Pourquoi utiliser un générateur de mots de passe ?
Les mots de passe faibles ou réutilisés restent la première cause de compromission de comptes en ligne. Selon le rapport Verizon DBIR 2024, 80% des violations impliquent des identifiants volés ou devinés. Un générateur de mots de passe élimine les biais humains et crée des identifiants véritablement aléatoires.
Le problème des mots de passe créés manuellement :
Les humains sont mauvais pour générer de l'aléatoire. Nous réutilisons les mêmes patterns : prénom + année de naissance, nom du chien + "123", mot du dictionnaire avec un "!" à la fin. Ces mots de passe tombent en secondes face à une attaque par dictionnaire.
Ce que résout un générateur :
- Véritable aléatoire : pas de motifs, mots du dictionnaire ou informations personnelles
- Force calibrée : ajustez la longueur, les types de caractères et l'entropie à vos besoins
- Génération instantanée : créez un nouveau mot de passe en millisecondes
- Reproductibilité : même niveau de sécurité pour chaque mot de passe généré
Comment utiliser le générateur en 3 étapes
Étape 1 : choisir le mode de génération
Deux modes sont disponibles :
- Aléatoire : caractères individuels mélangés (ex :
k7#Qm9!xR2pL$wN4). Entropie maximale par caractère. Idéal quand un gestionnaire de mots de passe stocke le mot de passe pour vous. - Mémorisable : phrases de passe composées de mots aléatoires (ex :
Sloppily8-Rosy3-Unlocking8-Angelic4). Plus facile à retenir et à taper, avec une entropie élevée grâce au nombre de mots.
Étape 2 : ajuster les paramètres
En mode Aléatoire :
- Longueur : 4 à 128 caractères (recommandé : 16+ pour les comptes sensibles)
- Types de caractères : majuscules, minuscules, chiffres, symboles
- Exclusions : caractères similaires (0/O, 1/l/I), caractères personnalisés
En mode Mémorisable :
- Nombre de mots : 3 à 10 (recommandé : 4+ mots)
- Séparateur : tiret, espace, point, personnalisé
- Options : capitalisation, ajout de chiffres entre les mots
Étape 3 : copier et utiliser
Cliquez sur le bouton copier. Le mot de passe est copié dans votre presse-papiers. Utilisez-le immédiatement dans votre gestionnaire de mots de passe ou dans le formulaire d'inscription du service.
L'indicateur de force affiche en temps réel l'entropie (en bits), le score de sécurité et le temps estimé de cassage par force brute.
Aléatoire vs. Mémorisable : quand utiliser chaque mode
| Critère | Mode Aléatoire | Mode Mémorisable |
|---|---|---|
| Entropie par caractère | ~6.5 bits (95 chars ASCII) | ~12.9 bits par mot (7776 mots Diceware) |
| Exemple | k7#Qm9!xR2pL$wN4 | Sloppily8-Rosy3-Unlocking8 |
| Facilité de mémorisation | Impossible sans gestionnaire | Possible avec effort |
| Facilité de saisie | Difficile (symboles, casse) | Facile (mots courants) |
| Cas d'usage idéal | Comptes stockés dans un gestionnaire | Mot de passe maître, PIN, accès partagé |
Quand choisir Aléatoire :
- Comptes web stockés dans 1Password, Bitwarden ou KeePass
- Clés API et identifiants de service
- Tout mot de passe que vous n'aurez jamais à taper manuellement
Quand choisir Mémorisable :
- Le mot de passe maître de votre gestionnaire (le seul que vous mémorisez)
- Les codes de déverrouillage que vous tapez fréquemment (écran de verrouillage)
- Les mots de passe partagés que vous devez communiquer oralement
Comprendre l'entropie des mots de passe
L'entropie mesure l'imprévisibilité en bits. Chaque bit double le nombre de combinaisons possibles. La formule est : entropie = log2(nombre_de_combinaisons).
Exemple concret :
- Un mot de passe de 8 caractères parmi 26 lettres minuscules :
log2(26^8)= 37.6 bits - Le même avec majuscules + minuscules + chiffres (62 chars) :
log2(62^8)= 47.6 bits - Avec symboles en plus (95 chars) :
log2(95^8)= 52.6 bits - 16 caractères parmi 95 chars :
log2(95^16)= 105.2 bits
| Entropie | Force | Temps de cassage (10¹² essais/sec) |
|---|---|---|
| <28 bits | Très faible | Secondes |
| 28-35 bits | Faible | Minutes à heures |
| 36-59 bits | Moyen | Jours à années |
| 60-127 bits | Fort | Milliers à milliards d'années |
| ≥ 128 bits | Très fort | Au-delà de toute technologie prévisible |
Le seuil de 10¹² essais/seconde correspond à une attaque par force brute avec du matériel GPU moderne (type cluster de cartes graphiques). Pour un service en ligne avec rate limiting, le temps réel serait considérablement plus long.
