Générateur de mots de passe

Ce générateur construit un mot de passe en tirant chaque caractère de manière indépendante depuis l'alphabet que vous choisissez, en utilisant la Web Crypto API du navigateur pour l'aléa. C'est la même source cryptographiquement sûre que les navigateurs utilisent pour générer les clés de session TLS — ce n'est pas le Math.random() biaisé qu'utilisent la plupart des générateurs improvisés. Une boucle d'échantillonnage par rejet garantit que chaque symbole de l'alphabet a la même probabilité, pour que les estimations d'entropie soient fiables.

Exemple

Longueur 20, les quatre classes, similaires autorisés :

G7#vQ2xP!mK9nR4sT&bL

Longueur 24, lettres et chiffres seulement (pour les sites qui refusent les symboles) :

k3Hq8RmZ5nPv2WyTb6JsXfLd

Pièges courants avec un mot de passe généré

• Le site refuse certains symboles. Certains sites suppriment silencieusement ou refusent <, >, guillemets ou espaces. Si le mot de passe n'est pas accepté, désactivez la classe Symboles et passez la longueur à 24 et plus pour compenser.
• Le copier-coller ajoute un espace final. La sélection par double-clic prend parfois un espace supplémentaire sur certains OS. Si la connexion échoue, collez d'abord dans un champ texte brut et vérifiez la longueur.
• Trop court « par commodité ». Un mot de passe de 8 caractères représente environ 50 bits d'entropie — cassable hors ligne en quelques heures sur un GPU moderne. Utilisez 16+ pour les comptes courants, 20+ pour chiffrer des données au repos.
• Le même mot de passe sur plusieurs comptes. Un mot de passe fort réutilisé sur un site compromis reste compromis. Générez-en un unique par compte et stockez-les dans un gestionnaire.
• Oublier les politiques de renouvellement. Certains systèmes d'entreprise imposent un changement tous les 90 jours. Enregistrez le mot de passe généré dans votre gestionnaire pour le ressaisir à l'identique si le site le demande.
• Captures d'écran ou historique du presse-papiers. macOS, Windows et plusieurs gestionnaires de presse-papiers gardent un historique. Videz le presse-papiers ou copiez autre chose après avoir stocké le mot de passe.

Ce générateur est-il cryptographiquement sûr ?

Oui. L'aléa vient de crypto.getRandomValues(), la Web Crypto API du navigateur qui sous-tend les clés de session TLS. Ce n'est pas Math.random(), un générateur pseudo-aléatoire prévisible, inadapté aux secrets. Chaque caractère est tiré par échantillonnage par rejet pour que chaque symbole de l'alphabet ait la même probabilité.

Quelle longueur pour mon mot de passe ?

Pour les comptes en ligne avec limitation du débit, 16 caractères de classes mixtes suffisent largement. Pour tout ce qui protège des données chiffrées hors ligne (gestionnaires, chiffrement de disque, sauvegardes), utilisez 20 ou plus. Un mot de passe de 20 caractères combinant les quatre classes fournit environ 130 bits d'entropie, hors de portée de la force brute.

Enregistrez-vous les mots de passe générés ici ?

Non. Nous n'enregistrons pas les mots de passe que vous générez ici. Chaque mot de passe n'est affiché qu'une fois, reste uniquement dans le champ visible et disparaît dès que vous actualisez ou fermez l'onglet. Rien n'est écrit en stockage ou journalisé de notre côté. Vous pouvez vérifier dans les outils de développement du navigateur si vous voulez plus d'assurance.

Qu'est-ce que l'entropie et combien de bits me faut-il ?

L'entropie mesure l'imprévisibilité en bits. Chaque bit double le nombre d'essais qu'un attaquant doit effectuer. 60 bits résistent aux attaques hors ligne occasionnelles, 80 aux attaques déterminées, et 128 est la norme moderne pour des clés solides. Un mot de passe de 20 caractères sur un alphabet de 90 symboles équivaut à environ 130 bits.

Dois-je utiliser une phrase secrète plutôt qu'un mot de passe aléatoire ?

Une phrase secrète de 5 ou 6 mots de dictionnaire est plus facile à taper et à mémoriser, et peut atteindre une entropie comparable (environ 65 à 80 bits). Mais pour les mots de passe que vous rangez dans un gestionnaire et ne tapez jamais, un mot de passe à caractères aléatoires est plus court à force égale. Cet outil génère ce dernier.

Pourquoi un site refuse-t-il les symboles de mon mot de passe généré ?

Certains sites refusent des symboles comme <, >, guillemets ou espaces à cause d'un mauvais traitement des entrées. Si un mot de passe est rejeté, décochez Symboles et générez un mot de passe plus long avec lettres et chiffres. La longueur compense le plus petit alphabet en termes d'entropie.