Ce qui rend un mot de passe robuste
Un mot de passe n'est robuste qu'à la mesure du nombre d'essais nécessaires à un attaquant. Ce nombre dépend de la longueur et d'un vrai hasard, pas de substitutions astucieuses comme un @ à la place d'un a.
L'entropie : compter les essais
La robustesse d'un mot de passe se mesure en bits d'entropie. Un mot de passe tiré au hasard parmi N possibilités a log2(N) bits, et chaque bit supplémentaire double le travail de l'attaquant. Un mot de passe aléatoire de 12 caractères parmi 94 caractères imprimables a environ 79 bits. Tout tient dans le mot aléatoire : un mot de passe choisi par une personne, comme un prénom suivi d'une année et d'un point d'exclamation, a bien moins de bits que sa longueur ne le laisse croire, car les attaquants essaient ces motifs en premier.
Diceware et phrases de passe
En 1995, Arnold Reinhold a publié diceware : lancer cinq dés pour choisir un mot dans une liste de 7776, et recommencer. Chaque mot apporte environ 12,9 bits, donc six mots donnent environ 77 bits tout en restant faciles à taper. L'Electronic Frontier Foundation a publié des listes améliorées en 2016, et ce générateur utilise sa grande liste. L'idée est devenue célèbre grâce à la bande dessinée de 2011 qui comparait correct horse battery staple au mot de passe difficile à retenir mais faible Tr0ub4dor&3.
Ce que disent les recommandations
Les NIST Digital Identity Guidelines (SP 800-63B) privilégient la longueur plutôt que les règles de composition : accepter les mots de passe et phrases de passe longs, comparer les nouveaux mots de passe aux listes de fuites et ne pas imposer de changements périodiques sans raison. Les règles de complexité imposées mènent surtout à des motifs prévisibles. La longueur alliée à un vrai hasard, et un mot de passe différent pour chaque site, comptent bien davantage.
À quelle vitesse les attaquants devinent
Quand un site est piraté, les attaquants testent des essais hors ligne contre les empreintes volées. Avec des fonctions de hachage rapides et des cartes graphiques modernes, cela peut atteindre des milliards d'essais par seconde, l'hypothèse retenue pour le temps de cassage affiché ici. Des fonctions lentes comme bcrypt ou Argon2 réduisent fortement ce rythme, mais vous ne savez pas ce qu'utilise un site. Visez au moins 70 à 80 bits, des mots de passe uniques, un gestionnaire de mots de passe et l'authentification à deux facteurs.
Questions fréquemment posées
Quelle longueur pour un mot de passe ?
Pour un mot de passe aléatoire avec lettres, chiffres et symboles, 16 caractères ou plus donnent plus de 100 bits. Pour une phrase de passe, prenez au moins 5 ou 6 mots aléatoires. La longueur est le moyen le plus simple de gagner en robustesse.
Les substitutions comme P@ssw0rd sont-elles robustes ?
Non. Les attaquants connaissent les substitutions courantes et les essaient automatiquement, elles n'apportent donc presque rien. C'est le vrai hasard qui rend un mot de passe robuste.
Faut-il changer régulièrement de mot de passe ?
Les recommandations actuelles disent non, sauf raison précise comme une fuite. Les changements forcés fréquents produisent souvent des mots de passe plus faibles et prévisibles. Utilisez des mots de passe uniques et changez-en un s'il a pu fuiter.
Outils associés
Générateur de mots de passe
Générateur de mots de passe gratuit : mots de passe et phrases de passe aléatoires robustes issus de crypto.getRandomValues, avec longueur, jeux de caractères, exclusion des caractères ambigus, génération en lot, entropie, jauge de robustesse et temps de cassage. Rien n'est enregistré ni envoyé.
Générateur de lorem ipsum
Générateur de lorem ipsum gratuit : faux texte en paragraphes, phrases, mots, éléments de liste ou octets, en latin classique, en Cicéron original ou avec des vocabulaires thématiques, avec sortie HTML, titres et graine reproductible.
Convertisseur de casse
Convertisseur de casse gratuit : MAJUSCULES, minuscules, casse de titre avec règles de langue, casse de phrase, camelCase, PascalCase, snake_case, kebab-case, CONSTANT_CASE, dot.case et slugs d'URL, plus nettoyage des espaces, sauts de ligne, puces et emojis.
Formateur JSON
Formateur et validateur JSON gratuit : embellir ou minifier du JSON, trouver la ligne et la colonne d'une erreur, trier les clés, parcourir un arbre, copier des chemins et convertir des tableaux en CSV, dans votre navigateur.
L'histoire du lorem ipsum
D'où vient le lorem ipsum : un passage du De finibus bonorum et malorum de Cicéron, de 45 av. J.-C., déformé en faux texte et diffusé par les planches Letraset dans les années 1960 et par des logiciels de PAO comme Aldus PageMaker.
Prêt à l'essayer ?
Ouvrez PictorX dans votre navigateur – aucune installation, aucune carte de crédit requise pour démarrer.
Ouvrir le générateur de mots de passe