Testeur de mot de passe

Ce que mesure l’entropie

La solidité d’un mot de passe se chiffre en bits d’entropie : le nombre de fois qu’il faudrait doubler l’effort d’un attaquant pour couvrir toutes les possibilités. La formule est simple :

entropie = longueur × log₂(taille du jeu de caractères)

Le jeu de caractères est la somme des familles employées : 26 minuscules, 26 majuscules, 10 chiffres, 33 symboles ASCII imprimables. Chaque bit ajouté double le travail à fournir : 10 bits de plus multiplient la difficulté par mille.

Lisez ce tableau en colonnes plutôt qu’en lignes : passer de 8 à 16 caractères en minuscules seules (75,2 bits) est bien plus efficace que d’ajouter majuscules, chiffres et symboles à 8 caractères (52,6 bits). La longueur pèse beaucoup plus lourd que la variété. C’est exactement le raisonnement derrière le générateur de phrase de passe : quatre mots tirés au hasard battent huit caractères torturés, et se retiennent.

Le temps de cassage est une hypothèse, pas une mesure

Un temps affiché en années n’a de sens qu’adossé à une vitesse d’attaque supposée. Cette vitesse varie de plusieurs ordres de grandeur selon la situation, et c’est pourquoi l’outil vous laisse la choisir :

L’hypothèse retenue par défaut — 10 milliards d’essais par seconde, attaque hors ligne sur du matériel grand public — correspond au pire cas réaliste pour un site qui stocke mal ses mots de passe. Le calcul suppose en outre que l’attaquant parcourt en moyenne la moitié de l’espace avant de trouver. Le résultat est donc un ordre de grandeur : entre « quelques heures » et « quelques milliers d’années », la différence est significative ; entre « 3 ans » et « 7 ans », elle ne l’est pas.

Pourquoi l’entropie surestime souvent la réalité

La formule suppose que chaque caractère a été tiré au hasard. Dès qu’un humain choisit, ce n’est plus vrai — et les attaquants le savent. Ils ne parcourent pas l’espace dans l’ordre : ils commencent par les listes de mots de passe issues de fuites, puis appliquent des règles de transformation (première lettre en majuscule, a remplacé par @, année ajoutée à la fin).

Soleil2019 compte 10 caractères et près de 60 bits théoriques. En pratique, il tombe en quelques secondes : un mot du dictionnaire, une majuscule initiale, une année. L’outil détecte donc les motifs qui rendent le calcul théorique caduc : mot de passe figurant dans les listes les plus courantes, suite de clavier (azerty, 123456, qsdfgh), caractère répété trois fois, motif recopié, année en fin de chaîne, structure trop régulière, suite de chiffres ressemblant à une date de naissance. Quand un tel motif apparaît, la barre de robustesse est abaissée sous l’entropie affichée : c’est volontaire.

En ordre de grandeur : en dessous de 40 bits, un mot de passe ne tient pas face à une attaque hors ligne ; autour de 60 bits il résiste à un amateur ; à 80 bits et plus il sort du domaine du faisable. Le générateur de mot de passe atteint 16 caractères aléatoires sur les quatre familles, soit environ 105 bits.

Fort ne veut pas dire sûr

Voici la limite que la plupart des testeurs passent sous silence. Un mot de passe excellent mais réutilisé reste vulnérable. Si l’un des sites où vous l’employez subit une fuite, il se retrouve en clair dans une liste, et des robots l’essaient immédiatement sur des centaines d’autres services avec la même adresse e-mail. Cette attaque s’appelle le credential stuffing, elle ne casse rien : elle recopie. Aucune entropie ne protège de cela — seul un mot de passe différent par service le fait, ce qui suppose en pratique un gestionnaire de mots de passe.

Deux recommandations obsolètes, enfin : le changement périodique forcé (il pousse à des variantes prévisibles, et l’ANSSI comme le NIST ne le recommandent plus hors compromission) et l’exigence de « au moins un symbole », qui produit surtout des ! en fin de chaîne.

Rien ne quitte cette page

Le calcul est réalisé en JavaScript dans votre navigateur : la chaîne saisie n’est jamais envoyée à un serveur, jamais journalisée, jamais conservée. Fermez l’onglet et il n’en reste rien, y compris pour nous.

Cela étant dit, le bon réflexe reste de ne jamais taper un mot de passe réellement en service sur un site, quelle que soit sa promesse : vous n’avez aucun moyen de la vérifier depuis l’extérieur. Testez une variante proche, de même longueur et de même structure : le diagnostic sera identique. Cette page ne donne pas de conseil de sécurité personnalisé ; pour un usage professionnel, référez-vous aux recommandations de l’ANSSI.

Questions fréquentes