Estimez le temps nécessaire à une attaque par force brute, d’un formulaire de connexion protégé jusqu’à une base de données volée attaquée avec des centaines de cartes graphiques. Saisissez un mot de passe, ou choisissez une longueur et des caractères.
Confidentialité : tout est calculé dans votre navigateur. Rien de ce que vous saisissez n’est envoyé.
Mots de passe aléatoires avec lettres, chiffres et symboles (94 caractères), une carte graphique haut de gamme, cas moyen.
| Longueur | bits | MD5 | bcrypt |
|---|---|---|---|
| 6 | 39 | 2,2 secondes | 1,9 an |
| 8 | 52 | 5,3 heures | 16 944 ans |
| 10 | 66 | 5,3 ans | 150 millions d’années |
| 12 | 79 | 47 128 ans | pratiquement jamais |
| 14 | 92 | 416 millions d’années | pratiquement jamais |
| 16 | 105 | pratiquement jamais | pratiquement jamais |
Un mot de passe aléatoire de longueur L choisi parmi N caractères possibles peut prendre NL valeurs. En moyenne, l’attaquant le trouve après en avoir essayé la moitié : le temps attendu vaut donc NL ÷ 2 ÷ le nombre d’essais par seconde. Et c’est ce débit qui change tout :
On ne sait presque jamais comment un site stocke les mots de passe : mieux vaut prévoir le pire, une base volée et hachée avec un algorithme rapide. Un mot de passe aléatoire de 12 caractères y résiste, pas un mot de passe de 8.
La CNIL recommande au moins 80 bits d’entropie lorsqu’un mot de passe est la seule protection, par exemple 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, ou 14 caractères sans caractère spécial. L’ANSSI considère qu’un mot de passe est fort au-delà de 100 bits. Le détail est dans notre guide des recommandations CNIL.
Pour un mot de passe saisi, ce calcul mesure la taille de l’alphabet et la longueur : c’est un maximum. Les outils de craquage ne commencent pas par la force brute mais par les mots de passe déjà piratés, les dictionnaires, les prénoms et des règles du type « majuscule au début, année à la fin ». Soleil2026! semble valoir 72 bits mais tombe en quelques minutes. Seul un mot de passe issu d’un générateur aléatoire atteint vraiment la robustesse affichée.
Un mot de passe aléatoire de 8 caractères parmi 94 vaut environ 52 bits. Face à une empreinte MD5, une seule carte graphique le trouve en 5 heures environ en moyenne ; face à bcrypt, il lui faudrait environ 17 000 ans. En ligne, avec limitation des essais, il est hors de portée.
Au moins 12 caractères aléatoires pour les comptes courants, 16 ou plus pour les comptes sensibles (messagerie, banque, gestionnaire de mots de passe). Avec un gestionnaire, la longueur ne coûte rien.