Qu’est-ce qu’un mot de passe sécurisé ?
Un bon mot de passe est long, aléatoire et unique. La longueur compte plus que la complexité : chaque caractère aléatoire supplémentaire multiplie par près de 90 le nombre de combinaisons à tester, alors qu’ajouter des symboles n’ajoute qu’un demi-bit par caractère. L’aléatoire est indispensable, car les mots de passe inventés suivent des schémas que les attaquants connaissent (« Prénom + année + ! »). Et l’unicité évite qu’une seule fuite de données ouvre tous vos comptes.
Quelle longueur choisir ?
| Usage | Recommandation | Entropie |
|---|---|---|
| Compte courant (site avec limitation des essais) | 12 caractères, tous types | ~78 bits |
| Mot de passe seul, sans autre protection (seuil CNIL) | 13 caractères tous types avec ce générateur, ou 14 en lettres et chiffres | ≥ 80 bits |
| Messagerie, banque, compte administrateur | 16 caractères ou plus | ~104 bits |
| Mot de passe maître d’un gestionnaire | Phrase de passe de 7 mots ou plus, à retenir | ≥ 77 bits |
Ces seuils reprennent la recommandation de la CNIL de 2022 (80 bits minimum lorsque le mot de passe est la seule mesure de sécurité). L’exemple de la CNIL à 12 caractères suppose un choix parmi au moins 37 caractères spéciaux ; notre générateur en propose 26, d’où 13 caractères pour franchir le seuil. Nous les détaillons dans le guide recommandations de la CNIL sur les mots de passe.
Bonnes pratiques
- Un mot de passe par compte. Si un site est piraté, vos autres comptes restent protégés.
- Utilisez un gestionnaire de mots de passe (Bitwarden, KeePassXC, 1Password, ou celui de votre navigateur) pour ne pas avoir à les retenir.
- Activez la double authentification sur la messagerie, la banque et les réseaux sociaux.
- Changez un mot de passe quand il a fuité, pas à date fixe : la CNIL et l’ANSSI ne recommandent plus le renouvellement périodique pour les comptes utilisateurs. Vérifiez s’il a été piraté.
Questions fréquentes
Ce générateur de mot de passe est-il fiable ?
Oui. Chaque caractère est tiré uniformément avec le générateur cryptographique du navigateur, et nous utilisons un échantillonnage par rejet pour qu’aucun caractère ne soit, même très légèrement, plus probable qu’un autre. La robustesse affichée est donc exacte, pas une estimation.
Le mot de passe est-il enregistré quelque part ?
Non. Il est créé dans votre navigateur et disparaît quand vous fermez la page. Ce site n’a aucun serveur qui le reçoit.
Un site refuse certains caractères spéciaux, que faire ?
Décochez « caractères spéciaux » et ajoutez 2 caractères de longueur : 14 caractères en lettres et chiffres offrent la même robustesse (environ 83 bits) que 12 caractères avec symboles.
Comment retenir un mot de passe aléatoire ?
Ne le retenez pas : confiez-le à un gestionnaire de mots de passe. Le seul à mémoriser est celui du gestionnaire, pour lequel une phrase de passe de plusieurs mots est plus pratique. Voir comment créer un mot de passe solide.