Un mot de passe qui vaut la peine d'être gardé : longueur, aléa et ce que « robuste » veut dire

Pourquoi le faire

La plupart des mots de passe faibles ne le sont pas parce que quelqu’un a oublié un symbole. Ils le sont parce qu’une personne les a choisis. On prend des prénoms, des dates, des suites de touches du clavier et de petites variations d’un ancien mot de passe, et les attaquants construisent leurs listes d’essais à partir de ces mêmes habitudes. Un mot de passe tiré par une machine dans un très grand ensemble de possibilités n’a aucune habitude à exploiter.

Deux choses déterminent la difficulté à deviner un mot de passe : le nombre de possibilités dans lequel il a été tiré, et le caractère réellement aléatoire du tirage. Ce guide traite des deux, montre comment créer un mot de passe ou une phrase secrète avec le Générateur de mots de passe, et explique comment lire l’indication de robustesse sans lui accorder une confiance excessive.

Comment faire, avec l’outil

Le Générateur de mots de passe comporte deux onglets, Générer et Vérifier, et tout s’exécute dans votre navigateur.

1. Restez sur Générer. Sous Type, choisissez Caractères aléatoires, Prononçable ou Phrase secrète (mots).
2. Réglez les options. Pour les caractères, le curseur Longueur va de 8 à 64 et démarre à 20. Cochez Majuscules (A-Z), Minuscules (a-z), Chiffres (0-9) et Symboles (!@#$…) selon ce que le site d’inscription accepte. Cochez Exclure les caractères ambigus (I l 1 O 0 o) si vous devez un jour lire le mot de passe à voix haute ou le recopier depuis du papier. Pour une phrase secrète, réglez Nombre de mots de 3 à 10, un Séparateur, et éventuellement Ajouter un chiffre à la fin.
3. Choisissez la quantité. Nombre de mots de passe (1-20) vous permet d’en tirer plusieurs et d’en retenir un.
4. Générez et copiez. Appuyez sur Générer, puis sur Copier à côté de celui que vous voulez. Générer à nouveau tire une nouvelle série. Collez le résultat directement dans un gestionnaire de mots de passe.
5. Vérifiez un mot de passe existant. Passez à Vérifier, puis saisissez ou collez un mot de passe. Vous obtenez un score allant de Très faible à Robuste, une estimation sous Temps pour le casser (attaque hors ligne), et des suggestions.

Puisque c’est le générateur qui crée le mot de passe, il n’a jamais besoin de voir celui que vous utilisez déjà.

À surveiller

L’aléa vient de la source sécurisée du navigateur, pas de Math.random. L’outil utilise crypto.getRandomValues, le générateur cryptographique du navigateur, et jamais Math.random, qui est conçu pour les jeux et les animations et n’est pas sûr pour des secrets. Il y a une subtilité de plus : associer un nombre aléatoire à une liste peut discrètement favoriser certains éléments. Si vous prenez un nombre aléatoire de 32 bits et calculez le reste de sa division par la longueur de la liste, les premiers éléments sortent légèrement plus souvent dès que la longueur ne divise pas la plage de façon exacte. L’outil évite ce biais par échantillonnage avec rejet. Il calcule la plus grande plage qui se divise exactement, écarte tout tirage situé en dehors, et tire à nouveau. Chaque caractère et chaque mot ont alors la même probabilité.

La longueur compte plus que la complexité. Avec les lettres, chiffres et symboles de l’outil, chaque caractère supplémentaire multiplie le nombre de possibilités. Un mot de passe de 20 caractères composé de majuscules, de minuscules et de chiffres offre environ 119 bits d’imprévisibilité, bien au-delà de tout effort de devinette réaliste. Ajouter une classe de symboles aide un peu, mais augmenter la longueur aide davantage. Certains sites plafonnent la longueur ou refusent les symboles : ne cochez donc que ce que le site accepte.

Les phrases secrètes sont plus faciles à vivre. La liste de mots contient environ 310 mots courts et usuels, donc chaque mot apporte environ 8,3 bits. Avec les 4 mots par défaut, cela fait environ 33 bits, ce qui est modeste. Six mots donnent environ 50 bits et dix en donnent environ 83. Si la phrase secrète est ce que vous devez retenir, comme le mot de passe principal d’un gestionnaire de mots de passe, choisissez six mots ou plus et conservez le séparateur. Ces chiffres ne comptent que le tirage aléatoire, car les mots proviennent d’une liste que l’attaquant est supposé connaître.

Prononçable est un compromis. Il est plus facile à dire et à saisir, mais il apporte moins d’imprévisibilité par caractère que des caractères entièrement aléatoires. Allongez-le pour compenser.

L’indicateur de robustesse est une estimation. Le score et la durée de cassage proviennent d’un estimateur fondé sur la reconnaissance de motifs. Il recherche les mots du dictionnaire, les répétitions et les suites de touches, et suppose une attaque hors ligne contre un mot de passe haché lentement. Il ne peut pas savoir comment un site donné stocke les mots de passe, si le mot de passe a fuité ailleurs, ni si un logiciel malveillant vous observe pendant la saisie. Considérez « Robuste » comme un signe encourageant, pas comme la promesse que rien ne peut venir à bout du mot de passe.

Jamais enregistré ni envoyé. Rien de ce que vous saisissez ou générez n’est enregistré, consigné ni transmis, et l’outil n’a pas d’historique. Si vous utilisez un lien partagé, il ne contient que vos réglages, jamais un mot de passe. Quand vous fermez l’onglet, les mots de passe disparaissent : copiez donc celui que vous utiliserez dans un gestionnaire de mots de passe avant de partir.

FAQ

Quelle longueur doit avoir mon mot de passe ?

Pour tout ce qui protège de l’argent, une messagerie ou un gestionnaire de mots de passe, visez au moins 16 caractères aléatoires, ou six mots ou plus pour une phrase secrète. L’outil démarre à 20 caractères et en autorise jusqu’à 64. Utilisez la longueur maximale acceptée par le site pour les comptes importants, et gardez un mot de passe unique pour chacun.

Une phrase secrète est-elle meilleure que des caractères aléatoires ?

Par caractère, les caractères aléatoires sont plus denses, mais une phrase secrète est bien plus facile à saisir et à retenir. Pour un mot de passe que vous devez mémoriser, utilisez une phrase secrète plus longue. Pour un mot de passe qu’un gestionnaire de mots de passe stockera, utilisez des caractères aléatoires et laissez le gestionnaire s’en souvenir.

Puis-je me fier à la durée de cassage ?

Servez-vous-en pour comparer deux mots de passe, pas comme prévision. Elle suppose un type d’attaque précis et un rythme d’essais donné. Les vrais attaquants, comme les vraies méthodes de stockage, varient : un mot de passe long et aléatoire reste donc l’élément fiable, et le chiffre n’est qu’un repère approximatif.