Avec les quatre types de caractères, un cluster de GPU mettrait environ 12 fois l’âge de l’univers à le craquer, et il passe dans presque tous les champs de mot de passe. Seize caractères aléatoires, c’est la longueur que nous recommandons pour les comptes du quotidien.
Calcul en cours…
Un code PIN n’est sûr que là où les essais sont limités, comme sur un téléphone ou une carte bancaire. Les codes évidents (1234, 0000, 1212) sont écartés.
Temps pour craquer votre mot de passe de 16 caractères
Pire scénario : une attaque hors ligne sur un hachage rapide, par un cluster de GPU qui teste mille milliards d’essais par seconde.
Les chiffres
Chaque caractère aléatoire supplémentaire multiplie le travail. Voici 16 caractères aléatoires face aux deux attaques hors ligne qui comptent : un cluster de GPU sur un hachage rapide (mille milliards d’essais par seconde) et une machine à cartes graphiques sur bcrypt (100 000 essais par seconde).
| 16 caractères aléatoires | Entropie | Cluster de GPU, hachage rapide | Machine GPU, bcrypt |
|---|---|---|---|
| Chiffres seuls 0-9 | 53 bits | 1 heure | 1 584 ans |
| Minuscules a-z | 75 bits | 691 ans | 6,9 milliards d’années |
| Maj. et min. a-z A-Z | 91 bits | 45 millions d’années | 453 billions d’années |
| Lettres et chiffres a-z A-Z 0-9 | 95 bits | 755 millions d’années | 7,6 billiards d’années |
| Lettres, chiffres, symboles + !@#$% | 103 bits | 171 milliards d’années | 1,7 × 1018 ans |
Même sans symboles, 16 lettres et chiffres aléatoires tiennent environ 755 millions d’années face à l’attaque la plus rapide. C’est pourquoi 16 est un bon réglage par défaut quand un site refuse certains symboles.
Pourquoi 16
À 16 caractères aléatoires, deviner n’est plus une attaque réaliste. Les attaquants passent à l’hameçonnage, aux logiciels malveillants et aux mots de passe réutilisés : la suite, c’est la double authentification, pas un mot de passe encore plus long.
Certains sites plafonnent encore les mots de passe à 16 caractères. Seize caractères aléatoires remplissent ces champs entièrement, et la même longueur fonctionne partout ailleurs.
Le NIST demande 15 caractères quand le mot de passe est le seul facteur, PCI DSS en demande 12, et la CNIL recommande 12 caractères des quatre types. Seize caractères aléatoires les respectent tous. Écrivez vos propres règles avec le générateur de politique.
Personne ne retient 16 caractères aléatoires, et ce n’est pas grave : votre gestionnaire de mots de passe les range et les remplit. Pour son mot de passe maître, choisissez une phrase de passe.
Questions
Oui. Avec les quatre types de caractères, il porte environ 103 bits d’entropie : un cluster de GPU face à un hachage rapide mettrait environ 171 milliards d’années, environ 12 fois l’âge de l’univers. Sans symboles, il tient encore des centaines de millions d’années.
Les caractères aléatoires concentrent plus de solidité par caractère, les phrases de passe se tapent plus facilement. Utilisez 16 caractères aléatoires pour tout ce que votre gestionnaire remplit, et une phrase de passe de 6 ou 7 mots aléatoires pour les rares mots de passe que vous tapez vous-même.
Pas en le devinant, mais il peut être volé : par une page d’hameçonnage, un logiciel malveillant ou la fuite d’un site où vous l’avez réutilisé. Gardez-le pour un seul compte et activez la double authentification ou les clés d’accès dès que possible.
Le plus souvent pour des raisons historiques : de vieilles bases de données aux colonnes de taille fixe ou des règles écrites il y a des années. Une limite courte peut aussi laisser penser que les mots de passe ne sont pas hachés correctement : utilisez les 16 caractères aléatoires, uniques, avec la double authentification.
Oui. Par défaut, chaque mot de passe contient au moins une majuscule, une minuscule, un chiffre et un symbole ; le reste est tiré dans l’ensemble complet puis mélangé. Désactivez un type si un site refuse certains symboles.
Des mots au hasard faciles à retenir, avec l’entropie d’un mot de passe de 16 caractères.
Ouvrir l’outilUne clé WPA2/WPA3 solide et un QR code que vos invités scannent pour se connecter, avec une carte à imprimer.
Ouvrir l’outilVoyez votre mot de passe comme un attaquant : motifs, entropie et temps de craquage selon quatre scénarios.
Ouvrir l’outilDécouvrez si un mot de passe a déjà fuité, sans jamais le révéler (k-anonymat).
Ouvrir l’outilPréréglages NIST, PCI DSS et CIS, avec des scripts prêts à l’emploi pour Windows, Active Directory et Linux.
Ouvrir l’outilCombien de temps chaque longueur et chaque jeu de caractères résistent à un parc de GPU moderne.
Ouvrir l’outil