Mots de passe aléatoires, phrases de passe mémorisables et codes PIN en un clic. Ils sont créés par le moteur cryptographique de votre navigateur et ne quittent jamais votre appareil. Même nous ne pouvons pas les voir.
Calcul en cours…
Un code PIN n’est sûr que là où les essais sont limités, comme sur un téléphone ou une carte bancaire. Les codes évidents (1234, 0000, 1212) sont écartés.
Temps pour craquer votre nouveau mot de passe
Pire scénario : une attaque hors ligne sur un hachage rapide, par un cluster de GPU qui teste mille milliards d’essais par seconde.
Zéro connaissance, par conception
Ouvrez les outils de développement de votre navigateur, onglet Réseau, et générez quelques mots de passe : aucune requête ne part. Le panneau ci-contre fait la même vérification, en direct, dès votre premier clic.
crypto.getRandomValues(), le générateur auquel les navigateurs confient leurs clés de chiffrement, avec un tirage sans biais.mot de passe envoyé à un serveur, stocké ou journalisé
essais par seconde dans notre pire scénario
caractères au maximum, ou des phrases de passe jusqu’à 12 mots
outils gratuits, des fuites de données aux scripts de politique
La boîte à outils
D’autres outils gratuits, la même promesse : vos secrets restent sur votre appareil.
Des mots au hasard faciles à retenir, avec l’entropie d’un mot de passe de 16 caractères.
Ouvrir l’outilVoyez votre mot de passe comme un attaquant : motifs, entropie et temps de craquage selon quatre scénarios.
Ouvrir l’outilDécouvrez si un mot de passe a déjà fuité, sans jamais le révéler (k-anonymat).
Ouvrir l’outilPréréglages NIST, PCI DSS et CIS, avec des scripts prêts à l’emploi pour Windows, Active Directory et Linux.
Ouvrir l’outilCombien de temps chaque longueur et chaque jeu de caractères résistent à un parc de GPU moderne.
Ouvrir l’outilTable des temps de craquage
Nous avons confronté chaque longueur et chaque jeu de caractères à quatre vitesses d’attaque réelles. Trouvez votre ligne avant un attaquant.
La version courte
Oubliez le vieux conseil de remplacer les lettres par des symboles. Voici ce qui arrête vraiment les attaquants.
Chaque caractère aléatoire de plus multiplie le travail de l’attaquant. Les substitutions astucieuses sont la première chose que testent les outils de craquage.
P@ssw0rd2026!instantanément
qrxzkwtmvbplnhdyfgsa316 millions d’années
Quand un site fuit, des robots essaient le même courriel et le même mot de passe sur des milliers d’autres en quelques heures. C’est le bourrage d’identifiants.
site-boutique.comfuité
votre-courriel.comdéverrouillé
votre-banque.comdéverrouillé
Un gestionnaire de mots de passe garde des centaines de mots de passe uniques derrière une seule phrase de passe forte. Ajoutez les clés d’accès et la MFA partout où c’est possible.
vous retenez1 phrase de passe
il stocketous les mots de passe
clés d’accèsrien à hameçonner
Questions
La longueur et le hasard. Un mot de passe fort compte au moins 16 caractères aléatoires (ou 6 mots aléatoires et plus) et ne sert qu’à un seul compte. Les règles du type « une majuscule et un symbole » aident bien moins qu’on le croit : P@ssw0rd! les respecte et se fait pourtant craquer instantanément.
Oui, si le mot de passe est créé sur votre appareil, comme ici. Ce générateur utilise l’API Web Crypto de votre navigateur (crypto.getRandomValues) et n’envoie rien sur le réseau. Vous pouvez le vérifier dans les outils de développement de votre navigateur, ou en coupant le Wi-Fi : le générateur continue de fonctionner.
Visez 16 caractères ou plus pour les comptes courants, et 20 ou plus pour votre courriel, votre banque et votre gestionnaire de mots de passe. Si vous devez le taper ou le retenir, préférez une phrase de passe de 6 ou 7 mots aléatoires.
Les deux sont excellents s’ils sont vraiment aléatoires. Un mot de passe aléatoire concentre le plus de force par caractère : idéal dans un gestionnaire de mots de passe. Une phrase de passe est plus facile à taper et à retenir, parfaite pour un mot de passe maître ou la session de votre ordinateur. Essayez le générateur de phrases de passe.
Nous mesurons l’entropie du mot de passe (le nombre d’essais nécessaires à un attaquant, en moyenne) et la divisons par une vitesse d’attaque. Le chiffre principal retient le pire scénario réaliste : une attaque hors ligne sur un hachage rapide par un cluster de GPU qui teste mille milliards d’essais par seconde. Le test de force affiche aussi des scénarios plus lents et plus courants.
Non. Les recommandations actuelles du NIST indiquent que les changements forcés affaiblissent les mots de passe, car on y apporte de petites modifications prévisibles. Changez un mot de passe quand il a pu être exposé, et utilisez-en un différent partout. Lisez notre guide NIST.
Peu à peu. Les clés d’accès (passkeys) résistent à l’hameçonnage, activez-les partout où c’est proposé. La plupart d’entre nous auront encore besoin de mots de passe forts et uniques pendant des années, pour les sites qui ne les acceptent pas encore. Clés d’accès ou mots de passe : nos explications.
Le blog
Des minimums plus longs, la fin des changements forcés tous les 90 jours et du « une majuscule, un symbole ». Voici ce que disent vraiment les règles actuelles du NIST, et comment les appliquer cette semaine.
Gestionnaires de mots de passeVotre gestionnaire de mots de passe ne vaut que sa configuration. Repérez les points faibles, du remplissage automatique piégé à la 2FA rangée dans le même coffre, et verrouillez-les pas à pas.
Clés d’accèsLes clés d’accès remplacent les secrets à retenir par des clés cryptographiques protégées par votre appareil. Sont-elles prêtes à remplacer les mots de passe ? Un guide pragmatique, avec un plan de transition.
Gratuit pour toujours, sans compte, rien à installer. Ajoutez-le à vos favoris, ou installez-le comme une appli depuis le menu de votre navigateur.