Qu'est-ce que l'entropie et pourquoi est-ce important ?

L'entropie mesure l'imprévisibilité en bits. Chaque bit supplémentaire double le nombre de tentatives qu'un attaquant doit faire. Un mot de passe avec 40 bits d'entropie est faible ; 80 bits est fort pour la plupart des usages ; 100+ bits est hors de portée de tout attaquant pratique. L'outil calcule l'entropie comme longueur × log2(tailleDuPool) — le maximum théorique pour un mot de passe généré aléatoirement depuis ce pool.

Quelle est la précision des estimations de temps de crackage ?

Les estimations supposent une attaque par force brute qui teste chaque mot de passe possible du pool. Elles sont utiles pour comparer la force des mots de passe mais optimistes en pratique — les attaquants réels utilisent des attaques par dictionnaire, l'analyse de motifs et des bases de données de mots de passe fuités. Comme ces mots de passe sont générés aléatoirement sans motifs, l'estimation par force brute est précise. Pour les mots de passe choisis par des humains, les temps réels sont souvent bien plus courts.

Dois-je exclure les caractères ambigus ?

Activez-le si vous allez taper le mot de passe manuellement, le lire à voix haute ou le noter. Cela supprime les caractères comme 0/O, 1/l/I, 5/S, 2/Z, 8/B qui se confondent facilement. Cela réduit légèrement la taille du pool (et donc l'entropie), mais le gain pratique en utilisabilité surpasse généralement la petite perte d'entropie. Pour les mots de passe stockés uniquement dans un gestionnaire, laissez-le désactivé.

Quelle longueur de mot de passe devrais-je utiliser ?

Pour les comptes en ligne (email, réseaux sociaux) : 16 caractères minimum. Pour les comptes à forte valeur (banque, email principal, portefeuilles crypto) : 20+ caractères. Pour les mots de passe maîtres qui protègent les autres mots de passe : 24+ caractères. Les recommandations modernes privilégient la longueur sur la complexité — un mot de passe de 24 caractères uniquement en minuscules est plus fort qu'un mot de passe de 8 caractères avec tous les symboles.

L'outil stocke-t-il ou transmet-il mon mot de passe ?

Non. Le mot de passe est généré entièrement dans votre navigateur en utilisant crypto.getRandomValues(). Il n'est jamais envoyé à un serveur, jamais enregistré et jamais persisté nulle part. Quand vous fermez ou rafraîchissez la page, le mot de passe disparaît sauf si vous l'avez sauvegardé vous-même.

Ces mots de passe sont-ils sûrs pour de vrais comptes ?

Oui. crypto.getRandomValues() est un CSPRNG certifié (générateur de nombres pseudo-aléatoires cryptographiquement sécurisé) adapté à la génération de clés cryptographiques. Les mots de passe que cet outil produit sont indiscernables de chaînes véritablement aléatoires. Comme toujours, stockez-les dans un gestionnaire de mots de passe de confiance et ne les réutilisez jamais entre comptes.

Pourquoi ne puis-je pas désactiver tous les jeux de caractères ?

Au moins un jeu doit être actif pour produire un mot de passe. Si vous pouviez tous les désactiver, le générateur n'aurait aucun caractère d'où tirer. L'interface l'empêche automatiquement — cliquer sur le dernier bouton actif n'a aucun effet.

Pourquoi les symboles sont-ils importants ?

Ajouter des symboles augmente la taille du pool de 62 (lettres + chiffres) à 94 caractères — une augmentation de 52%. En termes d'entropie, chaque caractère contribue log2(94) ≈ 6,55 bits contre log2(62) ≈ 5,95 bits. Sur 20 caractères, cela fait une différence de 12 bits — une augmentation de 4 000× de l'espace de recherche. Les symboles valent la peine d'être activés à moins qu'un site spécifique ne les interdise.

Ad Slot — Header Banner

CSPRNG · Analyse d'Entropie · 100% Privé

Générateur de Mots de Passe Sécurisés et Analyseur d'Entropie

Générez des mots de passe véritablement aléatoires en utilisant la Web Crypto API — les mêmes primitives cryptographiques que votre navigateur utilise pour HTTPS. Ajustez la longueur et les jeux de caractères, excluez éventuellement les caractères ambigus, et voyez l'analyse d'entropie en temps réel avec estimation du temps de crackage. Rien n'est transmis.

#CSPRNG#Entropie#Niveau AES#Hors Ligne#Privé#Gratuit

Votre mot de passe généré

Options

Longueur20

664128

Inclure

Exclure les caractères ambigus

Supprime 0, O, 1, l, I, 5, S, 2, Z, 8, B

Entropie0 bits

Très faiblePool: caractères uniques

Temps de crackage estimé

Temps moyens (moitié de l'espace de clés). Suppose une attaque par force brute contre le pool exact de caractères.

