La solidité d’un mot de passe ne tient pas à son air compliqué, mais au nombre d’essais nécessaires pour le deviner. On la mesure en bits d’entropie, et chaque bit supplémentaire double le nombre d’essais. « P@ssw0rd2026 » contient majuscules, minuscules, chiffres et symbole, mais c’est un mot courant aux substitutions prévisibles que les outils de cassage testent en quelques secondes. Un mot de passe vraiment sûr doit être généré aléatoirement et être assez long.
L’outil utilise crypto.getRandomValues, le générateur cryptographique du navigateur, et non le prévisible Math.random. Le mode aléatoire crée de 6 à 64 caractères parmi majuscules, minuscules, chiffres et 26 symboles courants, en garantissant au moins un caractère de chaque groupe coché. Tout coché, le jeu compte environ 88 caractères, soit près de 6,46 bits chacun : 16 caractères donnent environ 103 bits, bien au-delà des capacités actuelles de force brute. Vous pouvez aussi exclure les caractères ambigus comme 1, l, I, 0, O et o pour faciliter la saisie.
Le mode phrase de passe Diceware tire au hasard 3 à 8 mots d’une liste intégrée et les relie par des tirets : facile à retenir et à taper. Soyons honnêtes : la liste ne compte que 96 mots, environ 6,58 bits par mot, donc 8 mots donnent environ 53 bits, nettement moins qu’un mot de passe aléatoire de longueur comparable. Réservez-la à ce que vous devez mémoriser, comme la session de l’ordinateur ou le Wi-Fi. Pour les comptes importants (messagerie, banque en ligne, cloud), utilisez le mode aléatoire avec 16 caractères ou plus et un gestionnaire de mots de passe.
L’outil affiche un niveau de solidité et un temps de cassage estimé d’après l’entropie, et génère 1, 5 ou 10 mots de passe à la fois. Même un mot de passe solide ne protège pas s’il est réutilisé : après une fuite, les attaquants l’essaient partout. Utilisez un mot de passe différent par site et activez la double authentification. Les mots de passe sont générés dans votre navigateur et ne sont jamais envoyés ni enregistrés.