Générateur de mots de passe robustes

Des mots de passe robustes, générés sur votre appareil

Le générateur de mots de passe de Fileopia crée des mots de passe aléatoires, des phrases de passe faciles à retenir et des codes PIN numériques en un clic. Chaque caractère est choisi par le générateur de nombres aléatoires cryptographiquement sûr de votre navigateur (crypto.getRandomValues de la Web Crypto API), avec échantillonnage par rejet pour que tous les caractères aient exactement la même probabilité. Rien n'est envoyé à aucun serveur : les mots de passe n'existent que sur votre écran et dans votre presse-papiers, et la page continue de fonctionner avec la connexion internet coupée.

Chaque résultat affiche son entropie en bits, une évaluation de robustesse en langage simple et une estimation du temps qu'il faudrait pour une attaque par force brute. Vous pouvez en générer jusqu'à 500 à la fois, les copier un par un ou tous ensemble, ou les télécharger en fichier texte. Pas de compte, pas d'e-mail, pas de tentative de vous vendre un gestionnaire de mots de passe.

Ce que vous pouvez générer

• Mot de passe aléatoire : de 4 à 128 caractères parmi minuscules, majuscules, chiffres et symboles. Chaque ensemble activé apparaît au moins une fois, ce qui respecte les règles de mot de passe de la plupart des sites.
• Phrase de passe : de 3 à 12 mots aléatoires tirés de la longue liste de l'EFF (7776 mots anglais), avec le séparateur de votre choix (tiret, espace, point, tiret bas, aucun ou un chiffre aléatoire entre les mots), majuscules facultatives et un nombre facultatif. Facile à taper sur mobile et facile à retenir.
• PIN : des chiffres aléatoires pour déverrouiller un téléphone, des cartes, des codes de porte et des codes de secours de la validation en deux étapes.
• Éviter les caractères ressemblants : supprime I, l, 1, O, 0, o et | pour que les mots de passe lus à voix haute ou recopiés depuis un papier ne prêtent pas à confusion.
• Exclure des caractères : supprimez les symboles refusés par un site, comme les guillemets, les crochets ou les espaces.
• Génération par lots : jusqu'à 500 mots de passe à la fois pour créer des comptes ou des données de test, téléchargeables en TXT.
• Testeur de robustesse : saisissez un mot de passe existant pour obtenir une estimation approximative de sa robustesse ; il repère les mots de passe les plus courants, les mots du dictionnaire, les années et les suites de touches du clavier. Il ne quitte jamais la page.

Comment créer un mot de passe robuste

• Choisissez Mot de passe aléatoire pour les comptes enregistrés dans un gestionnaire de mots de passe, ou Phrase de passe pour les quelques mots de passe à retenir (session de l'ordinateur, mot de passe maître du gestionnaire).
• Réglez la longueur : 16 caractères ou 5–6 mots, c'est un bon réglage par défaut.
• Laissez tous les ensembles de caractères activés sauf si un site les restreint ; cochez *Éviter les caractères ressemblants* si vous allez le taper à la main.
• Cliquez sur le bouton Copier d'un mot de passe et collez-le dans le formulaire d'inscription ; enregistrez-le ensuite dans votre gestionnaire de mots de passe ou votre navigateur.
• Cliquez sur Régénérer pour une nouvelle série, ou sur Télécharger la liste pour en obtenir beaucoup à la fois.

Quelle robustesse suffit ?

La robustesse d'un mot de passe se mesure en bits d'entropie : le nombre d'essais dont un attaquant aurait besoin, exprimé en puissance de deux. Chaque bit supplémentaire double le travail. L'entropie d'un mot de passe aléatoire est sa longueur × log₂(taille de l'ensemble de caractères). Avec les 94 caractères imprimables, chaque caractère ajoute environ 6,55 bits ; avec des chiffres seulement, chacun ajoute 3,32 bits. Chaque mot tiré au hasard de la liste EFF de 7776 mots ajoute 12,9 bits.

