Générateur de mot de passe

Ce générateur de mot de passe crée des mots de passe aléatoires et cryptographiquement sûrs directement dans votre navigateur, avec crypto.getRandomValues() — aucun mot de passe n’est envoyé ni conservé. Dernière révision 2026-06-19.

Comment se mesure la force d’un mot de passe : l’entropie en bits

La force d’un mot de passe ne s’apprécie pas à l’œil nu, elle se calcule. La grandeur qui la décrit s’appelle l’entropie et s’exprime en bits : chaque bit supplémentaire double le nombre d’essais nécessaires pour le deviner. Si chaque caractère est tiré au hasard dans un jeu de N caractères, il apporte log₂(N) bits, et un mot de passe de longueur L totalise donc L × log₂(N) bits. C’est tout : le reste n’est que l’application de cette formule.

Un exemple concret. Un mot de passe de 12 caractères composé uniquement de minuscules et de chiffres puise dans un jeu de 26 + 10 = 36 caractères : il existe donc 36¹² = 4 738 381 338 321 616 896 combinaisons possibles (environ 4,7 × 10¹⁸), soit 12 × log₂(36) ≈ 62 bits. Un mot de passe aléatoire de 16 caractères tiré du jeu mixte complet de ce générateur (26 majuscules + 26 minuscules + 10 chiffres + 24 symboles = 86 caractères) atteint quant à lui 16 × log₂(86) ≈ 102,8 bits.

Traduire des bits en durée oblige à énoncer l’hypothèse de calcul, sans quoi le chiffre annoncé ne veut rien dire. Le tableau ci-dessous suppose une attaque hors ligne à 100 milliards d’essais par seconde (un GPU rapide face à une empreinte véloce et sans sel, c’est-à-dire le pire cas réaliste) et donne le temps nécessaire pour parcourir tout l’espace de clés :

Sous cette hypothèse, les 62 bits de l’exemple précédent tombent en quelque 534 jours : très insuffisant pour un compte qui compte. Les 102,8 bits du mot de passe de 16 caractères mixtes exigeraient, eux, de l’ordre de 10¹² années. Un site qui range correctement les mots de passe (Argon2, scrypt, bcrypt) ralentit énormément ce rythme, mais comme vous ne choisissez pas l’algorithme employé par chaque site, raisonnez toujours dans le pire cas.

La longueur l’emporte sur la complexité

C’est la conclusion la plus utile de tout le sujet, et presque personne ne l’applique : allonger un mot de passe rapporte bien plus que le compliquer. L’entropie croît de façon linéaire avec la longueur, mais seulement de façon logarithmique avec la taille du jeu de caractères. Doubler la longueur double les bits ; doubler le jeu de caractères n’ajoute qu’un seul bit par caractère.

Le contraste est frappant. Un mot de passe de 20 caractères en minuscules uniquement pèse 20 × log₂(26) ≈ 94 bits. Un mot de passe de 8 caractères mêlant majuscules, minuscules, chiffres et symboles de tout l’ASCII imprimable pèse 8 × log₂(94) ≈ 52 bits. Le premier a l’air « simple » et le second « compliqué », et pourtant le premier est environ 2⁴² fois plus difficile à deviner, c’est-à-dire plus de quatre mille milliards de fois. Le tableau suivant applique le même calcul au jeu ASCII imprimable complet de 94 caractères :

Passer de 8 à 16 caractères fait donc plus que doubler l’entropie. D’où la règle pratique : commencer à 16 caractères, et monter à 20 ou plus sur les comptes de plus grande valeur. Cela rejoint la recommandation en vigueur du NIST (l’institut de normalisation américain) dans sa publication spéciale SP 800-63B, qui impose un minimum de 8 caractères, demande que les systèmes en acceptent au moins 64, et place la longueur — et non le mélange de types de caractères — au rang de facteur déterminant.

Pourquoi les règles de composition obligatoires se retournent contre vous

Pendant des années, les sites ont exigé « au moins une majuscule, un chiffre et un caractère spécial ». Le NIST déconseille explicitement ces règles de composition dans SP 800-63B, et la raison relève du comportement humain, pas des mathématiques : quand on impose un motif, les gens le respectent de la façon la plus prévisible possible. La majuscule part en tête, le chiffre et le point d’exclamation en queue, et les lettres sont remplacées par des symboles qui leur ressemblent. Ainsi naissent Motdepasse1!, Été2025! ou m0tdep@sse : ils cochent toutes les cases et n’importe quel dictionnaire d’attaque les essaie dans les toutes premières secondes. Les suites tapées au clavier français, du genre azerty123, relèvent exactement du même travers.

La règle n’ajoute presque aucune entropie réelle — l’attaquant sait déjà où se trouveront la majuscule et le symbole — et pousse à reproduire la même formule partout. Pour la même raison, le NIST déconseille l’expiration forcée tous les 90 jours : elle ne produit que des variations incrémentales prévisibles. Rien de tout cela ne rend les symboles nuisibles : lorsqu’un générateur les place au hasard, ils apportent leur entropie pleine et entière. Le problème tient au caractère obligatoire, qui transforme un tirage aléatoire en motif connu de tous.

