passe, et c'est volontaire. D'autres générateurs aléatoires sur ce site affichent leur graine pour reproduire et vérifier un résultat. Un mot de passe reproductible est un mot de passe compromis, donc aucune graine n'est stockée, affichée ou dérivable ici.

Tout se passe dans le navigateur. Aucun mot de passe n'est envoyé à un serveur, écrit en stockage ou inclus dans un événement d'analytique.

Stocker les mots de passe en toute sécurité

Stocker les mots de passe en toute sécurité.

Un mot de passe généré n'aide que s'il est utilisé une fois et stocké où vous pouvez le retrouver. La réutilisation est l'échec qui annule tout le reste : lorsqu'un service est compromis, les attaquants testent les identifiants récupérés partout, et un mot de passe de 105 bits réutilisé sur dix sites n'en protège aucun une fois le plus faible tombé.

Quatre pratiques, par ordre d'importance :

Utilisez un gestionnaire de mots de passe. Il supprime le besoin de mémoriser ou retaper, donc l'incitation à réutiliser ou simplifier. Protégez-le avec une longue phrase secrète, et conservez un enregistrement hors ligne de cette phrase et de la clé de récupération dans un endroit physiquement sûr.

Activez l'authentification à deux facteurs partout où elle est proposée, et préférez une application d'authentification ou une clé matérielle à SMS. Les codes SMS peuvent être interceptés par SIM swapping. Un second facteur garde un compte sûr même lorsque le mot de passe est connu.

Changez un mot de passe lorsqu'il y a une raison. La rotation programmée tous les quatre-vingt-dix jours n'est plus recommandée par le NIST, car elle pousse vers des variations prévisibles. Changez immédiatement en cas de signe de violation, de suspicion, ou pour tout mot de passe que vous savez avoir réutilisé.

Vérifiez vos adresses contre les violations connues. Des services qui recherchent votre e-mail dans des données publiques de violations indiquent quels comptes nécessitent une attention maintenant, plus utile que de tout changer selon un calendrier.

Questions fréquentes

Quelle longueur pour un mot de passe ?

Seize caractères est une bonne valeur par défaut pour les comptes protégeant de l'argent, une identité ou des communications, donnant environ 105 bits d'entropie avec un jeu complet. Douze caractères, environ 79 bits, suffit pour des comptes moins sensibles. Lorsque le site en autorise plus, utilisez-en plus ; chaque caractère supplémentaire multiplie l'espace de recherche par la taille de l'ensemble.

Qu'est-ce qui rend un mot de passe fort ?

L'aléatoire et la longueur, dans cet ordre. Un mot de passe fort est tiré de façon imprévisible d'un grand ensemble de caractères et assez long pour que le nombre total de possibilités soit impraticable à parcourir. Des substitutions comme p@ssw0rd n'ajoutent presque rien, car les attaquants testent ces motifs en premier. L'entropie en bits mesure la force réelle ; une étiquette « fort » non.

Les mots de passe générés ici sont-ils sûrs ?

Oui. Chaque mot de passe est généré dans le navigateur par crypto.getRandomValues(), le générateur cryptographique du système d'exploitation, avec échantillonnage par rejet pour une distribution uniforme des caractères. Aucun mot de passe n'est transmis, journalisé ni stocké, et aucun script tiers avec accès à la page ne s'exécute ici.

Mon mot de passe est-il envoyé quelque part ?

Non. La génération se fait entièrement dans le navigateur et aucune valeur générée ne le quitte. Rien n'est écrit en stockage navigateur, inclus dans un lien de partage ou porté par un événement d'analytique. Fermer l'onglet supprime le mot de passe définitivement ; copiez-le dans votre gestionnaire avant de partir.

Que signifie l'entropie en bits ?

L'entropie en bits exprime combien de tentatives un attaquant doit faire, comme une puissance de deux. Un mot de passe de 60 bits requiert environ 2⁵⁹ tentatives attendues. Chaque bit supplémentaire double la difficulté, d'où la croissance rapide avec la longueur : 16 caractères d'un ensemble de 94 donnent 104,9 bits, soit environ 3,7 × 10³¹ possibilités.

Dois-je inclure des symboles dans mon mot de passe ?

