Générateur de mot de passe sécurisé

Qu’est-ce qu’un générateur de mot de passe ?

Un générateur de mot de passe fabrique une suite de caractères imprévisible à la place d’un mot de passe inventé — celui qui reprend un prénom, une date ou un mot du dictionnaire suivi d’un chiffre, et qu’un logiciel de cassage teste en quelques secondes. Ici, chaque caractère provient de crypto.getRandomValues, la source aléatoire cryptographique du navigateur, et non de Math.random(), qui n’a jamais été conçu pour résister à une attaque. Les tirages hors plage sont rejetés plutôt que ramenés par un modulo, ce qui garantit que chaque caractère a exactement la même probabilité d’apparaître.

Le jeu de caractères complet compte 85 symboles : 26 minuscules, 26 majuscules, 10 chiffres et 23 signes de ponctuation — !@#$%^&*()-_=+[]{}:;,.?. Cette liste a été choisie en écartant volontairement les guillemets, la barre oblique inverse, l’accent grave et l’espace : ce sont justement les caractères qui font planter un terminal, corrompent un export CSV ou passent mal dans certains formulaires de connexion.

Comment ça marche

1. Réglez la longueur et les types de caractères. Le curseur va de 4 à 64 caractères (16 par défaut) ; cochez Minuscules a-z, Majuscules A-Z, Chiffres 0-9 et Symboles !@#$ selon vos besoins. Chaque type coché est garanti d’apparaître au moins une fois.
2. Excluez les caractères ambigus si besoin. La case Exclure les caractères qui se ressemblent (0 O o 1 l I) retire les lettres et chiffres qu’on confond à l’écran ou en les recopiant à la main — utile si vous devrez un jour retaper ce mot de passe sans le copier-coller.
3. Copiez le résultat et vérifiez sa robustesse. Le mot de passe se régénère à chaque changement de réglage ; le bouton Copier le place dans le presse-papiers, et la barre de robustesse affiche l’entropie en bits ainsi que le temps estimé pour le deviner hors ligne.

Quelle longueur choisir ?

À 8 caractères avec les quatre types actifs, l’entropie atteint 50,2 bits : un attaquant équipé de GPU, capable d’essayer mille milliards de combinaisons par seconde hors ligne, en vient à bout en quelques minutes. À 12 caractères, on passe à 76,5 bits et la même attaque prend des siècles. À 16 caractères — le réglage par défaut de cet outil — l’entropie monte à 102,3 bits, un niveau qui dépasse toute échelle de temps qu’il vaille la peine de nommer.

Ce calcul intègre une correction que la plupart des générateurs ignorent : exiger un caractère de chaque type réduit le nombre de mots de passe possibles par rapport au calcul naïf longueur × log2(taille du jeu), puisque toutes les combinaisons ne sont plus permises. L’ensemble exact est compté par inclusion-exclusion ; avec les réglages par défaut, l’entropie honnête tombe à 102,32 bits contre 102,55 pour la formule habituelle. L’écart est minime à 16 caractères, mais il grandit à mesure que le mot de passe raccourcit par rapport au nombre de types exigés.

Exclure les caractères ambigus fait passer le jeu de 85 à 79 symboles et coûte 1,77 bit sur 16 caractères — à peine un quart de caractère de robustesse en moins. Le compromis vaut la peine dès que vous devrez un jour retaper ce mot de passe à la main. Ces estimations supposent une attaque hors ligne à mille milliards d’essais par seconde ; un formulaire qui limite le nombre de tentatives, ou un site qui hache correctement ses mots de passe, change complètement la donne.

Ce que cet outil ne fait pas

Générer un mot de passe robuste est la partie facile du problème. La partie difficile, c’est de savoir où le garder. Un mot de passe de 102 bits ne sert à rien s’il finit dans un fichier texte sur le bureau ou collé sur un post-it : la solution qui fonctionne réellement s’appelle un gestionnaire de mots de passe, et il en existe d’excellents, gratuits ou payants — nous n’en recommandons aucun en particulier, ce n’est pas notre métier.

Cet outil ne vérifie jamais si un mot de passe a déjà fuité dans une base de données piratée : il ne fait aucune requête réseau, par choix. Les cinq paliers de robustesse (de Très faible à Très robuste) et leurs seuils en bits sont notre propre jugement, pas une norme officielle ; ils supposent une attaque hors ligne à mille milliards d’essais par seconde. Face à un formulaire qui bloque après cinq tentatives, ou à un site qui hache ses mots de passe avec bcrypt ou argon2, le même mot de passe résiste infiniment plus longtemps que ce que la barre affiche.

Rien n’est non plus sauvegardé : recharger la page fait disparaître le résultat, donc copiez-le avant de fermer l’onglet. Et aucun indicateur de robustesse, ici ou ailleurs, ne peut savoir si vous avez réutilisé ce mot de passe sur un autre site — c’est pourtant la cause numéro un des comptes piratés, bien avant la force brute.

Pourquoi c’est gratuit

Tout se calcule dans cet onglet, sur votre appareil : aucun mot de passe ne part vers un serveur, rien n’est journalisé, rien n’est stocké. Pas de compte à créer, pas de filigrane, pas de version payante qui déverrouillerait une longueur supérieure à 64 caractères — c’est le principe de tous les outils de FreeToGenerate.com.