La phrase de passe : forte et mémorisable

Les chaînes aléatoires sont idéales quand un gestionnaire les retient à votre place. Pour les rares mots de passe que vous devez réellement mémoriser — celui de votre session et le mot de passe maître de votre gestionnaire — une phrase de passe fonctionne souvent mieux : même force, bien plus facile à retenir. La méthode de référence s’appelle Diceware : on tire des mots au hasard dans une liste de 7 776 entrées (soit 6⁵, les résultats de cinq dés). Chaque mot apporte log₂(7776) ≈ 12,9 bits, si bien qu’une phrase de six mots atteint environ 77,5 bits, largement dans le vert ; le célèbre exemple d’xkcd « correct horse battery staple », qui n’en compte que quatre, plafonne autour de 51,7 bits. La condition indispensable est que les mots soient tirés réellement au hasard : une phrase que vous inventez vous-même, une citation ou un proverbe restent prévisibles et contiennent bien moins d’entropie que leur nombre de mots ne le laisse croire.

Ne réutilisez jamais un mot de passe

Dans la vie réelle, la première cause de comptes piratés n’est pas qu’un attaquant devine votre mot de passe : c’est la réutilisation. L’attaque porte un nom, le credential stuffing ou bourrage d’identifiants : un site subit une fuite, les couples adresse e-mail / mot de passe finissent en circulation, et un programme rejoue automatiquement ces mêmes combinaisons sur des centaines d’autres services. Si vous aviez recyclé le mot de passe, sa force ne sert plus à rien, car l’attaquant ne le devine pas : il le recopie.

La seule défense qui tienne consiste à donner à chaque site un mot de passe différent et unique, afin qu’une fuite reste confinée à un seul service. Ajoutez-y la double authentification (2FA), en commençant par votre messagerie et par votre gestionnaire, car ces deux comptes ouvrent tous les autres : aucun mot de passe, si long soit-il, ne protège contre l’hameçonnage ni contre un logiciel espion qui enregistre ce que vous tapez.

Le gestionnaire de mots de passe, la pièce qui rend tout cela praticable

Avoir un mot de passe long, aléatoire et distinct pour chaque service est, par construction, impossible à mémoriser. C’est exactement le problème que résout un gestionnaire de mots de passe : il conserve toutes vos clés dans un coffre chiffré, protégé par un unique mot de passe maître. Le coffre est chiffré sur votre propre appareil avant toute synchronisation, si bien qu’un gestionnaire correctement conçu ne peut jamais lire son contenu. Bitwarden, 1Password et KeePass sont des choix solides, au même titre que les gestionnaires intégrés aux navigateurs et aux systèmes récents. La marche à suivre est simple : créez ici un mot de passe sécurisé pour chaque compte, rangez-le dans le gestionnaire, puis oubliez-le. Le seul qui mérite d’être mémorisé est le mot de passe maître.

Jeux de caractères utilisés

Confidentialité : tout se passe dans votre navigateur

La génération est réalisée intégralement dans votre navigateur. Les mots de passe ne sont envoyés à aucun serveur, ne transitent par aucun réseau et ne sont consignés nulle part : ils sont produits par le processeur de votre propre appareil, à partir de l’entropie fournie par votre système d’exploitation. Une fois la page chargée, elle continue de fonctionner hors connexion — vous pouvez le vérifier vous-même en coupant le réseau.

Questions fréquentes

Ce générateur de mot de passe est-il vraiment aléatoire ?

Oui. Il utilise l’API crypto.getRandomValues() du navigateur, qui puise son entropie dans le CSPRNG du système d’exploitation — la même norme que celle employée par les gestionnaires de mots de passe et par TLS, et non Math.random(), dont la sortie peut être prédite. Il applique en outre un échantillonnage par rejet pour éliminer le biais de modulo, de sorte que tous les caractères sont équiprobables : c’est précisément l’hypothèse sur laquelle repose le calcul d’entropie.

Mon mot de passe sort-il de mon navigateur ?

Non. Tout le processus se déroule localement, sur votre appareil. Rien n’est téléversé, transmis ni enregistré, et la page continue de fonctionner sans connexion une fois qu’elle est chargée.

Quelle longueur doit avoir un mot de passe sécurisé ?

Au moins 16 caractères pour un usage courant, et 20 ou plus pour les comptes à forte valeur : messagerie principale, banque en ligne, gestionnaire de mots de passe. La longueur pèse beaucoup plus lourd que le mélange de types de caractères : 16 caractères aléatoires tirés du jeu mixte de 86 donnent environ 102,8 bits d’entropie.

À quoi sert l’option « Exclure les caractères ambigus » ?

Elle retire les caractères que beaucoup de polices rendent confondables : le I majuscule face au l minuscule et au 1, et le O majuscule face au 0. Le mot de passe devient plus facile à lire et à recopier à la main. Le coût est faible : sur 16 caractères, tous les jeux activés, le jeu passe de 86 à 79 caractères, soit environ 2 bits de moins. L’échange est généralement avantageux.

Outils similaires

• Générateur d’UUID
• Générateur de hash SHA
• Encodeur / décodeur Base64
• Encoder / décoder une URL