Incluez-les là où le site les accepte, mais ne choisissez pas les symboles plutôt que la longueur. Ajouter le jeu de 32 symboles à un mot de passe de 16 caractères porte l'entropie de 95,3 à 104,9 bits. Ajouter quatre caractères de plus à un mot de passe sans symboles la porte de 95,3 à 119,1. La longueur est le levier le plus fort.

Qu'est-ce qu'une phrase secrète et est-elle aussi forte qu'un mot de passe aléatoire ?

Une phrase secrète est plusieurs mots choisis aléatoirement joints. Six mots d'une liste de 7 776 donnent 77,5 bits, comparables à un mot de passe aléatoire de 12 caractères, et bien plus faciles à mémoriser et saisir. Elle doit être choisie par une machine et ne pas former une phrase existante, car une citation reconnaissable porte presque aucune entropie.

Puis-je réutiliser un mot de passe fort sur plusieurs comptes ?

Non. La réutilisation est l'habitude de mot de passe la plus dommageable, et la force ne protège pas contre elle. Lorsqu'un service est compromis, les attaquants testent les identifiants récupérés sur tous les grands sites. Chaque compte a besoin de son propre mot de passe unique, problème que résout un gestionnaire.

À quelle fréquence changer mon mot de passe ?

Changez-le lorsqu'il y a une raison : violation connue ou suspectée, mot de passe partagé ou réutilisé, ou appareil que vous ne contrôlez plus. Le NIST a retiré la guidance de rotation programmée car les changements forcés réguliers poussent vers des variations prévisibles comme ajouter un chiffre, ce qui affaiblit la sécurité plutôt que de l'améliorer.

Qu'est-ce que le biais modulo et pourquoi importe-t-il ?

Le biais modulo est la distorsion introduite lorsque des octets aléatoires sont mappés sur un jeu de caractères avec un simple reste, car la plage d'octets se divise rarement exactement par la taille de l'ensemble. Certains caractères apparaissent alors légèrement plus souvent, abaissant l'entropie réelle sous le chiffre calculé. Ce générateur rejette et retire les valeurs dans la queue inégale pour une distribution réellement uniforme.

Résumé

Le Générateur de mots de passe tire des mots de passe d'un ensemble allant jusqu'à 94 caractères avec le générateur cryptographique du navigateur, avec échantillonnage par rejet pour garder la distribution uniforme, et indique la force en bits d'entropie plutôt qu'avec une étiquette.

La longueur est le facteur le plus fort : un mot de passe de 16 caractères du jeu complet porte environ 105 bits, et le raccourcir de quatre caractères coûte plus d'entropie que de retirer le jeu de symboles entier. Les chiffres de temps de craquage sont donnés pour une attaque online à 10³ tentatives par seconde et offline à 10¹², car un seul chiffre non qualifié ne signifie rien. Le mode phrase secrète atteint une force comparable tout en restant mémorable, adapté aux quelques mots de passe qui ne peuvent pas vivre dans un gestionnaire. Chaque mot de passe est généré localement et aucun n'est transmis, journalisé ni stocké.

Notes de développement

crypto.getRandomValues() uniquement. Math.random() dans ce fichier est une vulnérabilité en production. L'échantillonnage par rejet est requis ; tester l'uniformité avec un ajustement chi-deux sur 10M tirages sur un ensemble de 94 éléments.
Les chiffres d'entropie sont des fixtures de test : 16 chars / 94 pool = 104,9 bits ; 12 / 94 = 78,6 ; 16 / 62 = 95,3 ; 20 / 62 = 119,1 ; 6 words / 7776 = 77,5.
Aucune graine affichée, stockée ou dérivable sur cette page. Le panneau de reçu indique uniquement le CSPRNG et la garantie de non-transmission.
La ligne de non-transmission du lead est une promesse. Aucun événement d'analytique ne peut porter une valeur générée ; aucun script tiers avec accès au DOM ne peut se charger ici.
Pas d'historique de mots de passe, pas de persistance, pas de localStorage.
La référence de rotation NIST est SP 800-63B. La citer si une citation est ajoutée ; n'inventez pas de numéro de version.
Nombre de mots 2 090.