Générateur de mots de passe

Qu’est-ce qu’un générateur de mot de passe aléatoire ?

Un générateur de mot de passe aléatoire est un outil qui construit un mot de passe en tirant des caractères avec un générateur de nombres aléatoires cryptographiquement sûr, au lieu de laisser une personne choisir. Les humains sont prévisibles : nous utilisons des prénoms, des dates, des suites de touches du clavier et les mêmes variantes de « Motdepasse1! » que les attaquants essaient en premier. Un générateur n’a pas d’habitudes : chaque caractère est un choix indépendant et imprévisible.

Ce générateur de mot de passe fort fonctionne entièrement dans votre navigateur. Il utilise crypto.getRandomValues, l’API Web Crypto que les navigateurs fournissent pour les usages de sécurité, et un échantillonnage par rejet pour que chaque caractère du jeu ait exactement la même probabilité (une approche simple « nombre aléatoire modulo taille du jeu » favoriserait légèrement certains caractères). L’ordre des caractères est ensuite mélangé avec la même source sûre.

Comment générer un mot de passe fort

1. Réglez la longueur avec le curseur, de 6 à 64 caractères. Elle démarre à 16, et un nouveau mot de passe apparaît pendant que vous faites glisser.
2. Choisissez les types de caractères : Majuscules (A-Z), Minuscules (a-z), Chiffres (0-9) et Symboles (!@#$%^&*()-_=+[]{};:,.?/). Les quatre sont activés par défaut. Le mot de passe contient toujours au moins un caractère de chaque type sélectionné. Si vous décochez tout, les minuscules sont réactivées.
3. Cochez « Éviter les caractères semblables (0O1lI) » si vous devez un jour lire le mot de passe à voix haute ou le taper depuis un papier. Cela retire 0, O, 1, l et I.
4. Vérifiez la jauge de robustesse. La barre et le libellé (Faible, Moyen, Fort, Très fort) reposent sur l’entropie en bits, affichée à côté du libellé.
5. Touchez Régénérer pour un nouveau mot de passe avec les mêmes réglages, puis Copier le mot de passe et enregistrez-le directement dans votre gestionnaire de mots de passe.

L’entropie d’un mot de passe expliquée simplement

L’entropie mesure le nombre d’essais dont un attaquant aurait besoin, exprimé en bits. Chaque bit supplémentaire double le nombre de mots de passe possibles. La formule pour un mot de passe aléatoire est : bits = longueur × log2(nombre de caractères possibles).

Avec les quatre types de caractères activés, cet outil tire parmi 86 caractères : chaque caractère ajoute donc environ 6,4 bits. Sans les caractères semblables, le jeu compte 81 caractères (environ 6,3 bits chacun).

La jauge utilise ces seuils : moins de 40 bits Faible, 40-63 Moyen, 64-95 Fort, 96 et plus Très fort.

Pour mettre ces chiffres en perspective, imaginez un attaquant qui a volé une base de mots de passe et peut tester 100 milliards d’essais par seconde (une attaque hors ligne hypothétique et bien financée). 51 bits tombent en quelques heures. 77 bits demanderaient en moyenne des dizaines de milliers d’années. 103 bits sont hors de portée de tout matériel envisageable. Remarquez que la longueur l’emporte sur la complexité : 16 lettres minuscules (75 bits) sont presque aussi robustes que 12 caractères de tous types (77 bits).

L’entropie ne s’applique qu’aux mots de passe réellement aléatoires. « Ete2026! » semble utiliser quatre types de caractères, mais les attaquants essaient d’abord les mots, les années et un symbole final : sa robustesse réelle est minime.

Quelle longueur pour un mot de passe ?

• 12 caractères (tous types) : le minimum pratique pour les comptes peu sensibles.
• 16 caractères : une bonne valeur par défaut pour tout ce qui est stocké dans un gestionnaire de mots de passe.
• 20 ou plus : e-mail, banque, compte principal de votre gestionnaire de mots de passe (sous forme de phrase de passe, voir ci-dessous) et comptes administrateur. Votre compte e-mail permet de réinitialiser tous les autres mots de passe : protégez-le en priorité.

Les recommandations actuelles du NIST (SP 800-63B) privilégient la longueur plutôt que les règles de composition, indiquent qu’il ne faut pas imposer de changement de mot de passe à intervalles réguliers sans signe de compromission et, au moment de la rédaction, recommandent au moins 15 caractères quand le mot de passe est le seul facteur de connexion. Certains anciens sites limitent encore la longueur à 12 ou 16 caractères ou refusent certains symboles ; si un site refuse un mot de passe, décochez Symboles ou raccourcissez-le plutôt que de passer à quelque chose de facile à retenir.

Quels réglages utiliser : exemples

• Réseau Wi-Fi : le WPA2 et le WPA3 acceptent de 8 à 63 caractères. Utilisez-en 20 ou plus, décochez Symboles et cochez « Éviter les caractères semblables » pour que vos invités puissent le taper, ou partagez-le plutôt avec un QR code Wi-Fi.
• Réseaux sociaux et e-mail : 16 à 20 caractères, tous types activés, enregistrés dans votre gestionnaire, avec l’authentification à deux facteurs activée.
• Connexion sur une TV de streaming ou une console : taper avec une télécommande est lent, utilisez donc 16 à 20 caractères sans caractères semblables ni symboles ; la longueur garde le mot de passe robuste.
• Compte d’équipe partagé (l’Instagram d’une boutique, l’administration du site d’un client) : générez un nouveau mot de passe chaque fois que quelqu’un quitte l’équipe.
• Fichier PDF ou ZIP chiffré : 20 caractères ou plus, car un fichier volé peut être attaqué hors ligne sans limite d’essais. Envoyez le mot de passe par un autre canal que le fichier.

