Générateur de mots de passe - Crée des mots de passe aléatoires forts directement dans ton navigateur

L'entropie d'un mot de passe mesure son imprévisibilité, exprimée en bits. Chaque bit double le nombre de tentatives qu'un attaquant doit effectuer en moyenne : 64 bits nécessitent 2^64 tentatives et 128 bits en nécessitent 2^128. L'entropie exacte d'un mot de passe généré aléatoirement est égale à log2(taille_du_jeu_de_caractères) multiplié par la longueur du mot de passe. Un mot de passe de 16 caractères tiré d'un jeu de 95 caractères a 16 x log2(95) = 105 bits. Tout ce qui dépasse 75 bits est considéré comme sûr contre les attaques par force brute hors ligne avec le matériel GPU actuel ; 128 bits est incassable avec toute technologie informatique prévisible, y compris les ordinateurs quantiques exécutant l'algorithme de Grover.

Les attaquants lancent des attaques par dictionnaire qui testent des millions de mots courants, de phrases et de transformations prévisibles (mise en majuscules, substitutions leet comme « a » en « @ », ajout de chiffres ou d'années) avant de tenter la force brute. Tout mot de passe qu'un humain peut facilement mémoriser, y compris les phrases, les prénoms, les dates ou les équipes sportives, figure généralement dans les dictionnaires de craquage (rockyou.txt, HaveIBeenPwned, corpus personnalisés) dès les premiers millions de tentatives. Un mot de passe aléatoire de 16 caractères tiré d'un jeu de 95 caractères prend environ 4 quadrillions de fois plus de temps à deviner qu'un mot typique de 8 caractères avec un chiffre en suffixe. La solution : génère ton mot de passe, ne l'invente pas.

Oui. Un gestionnaire de mots de passe (Bitwarden, 1Password, KeePass, Proton Pass, Apple Passwords) te permet d'utiliser un mot de passe unique et généré aléatoirement pour chaque compte, sans en mémoriser aucun : tu ne retiens qu'un seul mot de passe maître solide. Le coffre-fort est chiffré localement avec ton mot de passe maître, puis synchronisé en option via le fournisseur. L'alternative, réutiliser le même mot de passe sur plusieurs sites ou les stocker dans un fichier texte ou la saisie automatique du navigateur sans chiffrement, signifie qu'une seule fuite expose tous tes comptes. Les gestionnaires modernes génèrent aussi des clés d'accès, surveillent les bases de données de fuites et t'avertissent des entrées réutilisées ou faibles.

Ne change pas tes mots de passe selon un calendrier fixe. Le NIST SP 800-63B (2017, confirmé dans les révisions ultérieures) déconseille explicitement la rotation périodique obligatoire, car elle pousse les utilisateurs vers des schémas prévisibles : remplacer « Summer2024! » par « Summer2025! » affaiblit la sécurité au lieu de l'améliorer. Change un mot de passe uniquement en cas de raison concrète : une fuite confirmée (alerte HaveIBeenPwned, notification du fournisseur), un accès partagé à révoquer, un soupçon de hameçonnage ou de compromission d'appareil, ou encore une exposition sur un appareil non fiable. Avec un gestionnaire de mots de passe et un mot de passe aléatoire unique par site, l'impact d'une fuite reste limité au seul compte concerné.

Quatre propriétés combinées : longueur, aléatoire, variété de caractères et unicité. La longueur est la plus importante : chaque caractère supplémentaire tiré d'un jeu de 95 caractères multiplie les tentatives par 95. L'aléatoire élimine les attaques par dictionnaire. La variété (minuscules, majuscules, chiffres, symboles) maximise l'espace de recherche par caractère. L'unicité garantit qu'une fuite ne se propage pas aux autres comptes. Un mot de passe de 16 caractères généré par une source aléatoire cryptographiquement sûre à partir des quatre classes de caractères offre environ 105 bits d'entropie et est actuellement incassable par force brute.

Douze caractères est le minimum pratique, seize ou plus est recommandé, et vingt ou plus est préférable pour les comptes à haute valeur (e-mail, finances, gestionnaire de mots de passe). Avec 95 caractères par position, 12 caractères donnent 79 bits d'entropie, 16 en donnent 105, et 20 en donnent 131. La longueur est l'entropie la moins coûteuse que tu puisses obtenir, car chaque caractère supplémentaire multiplie le travail de l'attaquant, tandis que la complexité des symboles et de la casse n'apporte qu'un gain marginal. Si un système limite les mots de passe à 12-16 caractères, préfère le maximum autorisé et utilise un générateur.

Seulement si elles sont suffisamment longues. Une phrase de passe de quatre mots issue de la liste EFF (7 776 mots) offre 51 bits d'entropie, ce qui est plus faible qu'un mot de passe aléatoire de 9 caractères. Six mots donnent 77 bits, soit l'équivalent approximatif de 12 caractères aléatoires. Les phrases de passe échangent la densité d'entropie contre la mémorabilité, et nécessitent donc plus de caractères pour atteindre le même niveau de sécurité qu'un mot de passe aléatoire. Utilise les phrases de passe pour les mots de passe maîtres de coffre-fort (que tu dois mémoriser) et les mots de passe aléatoires générés pour tout le reste (dont le gestionnaire se souvient à ta place).

Non. Ce générateur fonctionne entièrement dans ton navigateur via l'API WebCrypto (window.crypto.getRandomValues), une source d'aléatoire cryptographiquement sûre reposant sur le système d'exploitation. Le mot de passe généré est créé localement, affiché uniquement pour toi et jamais transmis nulle part. Le serveur fournit les ressources de la page et n'a aucune visibilité sur ce qui a été généré. Cela rend l'outil sûr à utiliser même pour des comptes en production.