Tester la solidité d’un mot de passe
Estimez l’entropie et le temps de cassage d’un mot de passe, directement dans votre navigateur. Rien n’est envoyé nulle part. Générateur de phrase de passe inclus.
Estimer la solidité d’un mot de passe
Tout le calcul a lieu dans votre navigateur. Rien n’est envoyé, rien n’est enregistré. Vous pouvez couper votre connexion et l’outil fonctionnera toujours.
Saisissez un mot de passe.
| Stockage côté site | Vitesse d’essai supposée | Durée estimée |
|---|---|---|
| Empreinte rapide (SHA-256 sans ralentissement) | 1011 essais/s | - |
| Dérivation lente (bcrypt, Argon2id bien réglé) | 104 essais/s | - |
| Formulaire de connexion en ligne (site qui limite) | 10 essais/s | - |
Générer une phrase de passe
Les mots sont tirés au sort par le générateur aléatoire cryptographique de votre navigateur, dans une liste de 0 mots français.
Cliquez sur le bouton.
Ce que l’outil calcule, et ce qu’il ne calcule pas
L’outil estime une entropie, exprimée en bits. L’entropie mesure le nombre de possibilités qu’un attaquant doit parcourir s’il connaît la méthode de fabrication du mot de passe mais pas le résultat. Un bit de plus double ce nombre.
Le calcul brut est simple : si le jeu de caractères compte N symboles et que le mot de passe fait L caractères, il existe N puissance L combinaisons, soit L fois log2(N) bits. Ce calcul suppose que chaque caractère a été tiré au hasard. Si vous avez choisi vous-même, la valeur réelle est bien plus basse, parce que les choix humains se ressemblent. L’outil applique donc des pénalités quand il reconnaît un motif fréquent : mot du dictionnaire, année, schéma « Majuscule + mot + chiffre », suite de touches, substitutions de type @ pour a. Ces pénalités sont des approximations volontairement prudentes.
Pourquoi trois durées différentes
La durée de cassage ne dépend pas seulement de votre mot de passe. Elle dépend surtout de la façon dont le site l’a stocké, et vous n’avez aucune prise sur ce point.
Un site qui stocke une empreinte rapide laisse un attaquant essayer des milliards de combinaisons par seconde sur sa propre machine, une fois la base volée. Un site qui utilise une fonction de dérivation lente et bien réglée ramène ce chiffre à quelques milliers par seconde. Entre les deux, le rapport dépasse le million. Le même mot de passe peut donc tomber en une nuit ou tenir des siècles.
La troisième ligne correspond à une attaque menée depuis le formulaire de connexion du site. Elle est très lente et déclenche en général un blocage du compte, ce qui explique que seuls les mots de passe les plus banals tombent de cette manière.
La phrase de passe
Le générateur tire des mots au sort avec crypto.getRandomValues, le générateur aléatoire cryptographique du navigateur. Chaque mot apporte log2(1296) bits, soit un peu plus de 10 bits. Cinq mots donnent environ 52 bits, six mots environ 62 bits, sept mots environ 72 bits.
La règle est absolue : le tirage doit rester tel quel. Si vous remplacez un mot qui ne vous plaît pas, vous réintroduisez un choix humain, donc de la prévisibilité. Retirez plutôt une nouvelle phrase entière.
Pour le raisonnement complet, lisez ce qui rend un mot de passe solide et comment fabriquer une phrase de passe. Pour ne plus avoir à mémoriser que celle-là, voyez le fonctionnement d’un gestionnaire de mots de passe.