Générateur de mots de passe
Comment créer un mot de passe fort — et ce que ce générateur fait différemment
Un mot de passe n’est fort que par le nombre d’essais qu’il faut pour le trouver. Ce générateur crée des mots de passe à partir d’une source aléatoire cryptographique, vous donne la taille exacte de l’espace de recherche en bits et montre le temps qu’il faut pour le parcourir dans trois scénarios d’attaque réels — au lieu d’un adjectif rassurant. Tout s’exécute dans votre navigateur : la page n’envoie jamais un mot de passe, n’a pas de compte et fonctionne hors ligne une fois chargée.
Ce qui se passe quand vous appuyez sur Générer
- 1
L’API Web Crypto de votre navigateur (crypto.getRandomValues) produit les nombres aléatoires — la même source que les gestionnaires de mots de passe. Rien n’est dérivé de l’horloge ou d’une graine reproductible, et aucune requête ne quitte la page.
- 2
Chaque caractère est tiré uniformément dans l’ensemble choisi, avec un échantillonnage par rejet, pour qu’aucun caractère ne soit plus probable qu’un autre. Un mot de passe de 20 caractères avec les quatre types a 90 possibilités par position — environ 130 bits.
- 3
Au moins un caractère de chaque type activé est garanti puis mélangé à une position aléatoire : un mot de passe n’échoue jamais à la règle « doit contenir un chiffre », pour un coût en entropie quasi nul.
- 4
La robustesse affichée est calculée d’après la construction du mot de passe, pas d’après son apparence. C’est pourquoi une phrase de 5 mots et une chaîne aléatoire de 12 caractères peuvent afficher les mêmes bits avec des formes très différentes.
L’entropie : le seul nombre qui compte
L’entropie est la taille de l’espace qu’un attaquant doit explorer, en bits : chaque bit supplémentaire double le nombre d’essais. Elle dépend de la longueur et du nombre de possibilités par position — pas de l’air « aléatoire » du résultat. 12 caractères tirés parmi 90 donnent 90¹² ≈ 2⁷⁸ possibilités ; 5 mots tirés d’une liste de 7 776 donnent 7 776⁵ ≈ 2⁶⁵. Le tableau ci-dessous est calculé en direct par le même moteur que le générateur.
| Mot de passe | Bits | En ligne (100/s) | Fuite, hachage lent (100 k/s) | Fuite, hachage rapide (100 Md/s) |
|---|---|---|---|---|
| 8 minuscules | 38 | 66 ans | 24 jours | 2 secondes |
| 8 caractères, tous types | 52 | 1 millions d’années | 1 milliers d’années | 12 heures |
| 12 caractères, tous types | 78 | plus que l’univers | plus que l’univers | 89 milliers d’années |
| 16 caractères, tous types | 104 | plus que l’univers | plus que l’univers | plus que l’univers |
| 20 caractères, tous types | 130 | plus que l’univers | plus que l’univers | plus que l’univers |
| Phrase de 4 mots | 52 | 1 millions d’années | 1 milliers d’années | 10 heures |
| Phrase de 6 mots | 78 | plus que l’univers | plus que l’univers | 70 milliers d’années |
| PIN à 6 chiffres | 20 | 3 heures | 10 secondes | instantanément |
Les temps sont le pire cas pour l’attaquant (tout l’espace) ; en moyenne un mot de passe est trouvé à mi-chemin. « En ligne » désigne un formulaire de connexion avec limitation. « Fuite » signifie que la base du site a été volée et que l’attaquant devine contre les hachages stockés sur son propre matériel — la vitesse dépend alors uniquement de la façon dont le site a haché les mots de passe, ce que vous ne voyez pas ; supposez le cas rapide.
Trois attaquants, trois réponses
100/ s
Essais en ligne
Essais en ligne. L’attaquant tape ses essais dans le vrai formulaire. Limites de débit, verrouillages et CAPTCHA plafonnent cela à peut-être cent essais par seconde, souvent bien moins — un mot de passe aléatoire de 8 caractères demande déjà des siècles ici. C’est le scénario pour lequel un PIN est conçu, et le seul auquel il survit.
