Avant de commencer
- Pour ranger ces mots de passe, voir Gestionnaire de mots de passe
En clair
Un bon mot de passe n'est pas « compliqué », il est imprévisible. Six mots tirés au hasard (« Cheval-Lampe-Soif-Galerie-Tonton-Aurore ») sont plus durs à deviner qu'un P@ssw0rd! et bien plus faciles à retenir. L'outil tire au sort avec le générateur cryptographique de votre navigateur : rien n'est envoyé, rien n'est conservé.
Phrase de passe ou mot de passe ?
| Usage | Choix conseillé |
|---|---|
| Mot de passe maître du gestionnaire, session de l'ordinateur, chiffrement du disque | Phrase de passe de 6 mots ou plus : on doit la retenir et la taper |
| Comptes en ligne rangés dans un gestionnaire | Mot de passe aléatoire de 20 caractères ou plus : on ne le tape jamais, le gestionnaire le remplit |
| Site qui limite la longueur ou les caractères | Mot de passe aléatoire à la longueur maximale autorisée |
Comment la robustesse est calculée
L'entropie mesure le nombre de possibilités qu'un attaquant doit essayer, en supposant qu'il connaît la méthode (la liste de mots, les caractères utilisés). Chaque bit double le nombre d'essais.
- Phrase de passe : la liste contient 4 096 mots courants (de 4 à 8 lettres, sans accent pour être tapés sur n'importe quel clavier). Chaque mot apporte 12 bits : 6 mots donnent 72 bits, soit environ 4,7 × 10²¹ combinaisons.
- Mot de passe : longueur × log₂(nombre de caractères possibles). 20 caractères parmi environ 80 donnent environ 126 bits.
- La majuscule en début de mot est imposée à chaque mot : elle satisfait les sites qui l'exigent, mais n'ajoute pas d'entropie.
Les temps affichés correspondent à la moitié des combinaisons, en moyenne, à trois vitesses d'attaque : un site en ligne qui limite les essais, une base de mots de passe volée mais bien protégée par un hachage lent, et une base mal protégée attaquée par un parc de cartes graphiques.
Un mot de passe par compte
Même parfait, un mot de passe réutilisé tombe dès qu'un des sites est piraté. Utilisez un gestionnaire de mots de passe et activez la double authentification partout où c'est possible : voir Double authentification et clés FIDO2.