Comment créer un mot de passe fort ?
- 1Choisissez des caractères aléatoires, ou une phrase de passe composée de mots.
- 2Réglez la longueur (ou le nombre de mots) et les types de caractères dont vous avez besoin.
- 3Copiez le mot de passe, ou choisissez l'une des cinq autres propositions en dessous.
- 4Enregistrez-le dans un gestionnaire de mots de passe — utilisez un mot de passe différent pour chaque compte.
Comment la robustesse d'un mot de passe est-elle calculée ?
- 01Entropie (bits) = longueur × log2(nombre de caractères possibles)
- 02Entropie d'une phrase de passe = mots × log2(nombre de mots de la liste)
- 03Mots de passe possibles = 2^entropie
- 04Temps moyen pour le casser = 2^entropie ÷ 2 ÷ essais par seconde
L'entropie mesure le nombre d'essais dont un attaquant aurait besoin. Chaque caractère aléatoire choisi parmi 90 caractères possibles ajoute log2(90) ≈ 6,5 bits : un mot de passe de 16 caractères a donc environ 104 bits — 2^104 mots de passe possibles. Une phrase de passe fonctionne de la même façon avec des mots : chaque mot tiré au hasard dans la liste d'environ 1 500 mots de cet outil ajoute environ 10,6 bits, et l'ajout d'un nombre en ajoute quelques-uns de plus. Quand « au moins un de chaque type » est activé, les mots de passe auxquels il manque un type sont écartés et tirés à nouveau ; la petite perte d'entropie qui en résulte est comptée exactement.
Chaque caractère est choisi avec le générateur aléatoire cryptographiquement sûr de votre navigateur (crypto.getRandomValues). Les nombres aléatoires hors du dernier bloc complet sont rejetés, afin qu'aucun caractère ne soit plus probable qu'un autre (pas de « biais du modulo »). Le temps pour le casser suppose une attaque hors ligne rapide de 10 milliards d'essais par seconde contre l'empreinte (hash) d'un mot de passe ayant fuité ; en moyenne, un attaquant trouve le mot de passe après avoir essayé la moitié des possibilités. En dessous de 50 bits, c'est faible ; de 50 à 69, moyen ; de 70 à 99, fort ; à partir de 100, très fort.
Bon à savoir
- La longueur compte plus que la complexité : un mot de passe plus long gagne bien plus de robustesse qu'un symbole de plus.
- Ne réutilisez jamais un mot de passe. Si un site est piraté, les attaquants essaient le même mot de passe partout.
- Utilisez un gestionnaire de mots de passe pour les conserver, et activez la validation en deux étapes pour vos e-mails et votre banque.
- Les phrases de passe sont plus faciles à taper sur un téléphone ou une télévision — utilisez au moins 6 ou 7 mots aléatoires.
- Activez « Éviter les caractères qui se ressemblent » si vous devez lire un mot de passe à voix haute ou le recopier depuis une feuille.
Générateur de mot de passe — questions fréquentes
Quelle longueur doit faire un mot de passe ?
Le NIST (institut américain des normes et de la technologie) demande aux services d'accepter au moins 15 caractères pour les mots de passe utilisés seuls. Pour les comptes importants, 16 caractères aléatoires ou plus, ou une phrase de passe de 7 mots aléatoires ou plus, est un bon choix.
Ces mots de passe sont-ils sûrs ?
Oui. Ils sont générés sur votre appareil avec le générateur de nombres aléatoires cryptographiquement sûr du navigateur. Rien n'est envoyé sur Internet, enregistré ni journalisé, et une nouvelle série est créée à chaque fois.
Mot de passe ou phrase de passe : lequel est le mieux ?
Les deux sont robustes s'ils sont assez longs et vraiment aléatoires. Les caractères aléatoires apportent plus de robustesse par caractère ; les phrases de passe sont plus longues mais plus faciles à retenir et à taper.
Faut-il des symboles dans chaque mot de passe ?
Pas forcément. Les recommandations du NIST indiquent que les services ne devraient pas imposer de règles de composition ; la longueur et le hasard comptent le plus. Certains sites exigent encore un symbole, l'option est donc disponible.
Que signifie l'entropie ?
Le nombre de bits d'aléatoire. Chaque bit supplémentaire double le nombre d'essais nécessaires à un attaquant : 80 bits sont donc environ un million de fois plus difficiles à deviner que 60 bits.
Le temps pour casser le mot de passe est-il exact ?
Non, c'est une estimation pour un attaquant qui sait comment le mot de passe a été créé et peut tester 10 milliards de combinaisons par seconde. Les fonctions de hachage lentes rendent les vraies attaques bien plus lentes, et les limites de tentatives de connexion en ligne encore plus.
Sources
- NIST SP 800-63B — Digital Identity Guidelines: Authentication and Lifecycle Management (lignes directrices sur l'identité numérique : authentification)
- MDN — Crypto.getRandomValues()
- EFF — Dice-generated passphrases (phrases de passe générées avec des dés)
Dernière vérification des formules : 30 septembre 2026 ·Comment nous vérifions nos formules