Générateur de mots de passe

Entropie selon la longueur et le jeu de caractères

Ce que l’entropie signifie en pratique

• 40 bits : cassable en quelques jours avec un seul GPU aujourd’hui. Acceptable pour des comptes jetables.
• 60 bits : résiste aux attaques en ligne, mais reste vulnérable au cassage hors ligne ciblé.
• 80 bits : solide face au cassage hors ligne avec le matériel actuel.
• 100 bits : pratiquement irréaliste à casser tant que l’informatique quantique n’a pas mûri.
• 128 bits : équivaut à la force d’une clé AES-128.

Pour la plupart des comptes en ligne, 16 caractères dans le jeu complet (105 bits) suffisent largement. Les comptes bancaires, mots de passe maîtres de gestionnaire, portefeuilles crypto et chiffrement complet de disque méritent 20 caractères ou plus.

Pourquoi les classes de caractères comptent

Chaque classe ajoute des possibilités par caractère. Avec 26 minuscules, un caractère apporte log₂(26) = 4,7 bits. Ajouter les majuscules donne 52 caractères et 5,7 bits par caractère. Ajouter les chiffres donne 62 caractères et 5,95 bits. Ajouter les symboles monte à 94 caractères et 6,55 bits. Sur 16 caractères, l’écart atteint environ 30 bits, soit la différence entre “cassable” et “ça ne vaut pas l’effort”.

Quand exclure les caractères ambigus

Si le mot de passe doit être saisi depuis l’écran vers un appareil sans copier-coller, par exemple un installateur en console, certains portefeuilles matériels ou une lecture à voix haute, exclure 0, O, 1, l et I évite les erreurs de transcription. Le coût en entropie est faible, généralement 2-3 bits sur plus de 80.

Méthode avec un gestionnaire de mots de passe

1. Installez un gestionnaire de mots de passe comme Bitwarden, 1Password ou KeePass.
2. Définissez une phrase de passe maîtresse forte, composée de 6 à 8 mots aléatoires. Le générateur de phrases de passe peut vous aider.
3. Utilisez le générateur du gestionnaire pour chaque site et gardez les réglages forts par défaut.
4. Ne réutilisez jamais un mot de passe d’un site à l’autre, même pour un compte sans importance apparente.
5. Activez la 2FA partout où elle est proposée.

Les mots de passe saisis à la main devraient être rares : le mot de passe maître, le chiffrement complet du disque et éventuellement la connexion à l’ordinateur professionnel.

Ce qui n’aide pas

• Changer tous les 90 jours. La rotation forcée encourage des schémas prévisibles, comme Été2024 puis Automne2024. NIST SP 800-63B la déconseille explicitement.
• Écrire le mot de passe sur un papier dans un portefeuille. C’est mieux que réutiliser un mot de passe faible, mais moins sûr qu’un gestionnaire.
• Répondre honnêtement aux questions de sécurité. “Première école” se retrouve souvent par une recherche. Générez de fausses réponses aléatoires et stockez-les dans le gestionnaire.