100 000/ s
Fuite, hachage lent
Hors ligne, hachage lent. La base du site a fui, mais les mots de passe étaient stockés avec un algorithme volontairement lent (bcrypt, scrypt, Argon2). Un GPU atteint des dizaines de milliers d’essais par seconde et par hachage. Soixante bits — 10 caractères aléatoires ou 5 mots — représentent des décennies.
100 000 000 000/ s
Fuite, hachage rapide
Hors ligne, hachage rapide. La base a fui et les mots de passe étaient en MD5, SHA-1, NTLM ou en clair. Une seule machine à GPU tente cent milliards d’essais par seconde. C’est là que « 8 caractères avec un symbole » meurt en quelques heures et que 80 bits et plus est le plancher à viser — parce que vous ne savez jamais sur quel type de site vous êtes.
Aléatoire, phrase ou PIN — lequel choisir
Caractères aléatoires
Le plus d’entropie par caractère. Pour tout ce qu’un gestionnaire de mots de passe saisit à votre place : sites, applications, réseaux Wi-Fi, clés d’API. À 16 caractères avec tous les types vous dépassez 100 bits ; à 20, il n’existe aucun scénario où il est le point faible.
Phrase de passe
Des mots tirés au hasard dans une liste de 7 776, chacun valant 12,9 bits. Pour les mots de passe que vous devez vraiment retenir ou taper : le mot de passe maître de votre gestionnaire, la session de l’ordinateur, le chiffrement du disque. Cinq mots (65 bits) sont le minimum raisonnable ; six (78 bits) tiennent confortablement même face à une attaque hors ligne rapide — et « correct-horse-battery-staple » se tape bien plus facilement sur un téléphone que « x7#Kq$2v ».
PIN
Uniquement des chiffres, donc une entropie minuscule — six chiffres font moins de 20 bits. Un PIN n’est sûr que lorsque ce qu’il protège se verrouille ou s’efface après quelques essais : un téléphone, une carte bancaire, une clé matérielle. Ne réutilisez jamais un PIN comme mot de passe de site.
Sept règles qui tiennent
- 01
La longueur bat la complexité. Chaque caractère de plus multiplie l’espace par la taille de l’ensemble ; une exigence de symbole n’ajoute qu’une poignée de bits, une fois. Seize caractères aléatoires ou six mots au hasard, et le débat est clos.
- 02
Un mot de passe par site. Quand un site fuit — et un site fuira — un mot de passe réutilisé est essayé sur tous les autres services en quelques heures (credential stuffing). L’unicité est ce qu’un gestionnaire vous achète.
- 03
Aléatoire, pas astucieux. Remplacer a par @ et ajouter 1! est la première chose que testent les outils. Un mot de passe que vous avez conçu porte les motifs d’un humain ; un mot de passe généré n’en porte aucun.
- 04
Ne changez pas pour changer. Les recommandations modernes (NIST SP 800-63B) : changer un mot de passe quand il y a une raison — une fuite, un appareil partagé — pas selon un calendrier. La rotation forcée produit Ete2024!, Automne2024!.
- 05
Activez l’authentification à deux facteurs et préférez les passkeys quand elles sont proposées. Un mot de passe fort protège contre la devinette ; un second facteur protège contre le vol pur et simple par hameçonnage ou logiciel malveillant.
- 06
Vérifiez où vous le tapez. Un mot de passe parfait saisi sur une fausse page de connexion est un mot de passe volé. La barre d’adresse compte plus que le nombre de symboles.
- 07
N’envoyez jamais un mot de passe à un service pour le « vérifier ». Cette page vérifie le vôtre localement, et vous pouvez le constater dans l’onglet réseau du navigateur ; tout vérificateur qui téléverse le mot de passe l’a déjà divulgué.
Des mots de passe qui semblent forts et ne le sont pas
Un mot avec une majuscule et une année : Michel1987 — environ 20 bits, un mot du dictionnaire plus une date, cassé instantanément hors ligne.
Leetspeak : P@$$w0rd! — chaque outil applique ces substitutions automatiquement ; c’est « password » déguisé.
