La chasse aux motifs
Nous cherchons les mots de passe les plus divulgués, plus de 1 936 mots du dictionnaire avec majuscules et substitutions l33t, les parcours de clavier comme azerty, les suites, les répétitions, les années et les dates.
Test de force des mots de passe
Mon mot de passe est-il sûr ?
Voyez votre mot de passe comme le voit un outil de craquage : les motifs qu’il repère, l’entropie qui reste et le temps qu’il tiendrait face à quatre types d’attaques. Tout se passe sur cette page, même hors ligne.
Longueur0
Entropie (bits)0
Alphabet0
Essais nécessaires0
- Minuscules
- Majuscules
- Chiffres
- Symboles
- 12 caractères et plus
- 16 caractères et plus
- Aucun motif connu
Ce que voit un attaquant
Temps de craquage, par attaque
Hors ligne, hachage rapideCluster de GPU contre MD5 ou NTLM, mille milliards d’essais/s
-Hors ligne, hachage lentParc de GPU contre bcrypt ou Argon2, 100 000 essais/s
-En ligne, sans limiteRobot qui martèle un formulaire de connexion mal protégé, 10 essais/s
-En ligne, avec limitationSite qui bloque les robots, 100 essais par heure
-Constats
Bonne habitude : testez un mot de passe semblable au vôtre plutôt que le vrai. Cette page ne l’envoie nulle part, mais aucun site ne devrait avoir besoin de votre vrai mot de passe bancaire.
Temps pour craquer votre mot de passe
Mesure en cours…
Pire scénario : une attaque hors ligne sur un hachage rapide, par un cluster de GPU qui teste mille milliards d’essais par seconde.
Vous êtes ici
- 1 seconde
- 1 heure
- 1 an
- Une vie
- Les pyramides
- Depuis les dinosaures
- Âge de l’univers
Sous le capot
Noté comme le noterait un attaquant.
La plupart des testeurs comptent les types de caractères et récompensent P@ssw0rd!. Celui-ci cherche la façon la moins coûteuse de deviner votre mot de passe, comme le font les vrais outils de craquage.
Une entropie honnête
Chaque partie est évaluée à ce qu’elle coûte à deviner. Un mot du dictionnaire vaut environ 11 bits, pas l’équivalent de 6 caractères. Le total retient le moins cher entre la force brute et la voie des motifs.
De vraies vitesses d’attaque
D’un site qui limite les essais (100 par heure) à un cluster de GPU sur un hachage rapide divulgué (mille milliards par seconde). Le chiffre principal retient toujours le pire.
Questions
Questions sur la force des mots de passe
Comment fonctionne ce test de force ?
Il cherche les raccourcis qu’utilisent les vrais outils de craquage : mots de passe courants, mots du dictionnaire (avec majuscules et substitutions l33t), motifs de clavier, suites, répétitions, années et dates. Il compte ensuite le nombre d’essais nécessaires à la stratégie la moins coûteuse, le convertit en bits d’entropie et le divise par quatre vitesses d’attaque.
Est-ce prudent de taper mon mot de passe ici ?
Le test fonctionne entièrement dans votre navigateur : rien n’est envoyé, stocké ni journalisé, et il marche même réseau coupé. Prenez tout de même une bonne habitude : testez un mot de passe semblable au vôtre plutôt que le vrai. Aucun site ne devrait avoir besoin de votre vrai mot de passe bancaire.
Que veut dire entropie ?
L’entropie mesure l’imprévisibilité, en bits. Chaque bit double le nombre d’essais nécessaires à un attaquant. Un mot de passe aléatoire de 20 caractères compte environ 130 bits ; Soleil2026! en a bien moins que sa longueur ne le laisse croire, car il suit des motifs que les attaquants testent en premier.
Pourquoi P@ssw0rd! obtient-il un si mauvais score alors qu’il contient tous les types de caractères ?
Parce que les outils de craquage ne devinent pas caractère par caractère. Ils partent de listes de mots de passe et de mots courants, puis appliquent les astuces habituelles : majuscule au début, @ pour a, 0 pour o, un symbole à la fin. P@ssw0rd! fait partie des quelques milliers de premiers essais.
Quel temps de craquage croire ?
Le chiffre principal retient le pire scénario réaliste : un attaquant qui a volé une base protégée par un hachage rapide et qui dispose d’un cluster de GPU. Si le site utilise bcrypt ou Argon2, ou si l’attaque se fait en ligne avec des limites, le temps réel est bien plus long. Prévoyez le pire.
En quoi est-il différent des autres testeurs ?
Beaucoup de testeurs ne vérifient que la longueur et les types de caractères, et récompensent donc P@ssw0rd!. Celui-ci évalue la façon la moins coûteuse de deviner votre mot de passe, vous montre précisément les parties qui l’affaiblissent et explique quoi corriger.
D’autres outils gratuits
Générateur de mots de passe
Mots de passe aléatoires, phrases de passe ou codes PIN, créés sur votre appareil par l’API Web Crypto.
Ouvrir l’outilGénérateur de phrases de passe
Des mots au hasard faciles à retenir, avec l’entropie d’un mot de passe de 16 caractères.
Ouvrir l’outilVérificateur de fuites
Découvrez si un mot de passe a déjà fuité, sans jamais le révéler (k-anonymat).
Ouvrir l’outilPolitique de mots de passe
Préréglages NIST, PCI DSS et CIS, avec des scripts prêts à l’emploi pour Windows, Active Directory et Linux.
Ouvrir l’outilTable des temps de craquage
Combien de temps chaque longueur et chaque jeu de caractères résistent à un parc de GPU moderne.
Ouvrir l’outil