Le tableau ci-dessous suppose un attaquant qui a volé une base de hachages de mots de passe et peut tester 10 milliards d'essais par seconde, ce qui est réaliste avec un hachage rapide et sans sel sur des cartes graphiques modernes. Les hachages lents comme bcrypt ou Argon2 réduisent cette vitesse d'un facteur de milliers ou de millions, et les attaques en ligne contre une page de connexion sont encore plus lentes. Les durées sont des moyennes (la moitié de l'espace de recherche).

En règle générale, 72 bits ou plus, c'est robuste pour presque tous les comptes, et 100 bits ou plus, c'est très robuste. Cela correspond à un mot de passe de 12 caractères avec tous les ensembles, un de 16 caractères pour plus de marge, ou une phrase de passe de six mots.

Mots de passe ou phrases de passe

Un mot de passe aléatoire de 16 caractères comme `Ut)9NwMw/zt?KMH2` est très robuste mais presque impossible à retenir, et ce n'est pas grave, car un gestionnaire de mots de passe le retient pour vous. Une phrase de passe comme `Quarry-Subsystem-Flashback-Atom-Patriot` a une robustesse comparable par frappe sur un clavier de téléphone et se mémorise après quelques utilisations. Les mots doivent être choisis au hasard par le générateur, pas par vous : les gens choisissent des phrases prévisibles, des paroles de chansons et des citations, que les attaquants testent en premier.

Pourquoi vos mots de passe doivent être uniques

Le plus grand danger n'est pas qu'un attaquant devine un mot de passe robuste, mais qu'un mot de passe réutilisé fuite sur un site puis soit essayé sur tous les autres : une technique appelée credential stuffing (bourrage d'identifiants). Des milliards de couples identifiant/mot de passe divulgués circulent sur internet. Si le mot de passe de votre boutique en ligne est le même que celui de votre messagerie, une fuite de la boutique livre votre messagerie et, avec elle, la réinitialisation du mot de passe de tout le reste. Générez un mot de passe différent pour chaque compte et laissez un gestionnaire de mots de passe ou votre navigateur les retenir.

Les schémas qui affaiblissent un mot de passe

• Mots du dictionnaire légèrement modifiés : Ete2024!, P@ssw0rd, Paris123. Les outils de cassage testent d'abord chaque mot avec les substitutions, majuscules et années les plus courantes.
• Informations personnelles : noms, anniversaires, noms d'animaux, numéros de téléphone, plaques d'immatriculation et clubs de football se trouvent facilement sur les réseaux sociaux.
• Schémas et suites du clavier : azerty, qwerty, 1q2w3e4r, 123456, abcd.
• Longueur insuffisante : un mot de passe de 8 caractères, même avec des symboles, peut être cassé par force brute en quelques heures par un attaquant déterminé disposant d'un hachage volé.
• Réutilisation avec un compteur : MotDePasse1, MotDePasse2, MotDePasse3 quand on vous oblige à le changer.
• Chaînes « aléatoires » choisies par des humains : les gens privilégient certaines lettres et positions ; le vrai hasard vient d'un générateur.

Comment fonctionne le générateur

Quand vous cliquez sur *Régénérer*, la page demande à la Web Crypto API du navigateur des nombres aléatoires de 32 bits. Pour choisir un caractère dans un ensemble de, par exemple, 70 caractères, elle écarte tout nombre de la petite plage restante au-delà du plus grand multiple de 70 et en tire un autre. Cet échantillonnage par rejet élimine le « biais du modulo » des générateurs simples, où certains caractères sortent un peu plus souvent. Un caractère de chaque ensemble activé est placé d'abord, le reste est complété avec l'ensemble combiné et toute la chaîne est mélangée avec l'algorithme de Fisher–Yates en utilisant la même source aléatoire sans biais.

Les phrases de passe choisissent les mots de la même façon dans la longue liste de l'EFF, conçue par l'Electronic Frontier Foundation pour les phrases de passe aux dés : 7776 mots anglais courants, distincts et faciles à épeler ; chaque mot apporte donc exactement log₂(7776) ≈ 12,9 bits. La liste est chargée depuis ce site uniquement quand vous choisissez le mode phrase de passe.

