Des mots tirés au hasard comme Castor-Orbite7-Lanterne-Dune se tapent plus facilement que t#9Lq!vZ, et deviennent bien plus durs à craquer dès qu’il y en a assez. Chaque mot est tiré par l’API Web Crypto dans une liste de 1 936 mots français courants, sans accents.
Calcul en cours…
Un code PIN n’est sûr que là où les essais sont limités, comme sur un téléphone ou une carte bancaire. Les codes évidents (1234, 0000, 1212) sont écartés.
Temps pour craquer votre nouvelle phrase de passe
Pire scénario : une attaque hors ligne sur un hachage rapide, par un cluster de GPU qui teste mille milliards d’essais par seconde.
Les chiffres
Chaque mot aléatoire ajoute 10,9 bits d’entropie. Voici ce que cela représente face au pire scénario : un cluster de GPU qui teste mille milliards d’essais par seconde contre un hachage rapide.
| Longueur | Entropie | Temps pour un cluster de GPU | Avec un nombre | Temps pour un cluster de GPU |
|---|---|---|---|---|
| 4 mots | 44 bits | 7 secondes | 52 bits | 47 minutes |
| 5 mots | 55 bits | 4 heures | 64 bits | 3 mois |
| 6 mots | 66 bits | 10 mois | 75 bits | 501 ans |
| 7 mots | 76 bits | 1 615 ans | 86 bits | 1,1 million d’années |
| 8 mots | 87 bits | 3,1 millions d’années | 97 bits | 2,5 milliards d’années |
| 9 mots | 98 bits | 6,1 milliards d’années | 108 bits | 5,4 billions d’années |
La plupart des sites sérieux stockent les mots de passe avec des hachages lents comme bcrypt ou Argon2, qui ralentissent les attaquants d’un facteur de plusieurs millions. Ces chiffres sont un plancher, pas le cas typique.
Pourquoi ça marche
Nous choisissons des phrases prévisibles : paroles de chansons, citations, équipes de sport. Les outils de craquage les connaissent toutes. Une phrase de passe n’est solide que si chaque mot est tiré au hasard dans une grande liste, et c’est exactement ce que fait ce générateur.
Six mots aléatoires de notre liste donnent environ 10,9 × 6 bits d’entropie. Ajoutez un septième mot et le travail d’un attaquant est multiplié par 1 936. Aucune substitution de symboles n’approche ce gain.
Utilisez une phrase de passe là où un gestionnaire ne peut pas remplir pour vous : son mot de passe maître, la session de votre ordinateur, une clé Wi-Fi que vous dictez à vos invités ou un chiffrement de disque.
Certains sites limitent les mots de passe à 16 ou 20 caractères. Là, un mot de passe aléatoire concentre plus de force par caractère. Pour tout ce que vous rangez dans un gestionnaire, les caractères aléatoires sont parfaits.
Questions
Une phrase de passe est un mot de passe composé de plusieurs mots, comme Castor-Orbite7-Lanterne-Dune. Quand les mots sont tirés au hasard, elle est aussi solide qu’un long mot de passe aléatoire, mais bien plus facile à taper et à retenir.
Au moins 6 mots aléatoires pour les comptes importants, et 7 ou plus pour le mot de passe maître d’un gestionnaire ou une clé de chiffrement de disque. Chaque mot supplémentaire multiplie par environ 1 936 le nombre d’essais nécessaires à un attaquant.
Plus maintenant. Cet exemple est devenu célèbre, il figure donc dans tous les dictionnaires de craquage. L’idée reste juste : les mots doivent être choisis au hasard par une machine, pas par une personne, et jamais recopiés d’un exemple.
Cela aide un peu, et certains sites l’exigent. Le générateur peut ajouter un nombre aléatoire à une position aléatoire. Ajouter des mots apporte bien plus de force que de remplacer des lettres par des symboles.
Pour que la phrase se tape sans erreur sur tous les claviers (téléphone, ordinateur, clavier étranger) et passe sur tous les sites. La liste ne garde que des mots courants sans accents : 1 936 au total.
Non. La liste de mots est téléchargée une fois avec la page, puis chaque phrase de passe est assemblée localement dans votre navigateur. Rien n’est envoyé, stocké ni journalisé, et l’outil fonctionne hors ligne.
Mots de passe aléatoires, phrases de passe ou codes PIN, créés sur votre appareil par l’API Web Crypto.
Ouvrir l’outilVoyez votre mot de passe comme un attaquant : motifs, entropie et temps de craquage selon quatre scénarios.
Ouvrir l’outilDécouvrez si un mot de passe a déjà fuité, sans jamais le révéler (k-anonymat).
Ouvrir l’outilPréréglages NIST, PCI DSS et CIS, avec des scripts prêts à l’emploi pour Windows, Active Directory et Linux.
Ouvrir l’outilCombien de temps chaque longueur et chaque jeu de caractères résistent à un parc de GPU moderne.
Ouvrir l’outil