Générateur de mot de passe

Au chargement de la page, ce générateur appelle crypto.getRandomValues(), la méthode de l'API Web Crypto qui puise dans un générateur pseudo-aléatoire cryptographique (CSPRNG) fourni par votre navigateur — le même mécanisme utilisé pour le chiffrement TLS. Contrairement à Math.random(), qui n'offre aucune garantie cryptographique et peut être partiellement prévisible, un CSPRNG est conçu pour résister à toute tentative de reconstituer sa sortie.

Chaque caractère est tiré dans l'ensemble des jeux que vous avez activés (majuscules, minuscules, chiffres, symboles). Tout se déroule dans votre navigateur : aucun mot de passe généré n'est envoyé à un serveur, stocké en base de données ou transmis à un tiers, y compris à l'outil de mesure d'audience utilisé sur ce site.

L'entropie d'un mot de passe se calcule ainsi : entropie (en bits) = longueur × log2(taille du jeu de caractères). Elle représente le nombre moyen de tentatives qu'exigerait une attaque par force brute pour deviner le mot de passe — chaque bit supplémentaire double cet effort. Ce générateur combine jusqu'à quatre jeux : 26 majuscules, 26 minuscules, 10 chiffres et 26 symboles.

Exemple avec les réglages par défaut de cet outil (16 caractères, majuscules + minuscules + chiffres, soit un jeu de 62 caractères) : l'entropie est de 16 × log2(62) ≈ 95,3 bits, ce qui correspond au niveau « Fort » affiché par l'indicateur. Activer les symboles au même réglage porte le jeu à 88 caractères et l'entropie à environ 103,3 bits — niveau « Excellent ».

Les deux leviers ne pèsent pas pareil. Ajouter un caractère avec le même jeu (62) multiplie le nombre de combinaisons par 62 — passer de 16 à 17 caractères fait grimper l'entropie de 95,3 à environ 101,2 bits. Élargir le jeu de caractères à longueur égale a un effet cumulatif encore plus fort, puisqu'il s'applique à chaque position du mot de passe. Dans les deux cas, la longueur reste le levier le plus simple à augmenter sans perte de lisibilité.

Cet outil affiche cinq niveaux calculés à partir de l'entropie : Faible en dessous de 40 bits, Moyen entre 40 et 60 bits, Bon entre 60 et 80 bits, Fort entre 80 et 100 bits, et Excellent à partir de 100 bits. Ces seuils sont recalculés à chaque génération, en fonction de la longueur choisie et des jeux de caractères activés.

Le NIST (National Institute of Standards and Technology, l'organisme fédéral américain de normalisation), dans son référentiel Special Publication 800-63B, impose une longueur minimale de 8 caractères pour un mot de passe choisi par l'utilisateur, recommande d'en accepter au moins 64, et déconseille désormais d'imposer des règles de composition obligatoires (mélange forcé de majuscules, chiffres, symboles) : la longueur prime sur la complexité artificielle.

En France, l'ANSSI (Agence nationale de la sécurité des systèmes d'information), dans son guide « Recommandations relatives à l'authentification multifacteur et aux mots de passe » (2021, corédigé avec la CNIL), recommande une longueur minimale graduée selon le niveau de sensibilité du système : entre 9 et 11 caractères pour un niveau faible à moyen (environ 65 bits d'entropie équivalente), entre 12 et 14 pour un niveau moyen à fort (environ 85 bits), et au moins 15 pour un niveau fort à très fort (100 bits ou plus) — ce dernier cas nécessitant en plus une authentification multifacteur. L'ANSSI calcule ces équivalences sur un jeu de 90 caractères (minuscules, majuscules, chiffres et une sélection de caractères spéciaux).

À titre de comparaison, avec les quatre jeux de caractères de cet outil activés (88 caractères au maximum, proche des 90 retenus par l'ANSSI) : 12 caractères produisent environ 77,5 bits d'entropie, 15 caractères environ 96,9 bits, et 16 caractères dépassent 100 bits — cohérent avec les paliers du tableau de l'ANSSI.

L'ANSSI décrit aussi les phrases de passe comme une méthode de construction alternative : choisir aléatoirement plusieurs mots dans un corpus déterminé, comme le dictionnaire d'une langue. À entropie égale, une phrase de passe est souvent plus longue en nombre de caractères qu'un mot de passe « classique », mais certains utilisateurs la retiennent plus facilement — c'est aussi pourquoi l'ANSSI recommande de ne jamais imposer de longueur maximale trop basse. Ce générateur produit des mots de passe composés de caractères, pas des phrases de passe : si vous préférez une suite de mots, ce format reste une alternative valable, à condition que les mots soient tirés au hasard et non choisis pour leur sens.

Générer un mot de passe unique et robuste pour chaque service perd son intérêt si vous ne pouvez pas vous en souvenir. Un gestionnaire de mots de passe stocke ces mots de passe sous forme chiffrée et ne vous demande de retenir qu'un seul mot de passe maître — lui-même à choisir long et unique. C'est la manière la plus réaliste d'appliquer « un mot de passe différent par service » sans multiplier les pense-bêtes.

Même un mot de passe à forte entropie ne protège pas contre le phishing, une fuite de données côté service, ou un appareil compromis. Le NIST comme l'ANSSI recommandent d'activer l'authentification multifacteur (MFA) partout où elle est proposée — un code à usage unique, une clé de sécurité ou une application d'authentification en complément du mot de passe. Un mot de passe robuste reste nécessaire, mais il n'est plus, à lui seul, une garantie suffisante.

Trois pratiques concentrent l'essentiel du risque : réutiliser le même mot de passe sur plusieurs services (une seule fuite expose alors tous les comptes concernés, via des attaques dites de credential stuffing), choisir un mot de passe présent dans les listes issues de fuites précédentes ou basé sur un mot du dictionnaire, et utiliser des informations personnelles devinables (date de naissance, prénom, séquences comme « 123456 » ou « azerty »). Un mot de passe généré aléatoirement, comme ceux produits par cet outil, échappe par construction à ces trois écueils.