Vous pouvez le vérifier vous-même : ouvrez les outils de développement du navigateur, regardez l'onglet réseau et générez des mots de passe : aucune requête n'est faite. Ou déconnectez-vous d'internet et continuez à générer.

Règles de mots de passe des sites

Beaucoup de sites exigent au moins une majuscule, un chiffre et un symbole, et certains refusent certains symboles ou limitent la longueur. Avec les quatre ensembles activés, chaque mot de passe généré contient au moins un caractère de chaque ensemble. Si un site refuse un symbole, saisissez-le dans *Exclure des caractères*. Si un site limite la longueur, par exemple à 12 ou 20 caractères, ajustez la longueur en conséquence, mais gardez au moins 12 caractères pour une bonne robustesse. Les recommandations actuelles du National Institute of Standards and Technology américain (NIST SP 800-63B) préconisent que les sites autorisent les mots de passe et phrases longs, vérifient les nouveaux mots de passe contre des listes de mots de passe divulgués et évitent d'imposer des règles de composition arbitraires et des changements périodiques ; mais beaucoup de sites les appliquent encore, le générateur prend donc en charge les deux styles.

Stocker les mots de passe en sécurité

• Utilisez un gestionnaire de mots de passe : Bitwarden, 1Password, KeePassXC, celui intégré à votre navigateur ou le trousseau de votre téléphone. Vous n'avez alors qu'une phrase de passe robuste à retenir.
• Activez la validation en deux étapes (une application d'authentification ou une clé de sécurité) sur la messagerie, la banque, les réseaux sociaux et votre gestionnaire de mots de passe.
• Ne conservez pas de mots de passe dans des fichiers texte, des brouillons d'e-mail ou des messages. Si vous téléchargez une liste depuis cette page, transférez les mots de passe dans un gestionnaire et supprimez le fichier.
• Si vous craignez d'oublier votre phrase de passe maître, écrivez-la sur papier et rangez-la dans un endroit sûr chez vous : le papier ne peut pas être piraté à distance.
• Changez immédiatement un mot de passe si un site vous informe d'une fuite, ainsi que partout où vous utilisiez le même.

PIN et codes

Un PIN de 4 chiffres n'a que 10 000 possibilités et un PIN de 6 chiffres, un million. Ce n'est acceptable que parce que les téléphones et les cartes bancaires se bloquent ou s'effacent après quelques essais ratés. Évitez 1234, 0000, les années de naissance et les chiffres répétés, qui représentent ensemble une grande part des PIN réels. Le mode PIN choisit chaque chiffre de façon uniformément aléatoire. Pour tout ce qui peut être attaqué hors ligne (un fichier chiffré ou une sauvegarde), utilisez plutôt un mot de passe ou une phrase de passe longs.

Mots de passe par lots pour les équipes et les tests

Les administrateurs qui créent des comptes pour une classe, un bureau ou un environnement de test peuvent générer jusqu'à 500 mots de passe uniques à la fois et les télécharger en fichier texte, un par ligne, prêts à coller dans un tableur à côté des identifiants. Demandez à chacun de changer son mot de passe initial à la première connexion. Comme tout est généré en local, la liste n'est jamais stockée sur aucun serveur.

Confidentialité

Les mots de passe sont générés dans votre navigateur et Fileopia ne les transmet, n'enregistre ni ne stocke jamais. La page n'utilise ni cookies ni analyse sur les valeurs que vous créez ou testez. Le testeur de robustesse analyse le texte saisi entièrement dans la page et ne l'envoie nulle part ; il ne consulte pas de bases de fuites, car cela nécessiterait d'envoyer des données hors de votre appareil.

Outils associés

• Générateur de hachage
• Protéger un PDF
• Générateur de QR code
• Générateur d'UUID
• Encodeur Base64