Parcours de clavier : azerty, 1qaz2wsx, qsdfghjkl — dans toutes les listes, dans tous les ordres.
Un motif plus le nom du site : Hunter2-amazon, Hunter2-netflix — après une fuite, le schéma est évident.
Deux mots et un nombre : voiturebleue42 — environ 35 bits, quelques minutes sur un GPU.
Réutiliser un mot de passe fort. 25 caractères aléatoires utilisés sur trois sites sont exactement aussi sûrs que le plus faible de ces trois sites.
Quand un site refuse le mot de passe
« Caractères spéciaux interdits » ou seulement certains autorisés — utilisez Plus d’options → Symboles à exclure, ou désactivez les symboles et ajoutez quatre caractères de longueur ; vous ne perdez rien.
« Doit commencer par une lettre » — activez Commencer par une lettre.
« Maximum 16 caractères » — réglez la longueur au maximum accepté et gardez les quatre types ; s’il faut faire court, gardez les symboles.
« Doit contenir un chiffre » avec une phrase — cochez Ajouter un chiffre à un mot (ou un symbole) ; un caractère satisfait la règle et ajoute quelques bits.
Un code lu à voix haute ou recopié d’un papier — activez Éviter les sosies pour que 0/O et 1/l/I ne causent jamais d’erreur.
Un générateur, c’est la moitié du travail
Un mot de passe aléatoire que vous ne pouvez pas retenir n’est utile que si quelque chose le retient pour vous. Un gestionnaire stocke un mot de passe unique par site, le remplit sur le vrai domaine (et refuse sur un faux) et ne vous demande qu’une phrase maître forte — exactement ce à quoi sert l’onglet Phrase.
Tous les gestionnaires courants — y compris ceux intégrés aux navigateurs et aux téléphones — chiffrent le coffre avec une clé dérivée de votre phrase maître ; une fuite du coffre est donc une autre attaque hors ligne contre cette seule phrase. Six mots au hasard la portent à 78 bits.
Quand un site propose une passkey, prenez-la : c’est une paire de clés cryptographiques qui ne peut être ni hameçonnée, ni réutilisée, ni devinée, et elle retire le mot de passe de l’équation. En attendant, des mots de passe aléatoires uniques plus un second facteur constituent la norme.
Ce que fait ce générateur que la plupart ne font pas
La plupart des générateurs de mots de passe sont un appât pour un gestionnaire. Celui-ci est un outil, et il se juge comme un outil.
| Fonction | CalculatorAI | Générateur type |
|---|---|---|
| Modes aléatoire, phrase et PIN | Oui | Aléatoire et mémorisable |
| Robustesse en bits d’entropie | Oui, d’après la construction | Barre colorée |
| Temps de cassage selon trois scénarios | En ligne, hachage lent, hachage rapide | Une estimation ou aucune |
| Vérifier un mot de passe existant | Oui, localement, avec alertes de motifs | Rarement |
| Exclure des symboles, éviter les sosies, commencer par une lettre | Oui | Parfois |
| Générer une liste et l’exporter | 5–50, copie ou .txt | Un à la fois |
| Compte, incitations à s’inscrire, suivi de ce qui est généré | Aucun | Bouton d’inscription |
| Fonctionne hors ligne après chargement | Oui | Généralement |
Questions fréquentes
Ce générateur est-il sûr ?
Oui. Les mots de passe sont produits par le générateur aléatoire cryptographique intégré à votre navigateur (Web Crypto) et ne quittent jamais la page — aucune requête ne peut les transporter, aucun compte, aucun stockage des résultats. Vous pouvez le vérifier dans l’onglet réseau du navigateur. Seuls vos réglages (longueur, types de caractères) sont mémorisés localement pour que le générateur s’ouvre comme vous l’avez laissé.
Quelle longueur pour un mot de passe en 2026 ?
Seize caractères aléatoires avec lettres, chiffres et symboles (environ 105 bits), ou une phrase de six mots (environ 78 bits), pour tout ce qui compte. Vingt caractères aléatoires ne coûtent rien de plus quand un gestionnaire les saisit. Huit caractères, quel que soit le mélange, ne sont plus sûrs face à une attaque hors ligne sur une base divulguée.