Bonnes pratiques de sécurité des mots de passe
Recommandations NIST SP 800-63B (2024)
Le National Institute of Standards and Technology (NIST) a mis à jour ses recommandations sur les mots de passe. Les changements majeurs par rapport aux pratiques anciennes :
| Ancienne pratique | Recommandation NIST actuelle |
|---|---|
| Changer les mots de passe tous les 90 jours | Ne changer que si compromis |
| Exiger des caractères spéciaux | Privilégier la longueur sur la complexité |
| Minimum 8 caractères | Minimum 8, recommandé 15+ |
| Questions secrètes | Interdites (trop prévisibles) |
| Indices de mot de passe | Interdits |
Les 5 règles essentielles
- Un mot de passe unique par service : si un service est compromis, les autres restent protégés
- Longueur > complexité :
correcthorsebatterystaple(25 chars, ~58 bits) est plus sûr et plus mémorisable queP@$$w0rd(8 chars, ~30 bits) - Utilisez un gestionnaire de mots de passe : 1Password, Bitwarden ou KeePass pour stocker des centaines de mots de passe uniques
- Activez la 2FA partout : TOTP (Google Authenticator, Authy) ou clé de sécurité FIDO2 sur tous les comptes critiques
- Vérifiez les fuites : consultez Have I Been Pwned pour savoir si vos identifiants ont été exposés dans une fuite de données
Exemples de mots de passe et leur force
| Type | Exemple | Entropie | Temps de cassage | Verdict |
|---|---|---|---|---|
| Mot courant | password | ~0 bits | Instantané (dictionnaire) | Catastrophique |
| Prénom + année | Marie1990 | ~20 bits | Secondes | Très faible |
| Aléatoire 8 chars | k7#Qm9!x | ~52 bits | Jours | Moyen |
| Aléatoire 12 chars | k7#Qm9!xR2pL | ~79 bits | Milliers d'années | Fort |
| Aléatoire 16 chars | k7#Qm9!xR2pL$wN4 | ~105 bits | Milliards d'années | Très fort |
| Phrase de passe 4 mots | Correct-Cheval-Batterie-Agrafe | ~52 bits | Jours à mois | Moyen |
| Phrase de passe 5 mots + chiffres | Sloppily8-Rosy3-Unlocking8-Angelic4-Brisk7 | ~85 bits | Millions d'années | Fort |
Le compromis idéal pour la plupart des utilisateurs : un mot de passe aléatoire de 16+ caractères stocké dans un gestionnaire, avec une phrase de passe de 5+ mots comme mot de passe maître.
Comment fonctionne la génération ?
Génération cryptographique (CSPRNG)
Notre générateur utilise crypto/rand de Go, un CSPRNG (Cryptographically Secure Pseudo-Random Number Generator) qui s'appuie sur les sources d'entropie du système d'exploitation :
/dev/urandomsous LinuxCryptGenRandomsous WindowsSecRandomCopyBytessous macOS
Contrairement aux générateurs pseudo-aléatoires classiques (Math.random() en JavaScript, random en Python), un CSPRNG produit une sortie imprévisible même pour un attaquant qui connaît les valeurs précédentes.
Processus de génération
- Calcul du pool de caractères : selon les options activées (majuscules, minuscules, chiffres, symboles), le pool contient entre 10 et 95 caractères
- Tirage aléatoire : pour chaque position du mot de passe, un octet aléatoire est tiré via le CSPRNG et converti en index dans le pool
- Calcul de l'entropie :
log2(taille_pool^longueur)donne l'entropie en bits - Estimation du temps de cassage : basée sur 10¹² tentatives/seconde (attaque GPU offline)
- Transmission sécurisée : le mot de passe est renvoyé via HTTPS et n'est ni stocké, ni loggé, ni mis en cache
Outils complémentaires
| Outil | Utilité |
|---|---|
| Convertisseur de casse | Transformer la casse de textes (UPPER, lower, Title, camelCase) |
| Encodeur/décodeur Base64 | Encoder des données sensibles pour le transport |
| Statistiques de texte | Analyser la longueur et la composition d'un texte |
| Générateur de slug | Transformer un texte en identifiant URL-safe |
Ressources utiles
- NIST SP 800-63B : Digital Identity Guidelines : recommandations officielles sur les mots de passe
- OWASP Password Storage Cheat Sheet : bonnes pratiques de stockage côté serveur
- Have I Been Pwned : vérifiez si vos identifiants sont dans une fuite de données
- Diceware Passphrase : méthode originale de génération de phrases de passe
- Passkeys vs mots de passe : comparatif passkeys vs mots de passe traditionnels