Elle suppose le hasard
La table vaut pour les mots de passe choisis par une machine. Soleil2026! compte 11 caractères mais tombe comme un mot de passe de 5, car les outils de craquage essaient d’abord les mots et les années.
Table des temps de craquage, édition 2026
Combien de temps pour craquer un mot de passe ?
Toutes les longueurs de 4 à 24 caractères, tous les jeux de caractères, face à quatre vitesses d’attaque réelles. Choisissez un attaquant et regardez les couleurs changer.
| Longueur | Chiffres seuls0-9 | Minusculesa-z | Maj. et min.a-z A-Z | Lettres et chiffresa-z A-Z 0-9 | Tous caractères+ !@#$% |
|---|---|---|---|---|---|
| 4 | Instantané | Instantané | Instantané | Instantané | Instantané |
| 5 | Instantané | Instantané | Instantané | Instantané | Instantané |
| 6 | Instantané | Instantané | Instantané | Instantané | Instantané |
| 7 | Instantané | Instantané | Instantané | 2 s | 32 s |
| 8 | Instantané | Instantané | 27 s | 2 min | 51 min |
| 9 | Instantané | 3 s | 23 min | 2 h | 3 jours |
| 10 | Instantané | 1 min | 20 h | 5 jours | 312 jours |
| 11 | Instantané | 31 min | 44 jours | 301 jours | 80 ans |
| 12 | Instantané | 13 h | 6 ans | 51 ans | 8 000 ans |
| 13 | 5 s | 14 jours | 322 ans | 3 000 ans | 709 000 ans |
| 14 | 50 s | 1 an | 17 000 ans | 196 000 ans | 67 M ans |
| 15 | 8 min | 27 ans | 871 000 ans | 12 M ans | 6,3 Md ans |
| 16 | 1 h | 691 ans | 45 M ans | 755 M ans | 589 Md ans |
| 17 | 14 h | 18 000 ans | 2,4 Md ans | 47 Md ans | 1013 ans |
| 18 | 6 jours | 467 000 ans | 122 Md ans | 1012 ans | 1015 ans |
| 19 | 58 jours | 12 M ans | 1012 ans | 1014 ans | 1017 ans |
| 20 | 2 ans | 316 M ans | 1014 ans | 1016 ans | 1019 ans |
| 21 | 16 ans | 8,2 Md ans | 1016 ans | 1017 ans | 1021 ans |
| 22 | 158 ans | 213 Md ans | 1017 ans | 1019 ans | 1023 ans |
| 23 | 2 000 ans | 1012 ans | 1019 ans | 1021 ans | 1025 ans |
| 24 | 16 000 ans | 1014 ans | 1021 ans | 1023 ans | 1027 ans |
- Instantané
- Moins d’un jour
- Moins de 100 ans
- Moins que l’âge de l’univers
- Plus que l’âge de l’univers
Mode d’emploi
Trois choses que les couleurs ne disent pas.
La réutilisation bat n’importe quelle ligne
Si un mot de passe a déjà fuité, son temps de craquage est nul : les attaquants essaient simplement la liste connue. L’unicité compte autant que la longueur. Vérifiez le vôtre.
Le matériel accélère toujours
Mille milliards d’essais par seconde, c’est aujourd’hui un cluster de GPU modernes. Gardez quelques caractères de marge : chacun multiplie le travail jusqu’à 94 fois.
Méthodologie
Chaque case indique le temps moyen pour trouver un mot de passe aléatoire : la moitié de toutes les combinaisons possibles (taille du jeu de caractères puissance la longueur), divisée par la vitesse d’attaque. Nous retenons quatre vitesses :
- Hors ligne, hachage rapide : 1012 essais par seconde. Un cluster de GPU haut de gamme qui attaque des empreintes MD5 ou NTLM sans sel. Une seule carte graphique de jeu actuelle teste de l’ordre de cent milliards d’empreintes MD5 par seconde.
- Hors ligne, hachage lent : 105 essais par seconde. Un parc de GPU contre bcrypt ou Argon2 avec des réglages raisonnables.
- En ligne, sans limite : 10 essais par seconde. Un robot qui martèle un formulaire de connexion sans jamais être bloqué.
- En ligne, avec limitation : 100 essais par heure. Un site doté de blocages et d’une protection contre les robots.
La colonne « Tous caractères » utilise les 94 caractères ASCII imprimables. Les résultats sont arrondis. La table est calculée en direct dans votre navigateur, avec le même moteur que notre test de force.
Utilisez cette table sur votre site
Libre de citation dans vos articles, présentations et formations, avec un lien vers cette page.
Questions
Questions sur le temps de craquage
Combien de temps faut-il pour craquer un mot de passe de 8 caractères ?
Face à un cluster de GPU qui attaque un hachage rapide comme MD5 ou NTLM, un mot de passe aléatoire de 8 caractères utilisant les 94 caractères imprimables tombe en moins d’une heure en moyenne. En minuscules seules, il faut bien moins d’une seconde. Les mots de passe de 8 caractères choisis par des humains se craquent en général bien plus vite que ne l’indique la table.
Quelle longueur pour qu’un mot de passe résiste au craquage ?
Avec un mélange de lettres, de chiffres et de symboles, 12 caractères demandent déjà des milliers d’années dans le pire scénario, et 16 caractères plus que l’âge de l’univers. Nous recommandons 16 caractères ou plus pour les comptes importants, ou une phrase de passe de 6 ou 7 mots aléatoires.
Pourquoi ces temps diffèrent-ils d’autres tables ?
Chaque table suppose un attaquant différent. Nous en montrons quatre, du formulaire de connexion limité au cluster de GPU sur un hachage rapide divulgué, et nous indiquons le temps moyen (la moitié des combinaisons possibles). Choisissez le scénario qui correspond à votre menace.
La table s’applique-t-elle à mon mot de passe ?
Seulement s’il a été généré au hasard. Nous choisissons rarement des caractères aléatoires, et les outils de craquage testent d’abord les mots du dictionnaire, les prénoms, les dates et les substitutions classiques. Testez un mot de passe « humain » avec le test de force pour voir la différence.
Que change un site qui utilise bcrypt ou Argon2 ?
Les hachages lents sont conçus pour être coûteux à calculer, ce qui fait passer la vitesse d’attaque d’environ mille milliards d’essais par seconde à une centaine de milliers. Passez la table en scénario « hachage lent » : la plupart des lignes passent au vert.
Faites passer votre ligne au bleu
Générateur de mots de passe
Mots de passe aléatoires, phrases de passe ou codes PIN, créés sur votre appareil par l’API Web Crypto.
Ouvrir l’outilGénérateur de phrases de passe
Des mots au hasard faciles à retenir, avec l’entropie d’un mot de passe de 16 caractères.
Ouvrir l’outilTest de force
Voyez votre mot de passe comme un attaquant : motifs, entropie et temps de craquage selon quatre scénarios.
Ouvrir l’outilVérificateur de fuites
Découvrez si un mot de passe a déjà fuité, sans jamais le révéler (k-anonymat).
Ouvrir l’outilPolitique de mots de passe
Préréglages NIST, PCI DSS et CIS, avec des scripts prêts à l’emploi pour Windows, Active Directory et Linux.
Ouvrir l’outil