Attaque en ligne (limitée)

less than a second

Attaque hors ligne (hash rapide)

less than a second

Attaque hors ligne (hash lent)

less than a second

Cluster état-nation

less than a second

Ad Slot — Below the Fold

Comment générer un mot de passe sécurisé en 3 étapes

Cryptographiquement aléatoire, jamais transmis.

Définissez la longueur

Faites glisser entre 6 et 128 caractères. Pour les comptes en ligne, 16+ est recommandé ; pour les mots de passe maîtres, 20+ avec tous les jeux de caractères. Plus long est toujours plus fort — un mot de passe de 20 caractères est bien plus sécurisé qu'un de 8.

Choisissez les jeux de caractères

Activez majuscules, minuscules, chiffres et symboles. Au moins un jeu doit rester actif. Activez 'Exclure les ambigus' si vous allez taper le mot de passe à la main ou le lire à voix haute — cela supprime les caractères facilement confondus comme 0 et O, 1 et l.

Copiez et stockez en sécurité

Cliquez sur Copier pour récupérer le mot de passe. Collez-le dans un gestionnaire de mots de passe immédiatement — c'est l'endroit le plus sûr. Rafraîchir régénère un nouveau mot de passe ; vos options restent. Ne stockez jamais les mots de passe dans des fichiers texte brut.

Questions Fréquentes

Totalement cryptographiquement aléatoires. Le générateur utilise crypto.getRandomValues() de la Web Crypto API, qui est le CSPRNG du navigateur (générateur de nombres pseudo-aléatoires cryptographiquement sécurisé). C'est la même source d'aléa utilisée pour les clés de session HTTPS et elle est considérée comme adaptée aux applications cryptographiques.

À propos du Générateur de Mots de Passe Sécurisés

Everything you need to know

Pourquoi la génération de mots de passe dans le navigateur est plus sûre

Les générateurs de mots de passe basés sur serveur transmettent vos options choisies et reçoivent le mot de passe généré par le réseau. Même avec HTTPS, cela signifie que le mot de passe existe en mémoire du serveur au moins momentanément — un risque théorique d'exposition. Cet outil génère les mots de passe entièrement dans votre navigateur en utilisant crypto.getRandomValues(), la même primitive cryptographique qui protège la connexion HTTPS de votre banque. Rien n'est envoyé, rien n'est enregistré, rien n'est stocké.

Comprendre l'entropie des mots de passe

L'entropie est mesurée en bits et représente le nombre de choix aléatoires qu'un attaquant doit deviner. Un mot de passe tiré uniformément d'un pool de N caractères à la longueur L a une entropie de L × log2(N) bits. Par exemple, un mot de passe de 12 caractères d'un pool de 62 caractères (lettres + chiffres) a 12 × 5,95 ≈ 71 bits d'entropie. Doubler la longueur double l'entropie ; doubler la taille du pool ajoute ~1 bit par caractère. C'est pourquoi la longueur compte plus que la complexité — mais les deux aident.

Comment fonctionnent les estimations de temps de crackage

Les attaques par force brute essaient chaque mot de passe possible en séquence jusqu'à trouver le bon. En moyenne, elles réussissent après avoir cherché la moitié de l'espace de clés. Étant donné l'entropie E d'un mot de passe (en bits) et le taux de tentatives R d'un attaquant (en tentatives par seconde), le temps moyen de crackage est 2^(E−1) / R secondes. L'outil montre quatre modèles d'attaquant : un attaquant en ligne limité (10^3 tentatives/sec), un cluster état-nation (10^14 tentatives/sec), et deux scénarios hors ligne allant du hash lent (10^4) au hash rapide accéléré par GPU (10^11). L'écart entre attaquants en ligne et hors ligne est souvent de 10+ ordres de grandeur — c'est pourquoi la sécurité des comptes en ligne dépend beaucoup plus de la limitation de débit que de la force du mot de passe seul.

Meilleures pratiques pour la gestion des mots de passe

Utilisez un mot de passe unique pour chaque compte — la réutilisation est le plus grand risque de mot de passe. Stockez les mots de passe dans un gestionnaire de mots de passe réputé (Bitwarden, 1Password, KeePassXC, ou le gestionnaire intégré de votre navigateur). Activez l'authentification à deux facteurs partout où c'est possible. Ne partagez jamais de mots de passe par email, chat ou SMS. Changez les mots de passe immédiatement si un service que vous utilisez signale une fuite. Pour les comptes à forte valeur (email principal, banque, crypto), utilisez des mots de passe de 24+ caractères — la longueur supplémentaire ne vous coûte rien si vous utilisez un gestionnaire, et elle augmente considérablement l'espace de recherche.