Générateur de mots de passe

Entropie par longueur et ensemble de caractères

Ce que signifie l’entropie en pratique

• 40 bits — craquable en quelques jours avec un seul GPU aujourd’hui. Bon pour les comptes jetables.
• 60 bits — résiste aux attaques en ligne mais vulnérable au craquage hors ligne dédié.
• 80 bits — fort contre le craquage hors ligne pour le matériel actuel.
• 100 bits — pratiquement incassable jusqu’à ce que l’informatique quantique arrive à maturité.
• 128 bits — équivaut à la force de clé AES-128.

Pour la plupart des comptes en ligne, 16 caractères de l’ensemble complet (105 bits) sont plus que suffisants. Les comptes bancaires, les mots de passe maîtres de gestionnaires, les portefeuilles crypto méritent plus de 20 caractères.

Pourquoi les classes de caractères sont importantes

Chaque classe ajoute des options par caractère. Avec 26 lettres minuscules, un caractère contribue log2(26) = 4,7 bits. Ajouter des majuscules donne 52 caractères et 5,7 bits par caractère. Ajouter des chiffres donne 62 caractères et 5,95 bits. Ajouter des symboles atteint 94 caractères et 6,55 bits. Au-delà de 16 caractères, cette différence s’accumule à ~30 bits — la différence entre “craquable” et “pas la peine d’essayer.”

Quand exclure les caractères ambigus

Si le mot de passe doit être tapé de l’écran à un appareil sans chemin de copier-coller — installateurs de console, certains portefeuilles matériels, utilisateurs âgés lisant les mots de passe à voix haute — exclure 0, O, 1, l, I évite les erreurs de transcription. Le coût en entropie est minime (2-3 bits sur 80+).

Flux de travail du gestionnaire de mots de passe

1. Installez un gestionnaire de mots de passe (Bitwarden, 1Password, KeePass).
2. Définissez une phrase de passe maître forte (6-8 mots aléatoires — voir le générateur de phrases de passe).
3. Utilisez le générateur du gestionnaire pour chaque site, en acceptant les paramètres forts par défaut.
4. Ne réutilisez jamais les mots de passe sur différents sites, même ceux “jetables”.
5. Activez la 2FA sur tout ce qui le supporte.

Les mots de passe tapés manuellement devraient être rares — uniquement pour le mot de passe maître du gestionnaire, le chiffrement de disque complet, et éventuellement votre connexion à l’ordinateur de travail.

Choses qui n’aident pas

• Changer tous les 90 jours. La rotation forcée encourage des schémas prévisibles (Été2024 → Automne2024). Le NIST SP 800-63B recommande explicitement de ne pas le faire.
• Écrire sur papier dans un portefeuille. Plus sûr que de réutiliser des mots de passe faibles, mais pire qu’un gestionnaire de mots de passe.
• Questions de sécurité avec de vraies réponses. “Première école” est à portée de recherche Google pour la plupart des gens. Générez des réponses fausses aléatoires et stockez-les dans votre gestionnaire.