Générer un mot de passe sécurisé

En 2026, les recommandations courantes (ANSSI, NIST, OWASP) tournent autour de 12 caractères minimum pour un compte standard, et 16 caractères ou plus pour un compte sensible (administrateur, coffre-fort, messagerie principale). Avec un alphabet complet de 94 caractères imprimables, un mot de passe de 12 caractères atteint déjà environ 78 bits d'entropie, ce qui résiste à l'attaque par force brute hors-ligne sur du matériel grand public.

La longueur l'emporte largement. Doubler la longueur d'un mot de passe multiplie son espace de recherche par un facteur énorme, alors qu'ajouter une classe de caractères ne fait qu'élargir l'alphabet. Une phrase de passe de 20 caractères en minuscules est plus solide qu'un mot de 8 caractères avec majuscules, chiffres et symboles. Optez donc pour des mots de passe longs avant de chercher à les rendre exotiques.

L'entropie mesure l'imprévisibilité du mot de passe, exprimée en bits. Pour un mot de passe vraiment aléatoire de longueur L tiré dans un alphabet de N caractères, l'entropie vaut L × log2(N). Un mot de passe de 12 caractères tirés au hasard parmi 94 symboles offre environ 78 bits. En dessous de 60 bits, on considère le mot de passe attaquable hors-ligne. Au-delà de 80 bits, il devient hors de portée pratique.

Non. La génération s'effectue dans votre navigateur à l'aide de crypto.getRandomValues(), l'API cryptographiquement sûre exposée par les navigateurs modernes. Aucun mot de passe n'est envoyé au serveur, ni journalisé, ni mis en cache. Vous pouvez utiliser l'outil hors ligne après chargement initial de la page, ce qui en fait un outil sûr pour générer des secrets sensibles.

Les recommandations ont évolué. Le NIST et l'ANSSI déconseillent désormais la rotation automatique régulière sans motif : elle pousse les utilisateurs à choisir des variantes faibles. Ne changez un mot de passe que si vous suspectez une compromission, s'il apparaît dans une fuite (testez sur Have I Been Pwned), ou s'il est partagé avec quelqu'un qui n'y a plus accès. Utilisez plutôt des mots de passe longs, uniques par site, stockés dans un gestionnaire.

Les attaques modernes ne testent pas les combinaisons une à une, elles partent de dictionnaires énormes (mots, prénoms, dates, motifs de substitution comme @ pour a) puis appliquent des règles de mutation. Motdepasse123! tombe en quelques secondes. Préférez un mot de passe vraiment aléatoire généré par un outil comme celui-ci, ou une phrase de passe constituée de plusieurs mots indépendants tirés au hasard (méthode diceware).