Testeur de force de mot de passe
Analysez la robustesse d'un mot de passe directement dans votre navigateur : estimation de l'entropie, détection de motifs faibles et estimation du temps de cassage. Aucune donnée n'est envoyée ni stockée.
Attaque hors-ligne à ~10 milliards d'essais/seconde.
- ⬜Au moins 12 caractères
- ⬜Contient des minuscules
- ⬜Contient des majuscules
- ⬜Contient des chiffres
- ⬜Contient des symboles
- ✅Aucun motif faible détecté
Bonnes pratiques
- Visez au moins 12 à 16 caractères, la longueur est le facteur le plus important.
- Mélangez minuscules, majuscules, chiffres et symboles.
- Évitez les motifs prévisibles : suites clavier, répétitions, dates de naissance, mots courants.
- Utilisez un gestionnaire de mots de passe et un mot de passe différent par site.
- Activez la double authentification (2FA) dès que possible.
Questions fréquentes
Mon mot de passe est-il envoyé sur un serveur ?
Non. L'analyse est intégralement réalisée dans votre navigateur, en JavaScript côté client. Aucun appel réseau n'est effectué et aucun mot de passe n'est stocké ou transmis, même à Outil du Jour.
Qu'est-ce que l'entropie d'un mot de passe ?
L'entropie mesure, en bits, le nombre de combinaisons possibles pour un mot de passe donné. Elle se calcule approximativement par longueur × log2(taille de l'alphabet utilisé). Plus l'entropie est élevée, plus le mot de passe est difficile à deviner par force brute.
Combien de temps faut-il pour deviner mon mot de passe ?
Nous estimons ce temps en supposant un attaquant hors-ligne capable de tester environ 10 milliards de combinaisons par seconde (ordre de grandeur réaliste avec des GPU récents contre un hash mal protégé). Ce n'est qu'une estimation : la durée réelle dépend fortement de la façon dont le mot de passe est stocké et protégé (hachage, salage, etc.).
Quels sont les critères d'un mot de passe fort ?
Une longueur d'au moins 12 caractères (16+ recommandé), un mélange de minuscules, majuscules, chiffres et symboles, et l'absence de motifs prévisibles (suites clavier, répétitions, dates, mots courants comme « password » ou « soleil »).
Ce testeur remplace-t-il un gestionnaire de mots de passe ?
Non, il le complète. Utilisez cet outil pour évaluer la robustesse d'un mot de passe, puis stockez-le dans un gestionnaire de mots de passe et activez la double authentification (2FA) quand c'est possible.
Comment un mot de passe est-il réellement attaqué ?
Un attaquant qui cherche à deviner un mot de passe dispose de plusieurs méthodes, avec des niveaux d'efficacité très différents. L'attaque par force brute consiste à essayer systématiquement toutes les combinaisons possibles de caractères, dans l'ordre, jusqu'à tomber sur la bonne : elle finit toujours par réussir en théorie, mais son temps d'exécution croît de façon exponentielle avec la longueur du mot de passe, ce qui la rend rapidement impraticable pour un mot de passe suffisamment long. L'attaque par dictionnaire est plus maligne : au lieu d'essayer toutes les combinaisons, elle teste en priorité des mots réels, des expressions courantes, des noms propres et leurs variantes évidentes (majuscule initiale, chiffre final, substitution de lettres par des symboles similaires) — une stratégie redoutablement efficace car la plupart des mots de passe humains suivent des schémas prévisibles.
Le credential stuffing, enfin, ne devine rien du tout : il réutilise des combinaisons identifiant/mot de passe volées lors de fuites de données sur d'autres sites, en pariant qu'une partie des utilisateurs réemploie le même mot de passe partout. C'est aujourd'hui l'une des méthodes les plus efficaces pour un attaquant, précisément parce qu'elle contourne le problème de la complexité du mot de passe : même un mot de passe très robuste ne protège pas contre le credential stuffing s'il est réutilisé sur un site qui a subi une fuite. D'où l'importance d'utiliser un mot de passe différent pour chaque service, avec l'aide d'un gestionnaire de mots de passe.
Pourquoi la longueur compte plus que la complexité artificielle
Longtemps, la recommandation standard a été d'imposer une majuscule, un chiffre et un symbole dans un mot de passe relativement court. Le problème est que ce type de contrainte pousse beaucoup d'utilisateurs vers des solutions prévisibles (un « A » majuscule au début, un « ! » à la fin, un « 1 » à la place d'un « i »), des motifs déjà bien connus des dictionnaires d'attaque. À l'inverse, ajouter des caractères supplémentaires au mot de passe, même simples, augmente le nombre de combinaisons possibles de façon bien plus radicale : chaque caractère ajouté multiplie l'espace de recherche par la taille de l'alphabet utilisé, alors qu'ajouter un symbole à un mot de passe déjà court ne fait qu'une multiplication ponctuelle. C'est pourquoi une phrase de passe assez longue, même composée de mots simples, est aujourd'hui souvent recommandée comme plus robuste qu'un mot de passe court truffé de symboles.
L'entropie, expliquée simplement
L'entropie d'un mot de passe est une mesure, exprimée en bits, de son imprévisibilité : plus elle est élevée, plus il faudrait en moyenne d'essais à un attaquant pour le retrouver par force brute. Chaque bit supplémentaire double le nombre de combinaisons à tester : un mot de passe de 20 bits d'entropie est deux fois plus difficile à deviner par force brute qu'un mot de passe de 19 bits. En pratique, l'entropie dépend de deux facteurs : la taille de l'alphabet utilisé (minuscules seules, ou minuscules + majuscules + chiffres + symboles) et la longueur du mot de passe. C'est une mesure théorique utile pour comparer des mots de passe entre eux, mais elle suppose que les caractères sont choisis au hasard : un mot de passe long mais basé sur un mot du dictionnaire aura une entropie théorique élevée tout en restant vulnérable à une attaque par dictionnaire qui teste directement ce mot.