Générateur de mot de passe fort
Un mot de passe aléatoire construit avec la source d'aléa cryptographique de votre navigateur, avec l'entropie affichée dessous pour voir sa robustesse réelle.
Les mots sont tirés de la liste EFF de 7 776 mots, chacun apporte donc 12,9 bits. Plus facile à saisir et à retenir qu’une suite aléatoire de même robustesse.
Un PIN ne vaut que par l’appareil qui limite le nombre d’essais. Ne le réutilisez pas comme mot de passe.
Générer un mot de passe fort, sûr et aléatoire
Un mot de passe que vous inventez porte vos habitudes : un prénom, une année, une majuscule au début, un symbole à la fin. Les outils de cassage connaissent ces habitudes et les essaient en premier. Cette page ouvre le générateur de mot de passe sur 20 caractères avec les symboles activés, c'est-à-dire le réglage que cherchent la plupart des gens quand ils demandent un générateur de mot de passe fort, et produit un résultat avant que vous ne touchiez à quoi que ce soit.
Sous le résultat, deux indications : une étiquette de robustesse et l'entropie en bits. L'étiquette est une échelle grossière, utile d'un coup d'œil ; le nombre est la vraie mesure, et c'est de lui que parle le reste de cette page.
La robustesse, c'est la longueur et le hasard, pas l'apparence
Un mot de passe ne devient pas solide parce qu'il a l'air compliqué. P@ssw0rd! comporte une majuscule, un chiffre, deux symboles et une substitution de lettre, et c'est l'une des premières chaînes que tente n'importe quel dictionnaire de cassage. Ce qui compte, c'est le nombre de possibilités également probables que l'attaquant doit parcourir, et cela ne dépend que de deux choses : le nombre de caractères et le caractère imprévisible de chacun. Comme les deux entrent dans le même produit, un caractère de plus multiplie le travail, tandis qu'un type de caractère de plus ne fait que l'élargir un peu.
L'entropie derrière chaque réglage
L'entropie en bits, c'est la longueur multipliée par le logarithme en base 2 de la taille du jeu, et chaque bit double le travail de l'attaquant. Majuscules, minuscules et chiffres donnent un jeu de 62 caractères. La case Symboles ajoute 26 signes de ponctuation, pour un jeu de 88 caractères.
| Ce que vous générez | Jeu | Entropie |
|---|---|---|
| 8 caractères, les quatre jeux | 88 | environ 52 bits |
| 16 caractères, lettres et chiffres | 62 | environ 95 bits |
| 16 caractères, les quatre jeux | 88 | environ 103 bits |
| 20 caractères, lettres et chiffres | 62 | environ 119 bits |
| 20 caractères, les quatre jeux, comme à l'ouverture de cette page | 88 | environ 129 bits |
Les tableaux que l'on rencontre ailleurs comptent les 94 caractères <abbr title="American Standard Code for Information Interchange">ASCII imprimables ; ce générateur utilise 26 des 32 signes de ponctuation, son plus grand jeu est donc de 88 et non de 94, et ses valeurs tombent un cran plus bas. Dans tous les cas, 129 bits dépassent de très loin ce qu'une attaque hors ligne peut moudre, et c'est pourquoi l'étiquette de robustesse affiche ici son niveau maximal.
Caractères ambigus et jeux garantis
Deux des cases modifient la forme du résultat plutôt que sa longueur. Exclure les caractères ambigus retire 0, O, l, 1 et I, ceux que l'on lit de travers quand un mot de passe est imprimé sur une carte ou dicté au téléphone ; le jeu des lettres et des chiffres passe de 62 à 57, ce qui coûte environ un demi-bit par caractère. Au moins un de chaque type garantit un caractère de chaque jeu coché : un formulaire qui exige un chiffre accepte alors le premier mot de passe généré et non le troisième.
Si le mot de passe doit être saisi par une personne plutôt que collé par un gestionnaire, la page mot de passe wifi ouvre le même générateur avec ces deux décisions déjà prises.
Rien ne quitte la page
Le mot de passe est assemblé dans votre navigateur avec crypto.getRandomValues et mélangé avec la même source d'aléa : aucun serveur à qui faire confiance, aucun journal susceptible de fuiter, aucun historique à effacer. Le bouton Partager le lien sous l'outil copie la longueur et les cases des jeux de caractères pour qu'un collègue ouvre le générateur réglé de la même manière ; la valeur produite, elle, n'entre jamais dans le lien. Collez le résultat dans un gestionnaire de mots de passe, utilisez un mot de passe différent par compte et activez l'authentification à deux facteurs : le raisonnement derrière ces trois conseils se trouve dans le guide des mots de passe forts.
Quand une chaîne aléatoire n'est pas la bonne forme
Pour les deux ou trois secrets que vous devez saisir de mémoire, une phrase de passe de cinq ou six mots tirés au hasard atteint la même robustesse sous une forme que vous pouvez vraiment retenir. Pour un écran de verrouillage ou un clavier qui n'accepte que des chiffres, prenez le générateur de code PIN et lisez ce qu'il dit du peu que vaut un PIN livré à lui-même.