🔐Générateur de mot de passe sécurisé

La force d'un mot de passe ne tient pas au nombre de caractères exotiques qu'il contient, mais au nombre de mots de passe différents qu'il aurait pu être. C'est exactement ce que mesure l'entropie, exprimée en bits : le logarithme en base 2 du nombre de combinaisons possibles. Concrètement, si chaque caractère est tiré au sort dans un alphabet de 85 signes — celui que propose l'outil ci-dessus — il apporte log₂(85) ≈ 6,4 bits.

Un mot de passe de 8 caractères plafonne donc autour de 51 bits, un mot de passe de 20 caractères atteint 128 bits. L'écart n'est pas de deux fois et demi : chaque bit supplémentaire double le travail de l'attaquant, et 77 bits d'écart représentent un facteur de l'ordre de 10²³. Voilà pourquoi la longueur est le levier qui compte avant tous les autres. Ajouter un point d'exclamation à la fin d'un mot de passe de 8 caractères ne change presque rien ; passer de 8 à 16 caractères change tout.

Pendant vingt ans, on a imposé aux utilisateurs une majuscule, un chiffre, un caractère spécial et un renouvellement tous les 90 jours. Ces règles ont été officiellement retirées : le NIST américain les a sorties de ses recommandations dès 2017, et l'ANSSI ne préconise plus le renouvellement périodique pour les comptes qui ne sont pas sensibles.

La raison est simple et documentée : ces contraintes ne produisent pas de l'aléa, elles produisent des motifs. Obligé de changer chaque trimestre, un utilisateur écrit Motdepasse1!, puis Motdepasse2!, puis Motdepasse3!. Obligé d'ajouter une majuscule, il la place en première position ; obligé d'ajouter un chiffre, il le colle à la fin. Les logiciels de cassage connaissent ces habitudes par cœur et les testent en priorité. Un mot de passe long, réellement tiré au sort et changé seulement en cas de soupçon de compromission protège bien mieux qu'un mot de passe court renouvelé quatre fois par an.

Dans la vraie vie, presque personne ne se fait pirater par force brute. Le scénario habituel est beaucoup plus banal : une boutique en ligne ou un forum se fait voler sa base d'utilisateurs, les identifiants circulent, et des robots rejouent automatiquement ces couples adresse e-mail / mot de passe sur des centaines d'autres services. C'est le credential stuffing, et il ne coûte presque rien à l'attaquant.

Il suffit qu'un seul de vos comptes partage son mot de passe avec votre messagerie pour que la boîte mail tombe — et avec elle tous les comptes dont elle peut réinitialiser le mot de passe. La conclusion est mécanique : un mot de passe unique par service. Aucune mémoire humaine ne tient cette promesse sur cinquante comptes, ce qui rend le gestionnaire de mots de passe indispensable plutôt que confortable. Vous ne retenez alors qu'un seul secret, long et solide, et l'outil se charge du reste.

Le temps de cassage calculé plus haut n'est pas une prédiction, c'est une division. On estime le nombre de combinaisons possibles, on suppose qu'il faut en tester la moitié en moyenne, et on divise par une vitesse d'essais. Toute la difficulté tient dans cette vitesse, qui varie sur plusieurs ordres de grandeur selon la façon dont le site attaqué a stocké votre mot de passe.

Face à un hachage rapide et mal choisi — MD5 ou SHA-1 sans sel — une seule carte graphique récente teste des dizaines de milliards de candidats par seconde. Face à bcrypt, scrypt ou Argon2, conçus pour être lents et gourmands en mémoire, la même machine retombe à quelques milliers d'essais par seconde. Le facteur entre les deux dépasse le million, et il ne dépend pas de vous. Lisez donc les deux scénarios comme un encadrement, jamais comme une durée exacte : ils ignorent aussi les attaques par dictionnaire et les attaques ciblées, qui n'essaient pas les combinaisons dans l'ordre.

Un mot de passe de vingt caractères tiré au hasard ne se retient pas, et c'est normal : il n'est pas fait pour ça. Rangez-le dans un gestionnaire de mots de passe — KeePassXC en local, Bitwarden ou 1Password en ligne, ou le trousseau intégré à votre système et à votre navigateur. Protégez ce coffre par une phrase de passe longue que vous êtes seul à connaître, sauvegardée hors ligne. Un carnet papier gardé chez soi reste acceptable pour deux ou trois comptes critiques ; le fichier « mots de passe.docx » posé sur le bureau, non.

Activez enfin la double authentification partout où elle existe, en priorité sur votre messagerie, votre banque et vos comptes professionnels. Une application d'authentification ou une clé de sécurité physique vaut mieux que le code par SMS, vulnérable à l'échange frauduleux de carte SIM. Avec cette seconde couche, un mot de passe volé ne suffit plus pour entrer : c'est très souvent elle qui fait la différence le jour où quelque chose fuit.