Générateur de mot de passe sécurisé : bonnes pratiques et recommandations
Pourquoi un mot de passe aléatoire est indispensable
En 2024, plus de 80 % des violations de données impliquent des mots de passe faibles ou réutilisés, selon le rapport annuel de Verizon (DBIR). Les attaquants utilisent des dictionnaires de mots de passe courants, des bases de données issues de fuites précédentes et des techniques de force brute pour compromettre les comptes. Un mot de passe généré aléatoirement, combinant majuscules, minuscules, chiffres et symboles, est la première ligne de défense contre ces attaques.
La génération aléatoire via l'API Web Crypto (crypto.getRandomValues) garantit une qualité cryptographique supérieure aux fonctions Math.random(), qui ne sont pas conçues pour la sécurité. Chaque mot de passe produit par cet outil est créé localement dans votre navigateur, sans jamais transiter par un serveur distant.
Bonne pratique
L'entropie : mesurer la force réelle d'un mot de passe
L'entropie mesure le nombre de combinaisons possibles d'un mot de passe, exprimée en bits. Plus l'entropie est élevée, plus le mot de passe est résistant aux attaques par force brute. Elle se calcule selon une formule simple :
Entropie (bits) = Longueur x log2(Taille du jeu de caractères)
Avec un jeu complet (26 majuscules + 26 minuscules + 10 chiffres + 28 symboles = 90 caractères), un mot de passe de 16 caractères offre environ 104 bits d'entropie. Le NIST (National Institute of Standards and Technology) recommande un minimum de 80 bits pour les comptes sensibles.
104 bits
Entropie d'un mot de passe de 16 caractères avec 4 types (majuscules, minuscules, chiffres, symboles)
Longueur recommandée selon le niveau de sensibilité
La longueur est le facteur le plus déterminant dans la résistance d'un mot de passe. Chaque caractère supplémentaire multiplie le nombre de combinaisons possibles. Voici les recommandations du NIST (SP 800-63B) et de l'ANSSI adaptées aux différents niveaux de risque :
Temps de craquage estimé selon la longueur
Attaque par force brute a 10 milliards de tentatives/seconde, jeu de 90 caractères
Mot de passe aléatoire vs passphrase
Les passphrases (suites de mots aléatoires comme "cheval-batterie-agrafe-correct") offrent une alternative aux mots de passe complexes. Elles sont plus faciles a mémoriser tout en conservant une entropie élevée. Cependant, pour les comptes stockés dans un gestionnaire, un mot de passe aléatoire reste plus compact et offre une densité d'entropie supérieure par caractère.
Mot de passe aléatoire
16 car. = 104 bits
Compact, idéal avec un gestionnaire
Passphrase
4 mots = 51 bits
Mémorisable, mais plus longue
Exemple : construire un mot de passe robuste étape par étape
Voici comment notre générateur construit un mot de passe de 16 caractères avec les 4 types de caractères activés :
Génération aléatoire
16 octetscrypto.getRandomValues() produit 16 octets cryptographiquement sûrs
Sélection des caractères
90 possibilités/car.Chaque octet est mappé sur le jeu de 90 caractères (A-Z, a-z, 0-9, symboles)
Garantie de diversité
4 types garantisAu moins 1 caractère de chaque type est inséré a une position aléatoire
Résultat final
104 bitsMot de passe prêt a copier avec ~104 bits d'entropie
Erreurs fréquentes a éviter
Même avec un bon générateur, certaines pratiques compromettent la sécurité de vos mots de passe :
- Réutiliser le même mot de passe sur plusieurs sites : une seule fuite compromet tous vos comptes. Les attaques par "credential stuffing" exploitent massivement cette habitude.
- Stocker les mots de passe en clair dans un fichier texte, un post-it ou un email. Utilisez un gestionnaire de mots de passe chiffré.
- Modifier légèrement un mot de passe existant (ajouter "1" ou "!" a la fin) : les outils de craquage testent systématiquement ces variantes.
- Utiliser des informations personnelles (date de naissance, nom d'animal, prénom) : ces données sont facilement trouvables sur les réseaux sociaux.
- Ignorer l'authentification a deux facteurs (2FA) : même un mot de passe fort ne protège pas contre le phishing. Le 2FA ajoute une couche de sécurité indispensable.
Pour gérer efficacement vos mots de passe au quotidien, un compteur de mots vous aide a vérifier la longueur de vos passphrases, et notre convertisseur de casse facilite la mise en forme de vos identifiants techniques.
Attention au phishing
Sources et références
- NIST SP 800-63B : Digital Identity Guidelines, Authentication and Lifecycle Management.
- ANSSI : Recommandations relatives a l'authentification multifacteur et aux mots de passe (2021).
- Verizon DBIR 2024 : Data Breach Investigations Report, analyse des vecteurs d'attaque.
- W3C Web Crypto API : spécification de l'API crypto.getRandomValues().
- Bitwarden : gestionnaire de mots de passe open source recommandé.