Comment créer un mot de passe fort
La force d'un mot de passe vient de sa longueur et de son imprévisibilité. Chaque caractère supplémentaire multiplie le nombre de combinaisons qu'un attaquant doit essayer : la longueur est donc le levier le plus efficace. Utilisez au moins 12 caractères pour les comptes courants et 16 ou plus pour la messagerie, la banque et votre gestionnaire de mots de passe.
Mélanger majuscules, minuscules, chiffres et symboles élargit l'ensemble des caractères possibles et augmente l'entropie de chaque position. L'aléa compte tout autant : les mots de passe choisis par des humains suivent des schémas — un prénom et une année, un mot avec @ à la place de a, ou une suite de clavier comme azerty. Un générateur fondé sur l'API Web Crypto n'a pas ce biais.
- Évitez les mots du dictionnaire, les noms, les dates de naissance et les caractères qui se suivent.
- Ne comptez pas sur des substitutions prévisibles comme P@ssw0rd.
- Ne réutilisez jamais un mot de passe sur plus d'un site.
Entropie et temps de crackage
L'entropie, mesurée en bits, exprime la difficulté à deviner un mot de passe. Elle vaut à peu près la longueur multipliée par le logarithme en base 2 de la taille du jeu de caractères. Chaque bit supplémentaire double l'effort nécessaire pour le casser par force brute.
- Moins de 40 bits — faible ; peut tomber en quelques secondes à quelques heures.
- Environ 60 bits — acceptable pour des comptes peu sensibles.
- De 75 à 100 bits — fort ; hors de portée d'une force brute avec le matériel actuel.
- Plus de 100 bits — excellent ; adapté aux mots de passe maîtres et aux clés de chiffrement.
Le temps de crackage affiché suppose environ 10 milliards d'essais par seconde, ce qu'obtient une grappe de GPU moderne face à un hachage rapide. Les chiffres réels varient selon l'algorithme de hachage et les moyens de l'attaquant : considérez ce nombre comme un repère relatif, pas une garantie.
Comment les mots de passe sont compromis
Un mot de passe fort et unique déjoue les attaques qui reposent sur la devinette — mais toutes ne fonctionnent pas ainsi :
- Les attaques par force brute et par masque essaient toutes les combinaisons, ou toutes celles qui correspondent à un schéma connu.
- Les attaques par dictionnaire parcourent des listes de mots et des bases de mots de passe exposés lors de fuites antérieures.
- Le bourrage d'identifiants prend un identifiant volé sur un site et l'essaie partout ailleurs — d'où le danger de la réutilisation.
- L'hameçonnage vous pousse à saisir votre mot de passe sur une fausse page de connexion.
- Les logiciels malveillants et enregistreurs de frappe capturent ce que vous tapez, quelle que soit la force du mot de passe.
La longueur et l'aléa règlent les deux premières. Pour le reste, il faut l'authentification à deux facteurs et une saine méfiance envers les demandes de connexion inattendues.
Bonnes pratiques de gestion des mots de passe
- Un mot de passe unique par compte. Une fuite sur un service n'ouvre alors pas les autres.
- Utilisez un gestionnaire de mots de passe comme Bitwarden, KeePassXC ou 1Password. Vous mémorisez une phrase maîtresse forte, il stocke tout le reste.
- Activez l'authentification à deux facteurs partout où elle est proposée, de préférence avec une application d'authentification ou une clé de sécurité matérielle plutôt que des codes par SMS.
- Changez un mot de passe quand c'est justifié — après un avis de fuite ou un soupçon de compromission. Les recommandations actuelles (NIST) déconseillent la rotation périodique forcée, qui pousse vers des mots de passe plus faibles et à schéma.
- Ne partagez jamais un mot de passe par e‑mail ou messagerie, et ne le conservez jamais dans un fichier texte ou un tableur.
Phrases de passe ou chaînes aléatoires
Une phrase de passe est composée de plusieurs mots sans lien tirés au hasard, par exemple violon port nickel dérive. Avec quatre à six mots vraiment aléatoires, elle est très forte et bien plus facile à taper et à retenir qu'une chaîne aléatoire. Un mot de passe de caractères aléatoires concentre plus d'entropie par caractère et convient mieux lorsqu'un gestionnaire le remplit à votre place et que vous ne le tapez jamais.
Un partage pratique : une longue phrase de passe pour l'unique mot de passe maître à retenir, et des chaînes aléatoires de ce générateur pour chaque compte.
Ce générateur est-il privé et sûr ?
Tout se passe dans votre navigateur. La page n'a pas de serveur : les mots de passe sont construits localement en JavaScript et ne sont jamais envoyés sur le réseau. L'aléa provient de crypto.getRandomValues(), le générateur cryptographiquement sûr du navigateur, et non du prévisible Math.random().
Aucun cookie, aucune analyse, aucun journal. Vous pouvez ouvrir la page, couper Internet, et elle continue de fonctionner — et vous pouvez vérifier que rien n'est transmis en surveillant l'onglet Réseau des outils de développement.
Pour aller plus loin
- NIST SP 800-63B — Digital Identity Guidelines
- OWASP — Password Storage Cheat Sheet
- Have I Been Pwned — check for breached accounts
Vous avez généré un mot de passe fort ? Il vous faut un endroit sûr où le conserver →
Termes liés: Entropie · Force brute · Phrase de passe · Gestionnaire de mots de passe · CSPRNG