Les phrases de passe : des mots de passe faciles à retenir et pourtant robustes

Une phrase de passe est un mot de passe composé de plusieurs mots aléatoires, comme orbite-cactus-lanterne-velours-nonante-plume. Elle est plus facile à retenir et à taper que q7#Rk!2vX9@m, et peut être tout aussi robuste, à condition que les mots soient tirés au hasard et non choisis par vous.

Avec la méthode Diceware courante, chaque mot est tiré d’une liste de 7 776 mots en lançant cinq dés, soit environ 12,9 bits par mot. Cinq mots aléatoires donnent environ 65 bits, six environ 78 bits et sept environ 90 bits. Utilisez six mots ou plus pour un mot de passe principal.

Cet outil génère des mots de passe à base de caractères, pas des listes de mots. Utilisez une phrase de passe pour les rares mots de passe que vous devez mémoriser (votre gestionnaire de mots de passe, la session de votre ordinateur), et des mots de passe générés par cet outil pour tout ce qui est stocké dans le gestionnaire. La plupart des gestionnaires de mots de passe proposent aussi une option de phrase de passe.

Pourquoi vous avez besoin d’un gestionnaire de mots de passe

Les mots de passe aléatoires robustes ne fonctionnent que si vous en utilisez un différent pour chaque compte, et personne ne peut en retenir 100. Un gestionnaire de mots de passe les stocke chiffrés derrière une seule phrase de passe principale, les remplit pour vous et vous avertit des mots de passe réutilisés ou compromis.

• Options intégrées : Apple Mots de passe (iPhone, Mac), le Gestionnaire de mots de passe de Google (Chrome, Android) et Microsoft Edge enregistrent et synchronisent tous les mots de passe gratuitement.
• Gestionnaires dédiés : Bitwarden, 1Password, Proton Pass et les apps de type KeePass fonctionnent sur tous les navigateurs et appareils, et ajoutent le partage et des rapports de sécurité.
• Ajoutez l’authentification à deux facteurs (une app d’authentification ou une clé d’accès) sur l’e-mail, la banque et les réseaux sociaux. Quand un site propose les clés d’accès (passkeys), elles résistent encore mieux à l’hameçonnage que les mots de passe.

Mot de passe, phrase de passe ou clé d’accès ?

Les clés d’accès se répandent chez Google, Apple, Microsoft, Amazon et de nombreux autres services, mais la plupart des sites demandent encore un mot de passe, et beaucoup de comptes avec clé d’accès gardent un mot de passe en secours. Un mot de passe généré plus l’authentification à deux facteurs reste le bon choix par défaut pour tout le reste.

Erreurs fréquentes à éviter avec les mots de passe

• Réutiliser les mots de passe. Quand un site est piraté, les attaquants essaient le même e-mail et le même mot de passe partout (« credential stuffing »). Un mot de passe unique par compte bloque cela.
• Modifier légèrement d’anciens mots de passe. Passer de « Paris@2025 » à « Paris@2026 » est la première variante qu’un attaquant essaie.
• Les informations personnelles. Prénoms, dates de naissance, noms d’animaux, numéros de téléphone et votre identifiant Instagram sont faciles à trouver en ligne.
• Stocker ses mots de passe dans des notes ou des discussions. Une app de notes, un message WhatsApp à soi-même ou un tableur ne sont pas chiffrés comme un gestionnaire de mots de passe.
• Des mots de passe courts avec beaucoup de symboles. 8 caractères de tous types (51 bits) sont plus faibles que 16 lettres minuscules (75 bits).
• Partager par capture d’écran. Si vous devez partager un accès avec un membre de l’équipe, utilisez la fonction de partage de votre gestionnaire de mots de passe.

Ce générateur de mot de passe est-il sûr ?

Oui. Les mots de passe sont générés sur votre appareil, en JavaScript, avec le générateur de nombres aléatoires cryptographique du navigateur. Rien n’est envoyé à notre serveur, rien n’est stocké, et la page n’effectue aucune requête réseau quand vous générez ou copiez un mot de passe ; vous pouvez le vérifier dans les outils de développement de votre navigateur, onglet Réseau. Chaque mot de passe n’existe que sur votre écran et dans votre presse-papiers jusqu’à ce que vous l’enregistriez. Comme pour tout secret copié, videz votre presse-papiers sur les ordinateurs partagés.

Protégez les comptes derrière votre lien en bio

Vos comptes Instagram, e-mail et lien en bio sont la porte d’entrée de votre activité : chacun mérite son propre mot de passe généré et l’authentification à deux facteurs. Quand vous créez votre page Biolinko, utilisez un mot de passe issu de cet outil et enregistrez-le dans votre gestionnaire. D’autres outils gratuits pratiques : le générateur de QR code et le générateur de liens UTM.