Générateur de mot de passe gratuit

Ce qui rend un mot de passe robuste

La robustesse vient de l'imprévisibilité, pas de l'astuce. Un mot de passe ne vaut que par le nombre d'essais qu'un attaquant devrait faire, et c'est pourquoi la longueur l'emporte sur les substitutions malignes. Remplacer un « a » par « @ » n'apporte presque rien, parce que tous les outils de cassage essaient cette variante automatiquement.

• La longueur d'abord. Passer de 12 à 20 caractères compte bien plus que d'ajouter un symbole.
• Ne réutilisez jamais un mot de passe. C'est la réutilisation qui transforme la fuite d'une entreprise en votre problème partout ailleurs.
• Utilisez un gestionnaire de mots de passe. C'est le seul moyen réaliste d'avoir un mot de passe long et différent pour chaque compte.
• Activez la double authentification partout où elle est proposée. Elle vous protège même si le mot de passe fuit.

Ce générateur est-il sûr ?

Le mot de passe est généré entièrement dans votre navigateur avec crypto.getRandomValues, le générateur aléatoire cryptographiquement sûr de la plateforme. Il n'est jamais envoyé à un serveur, jamais écrit sur disque, jamais journalisé — il n'y a aucun code côté serveur impliqué. Cela dit, le mot de passe le plus sûr reste celui que vous générez directement dans votre gestionnaire de mots de passe, qui ne l'affiche jamais à l'écran. Pour protéger quelque chose de critique, privilégiez cette méthode.

Pourquoi pas Math.random ?

Beaucoup d'outils gratuits utilisent Math.random, qui n'est pas cryptographiquement sûr. Sa sortie provient d'un état interne qu'un attaquant observant assez de valeurs peut reconstituer, ce qui rend les sorties passées et futures prévisibles. Cet outil utilise crypto.getRandomValues, et projette les valeurs aléatoires sur le jeu de caractères par rejet d'échantillon afin que chaque caractère soit exactement équiprobable — un simple modulo rendrait certains caractères légèrement plus fréquents que d'autres.

Que signifie l'entropie en bits ?

L'entropie mesure le nombre d'essais nécessaires en moyenne à un attaquant. Chaque bit double ce nombre : 60 bits est donc environ un milliard de fois plus difficile que 30 bits. En dessous de 50 bits c'est faible face à un attaquant déterminé, 75 bits est confortable pour la plupart des comptes, et au-delà de 100 bits la force brute est hors de portée de tout matériel envisageable. Le temps de cassage affiché suppose un attaquant hors ligne effectuant 100 milliards d'essais par seconde contre un hachage rapide ; un site qui stocke correctement les mots de passe avec bcrypt ou Argon2 serait bien plus lent à attaquer, donc considérez ce chiffre comme le cas pessimiste. Notez qu'imposer au moins un caractère de chaque jeu sélectionné réduit très légèrement l'entropie maximale théorique, ce que le chiffre affiché ne déduit pas.

Faut-il changer ses mots de passe régulièrement ?

Non, pas de façon périodique. La rotation forcée est un conseil dépassé — le NIST l'a retirée de ses recommandations parce qu'elle pousse les gens vers des variations prévisibles du type Été2024 devenant Été2025. Changez un mot de passe quand vous avez une raison : une notification de fuite, un mot de passe partagé, ou le moindre soupçon de compromission. Sinon, un mot de passe long et unique vaut mieux qu'on le laisse tranquille.