Générateur de mots de passe

Ce qui rend un mot de passe robuste

La robustesse vient de l’imprévisibilité, mesurée en bits d’entropie. Un mot de passe de L caractères tirés uniformément dans un alphabet de N caractères compte L × log₂(N) bits. Avec les quatre types de caractères (76), chaque caractère apporte environ 6,2 bits : 16 caractères donnent environ 100 bits et 20 caractères environ 125, bien au-delà de ce qu’un attaquant peut tester, même contre un hachage rapide.

La longueur compte plus que la complexité. Les recommandations actuelles du NIST (SP 800-63B), comme celles de la CNIL et de l’ANSSI, privilégient les mots de passe longs. La meilleure solution pratique est un gestionnaire de mots de passe qui crée un mot de passe unique de 16 à 24 caractères pour chaque site.

Exemple

Vingt caractères parmi minuscules, majuscules, chiffres et les 14 symboles proposés : 20 × log₂(76) ≈ 125 bits. Le deviner à mille milliards d’essais par seconde prendrait bien plus que l’âge de l’univers. Un code PIN à 6 chiffres compte, lui, moins de 20 bits.

Caractères ambigus

Activez éviter les caractères ambigus si vous devez dicter le mot de passe ou le recopier depuis un papier : cela retire I, l, 1, O, 0 et o pour une petite perte d’entropie.

Chaque caractère provient de crypto.getRandomValues, le générateur aléatoire cryptographiquement sûr du navigateur. Pour éviter tout biais, la page utilise un échantillonnage par rejet : les nombres aléatoires de 32 bits qui favoriseraient certains caractères sont écartés et retirés. Elle prend d’abord un caractère de chaque type choisi, complète avec l’alphabet combiné, puis mélange le tout avec l’algorithme de Fisher-Yates à partir de la même source sûre. L’entropie affichée vaut longueur × log₂(taille de l’alphabet). Les mots de passe sont créés uniquement dans votre navigateur et jamais envoyés, journalisés ni stockés.