Une phrase de passe est-elle plus faible qu’un mot de passe aléatoire ?
Par caractère, oui ; par mot de passe, pas forcément. Chaque mot aléatoire de la liste EFF de 7 776 mots ajoute 12,9 bits : cinq mots font 65 bits et six 78 — comparable à 12 caractères aléatoires. La phrase est bien plus facile à retenir et à taper, d’où son intérêt pour les rares mots de passe à connaître par cœur, comme le mot de passe maître de votre gestionnaire.
Que signifient les estimations de temps de cassage ?
Le temps nécessaire pour essayer toutes les possibilités à une vitesse donnée. Trois vitesses sont affichées parce que la réponse honnête dépend de l’attaque : deviner via un formulaire est lent (limité), deviner contre une base divulguée à hachages lents est rapide, et contre des hachages rapides ou absents, très rapide. Prévoyez le dernier cas, car vous ne voyez pas comment un site stocke les mots de passe.
Pourquoi afficher l’entropie en bits plutôt qu’un score ?
Un score cache l’arithmétique. Les bits sont l’arithmétique : chaque bit double le travail de l’attaquant, 40 bits c’est une pause café sur un GPU, 80 bits des décennies, 128 bits au-delà de tout matériel prévisible. Connaître le nombre permet de comparer honnêtement une phrase et une chaîne aléatoire.
Faut-il noter ses mots de passe ?
Dans un gestionnaire, oui — c’est son rôle. Sur papier, seulement une phrase maître ou des codes de récupération, conservés en lieu physiquement sûr. Jamais dans une application de notes synchronisée sans chiffrement, un e-mail à soi-même, ou un navigateur qui ne verrouille pas ses mots de passe derrière la session de l’appareil.
Les symboles renforcent-ils beaucoup un mot de passe ?
Un peu, une fois. Passer de 62 à 90 caractères possibles ajoute environ un demi-bit par caractère. Passer de 12 à 16 caractères ajoute environ 26 bits. Si un site limite les symboles, ajoutez de la longueur : vous êtes gagnant.
Peut-on générer des mots de passe en lot ?
Oui : choisissez 5, 10, 25 ou 50 sous le générateur, puis copiez la liste ou téléchargez-la en .txt. Chaque entrée est générée indépendamment avec les options actuelles. Pratique pour créer des comptes ou des codes Wi-Fi invités.
Glossaire
- Entropie
- La taille de l’espace de recherche, en bits. 2ⁿ possibilités = n bits. Chaque bit de plus double le travail de l’attaquant.
- Force brute
- Essayer toutes les combinaisons possibles dans l’ordre. Son coût est fixé uniquement par l’entropie et la vitesse d’essai de l’attaquant.
- Attaque par dictionnaire
- Essayer d’abord mots, prénoms, fuites passées et leurs variantes courantes. C’est pourquoi « Michel1987 » tombe en secondes et les mots de passe générés résistent.
- Credential stuffing
- Prendre des paires e-mail/mot de passe d’une fuite et les essayer automatiquement sur d’autres sites. Seuls des mots de passe uniques y résistent.
- Hachage
- La façon dont les sites devraient stocker les mots de passe : comme la sortie d’une fonction à sens unique. Les hachages lents (bcrypt, Argon2) rendent les essais coûteux ; les rapides (MD5, SHA-1) non.
- Sel
- Des données aléatoires ajoutées à chaque mot de passe avant le hachage, pour que des mots de passe identiques donnent des hachages différents et que les tables précalculées soient inutiles.
- Passkey
- Un identifiant à clé publique stocké sur votre appareil et déverrouillé par sa biométrie ou son PIN. Ni hameçonnable ni réutilisable ; remplace le mot de passe sur les sites compatibles.
- Authentification à deux facteurs
- Une seconde preuve en plus du mot de passe — un code d’application, une clé matérielle ou une passkey — pour qu’un mot de passe volé ne suffise pas.
Outils associés
Créé sur cette page avec le générateur aléatoire cryptographique de votre navigateur (Web Crypto). Rien n’est envoyé, stocké ni journalisé.