Générateur de mots de passe en ligne gratuit utilisant le CSPRNG de Web Crypto pour des mots de passe aléatoires forts, des phrases de passe et des PIN. Détection de force, exclusion de caractères ambigus, export par lots. Généré localement dans le navigateur.
Math.random() est un PRNG général non conçu pour les scénarios de sécurité — son état interne peut potentiellement être rétro-conçu. crypto.getRandomValues() utilise le CSPRNG au niveau du système d'exploitation, produisant une alea imprévisible adaptée aux mots de passe et clés.
Non. Tous les mots de passe sont générés localement dans votre navigateur. L'analyse de force, le calcul d'entropie et l'estimation du temps de craquage s'exécutent côté client. L'onglet Réseau des DevTools confirme zéro requête externe.
Au moins 12 caractères avec majuscules, minuscules, chiffres et symboles. Un mot de passe aléatoire de 16 caractères prendrait des milliards d'années à craquer par force brute aux vitesses modernes. Voir le tableau des temps de craquage ci-dessus.
Par caractère, les mots de passe aléatoires ont une entropie plus élevée. Mais les phrases de passe (4-6 mots véritablement aléatoires) atteignent plus de 60 bits d'entropie et sont beaucoup plus faciles à mémoriser. La clé est une sélection de mots véritablement aléatoire, pas des phrases inventées.
Ceux-ci se ressemblent dans de nombreuses polices et causent des erreurs de saisie. Si les mots de passe sont tapés manuellement, dictés au téléphone ou imprimés, excluez-les. S'ils sont utilisés uniquement via un gestionnaire, gardez tous les caractères pour une entropie plus élevée.
Selon NIST SP 800-63B, la rotation régulière des mots de passe N'est PLUS recommandée sauf si une compromission est confirmée. La rotation forcée amène les utilisateurs à choisir des mots de passe faibles ou à les noter. Mieux : mots de passe aléatoires longs + gestionnaire + 2FA.
L'entropie mesure l'imprévisibilité en bits. Entropie = log₂(taille_du_pool ^ longueur). Un mot de passe de 16 caractères parmi 94 caractères ASCII imprimables a ~104 bits, signifiant qu'un attaquant moyenne 2¹⁰³ essais — environ 200 milliards d'années à 1 billion d'essais/sec.
Un générateur de mots de passe crée des mots de passe aléatoires et imprévisibles. Contrairement aux mots de passe choisis par l'humain, un vrai générateur utilise un Générateur de Nombres Pseudo-Aléatoires Cryptographiquement Sécurisés (CSPRNG) pour sélectionner aléatoirement des caractères dans un pool spécifié, évitant les modèles humains prévisibles (nom+anniversaire, séquences clavier comme qwerty, entreprise+année), réduisant drastiquement le risque d'attaques par dictionnaire et de bourrage d'identifiants.
**Pourquoi pas Math.random() ?** Les PRNG généraux ont un état interne qui peut être rétro-conçu à partir de petites sorties, permettant aux attaquants de prédire les futurs nombres « aléatoires ». Cet outil utilise l'API Web Crypto du navigateur — soutenue par des CSPRNG au niveau OS (getrandom Linux, SecRandomCopyBytes macOS, BCryptGenRandom Windows) qui passent les tests d'aléatoire cryptographique.
**L'entropie est au cœur de la force du mot de passe** : Entropie = log₂(N^L) bits, où N = taille du pool de caractères et L = longueur. Un mot de passe de 16 caractères parmi 94 caractères ASCII imprimables a ~104 bits — en moyenne 2¹⁰³ essais pour le craquer, soit environ 200 milliards d'années à 1 billion d'essais/sec.
**Les phrases de passe** faites de plusieurs mots choisis aléatoirement (comme Brave-Cloud-Star42) semblent « plus simples » mais atteignent plus de 60 bits quand les mots sont véritablement aléatoires — suffisant pour la plupart des scénarios, et beaucoup plus faciles à mémoriser que les mots de passe à caractères aléatoires. C'est l'approche Diceware / XKCD #936.
Tous les mots de passe sont générés localement dans votre navigateur sans aucun envoi. L'outil fournit également une détection de force : calcul d'entropie, estimation du temps de force brute et détection de modèles faibles (caractères répétés, chiffres/lettres séquentiels, correspondance de mots de passe courants).
| Longueur | Entropie(bit) | Combinaisons | Temps de craquage (1 billion/sec) | Note |
|---|---|---|---|---|
6 caractères | ~37 | ~139 milliards | < 1 seconde | ❌ Très faible |
8 caractères | ~52 | ~2.2×10¹⁴ | ~2.5 jours | ❌ Faible |
10 caractères | ~65 | ~3.7×10¹⁸ | ~116 ans | ⚠️ Moyen |
12 caractères | ~78 | ~6.1×10²² | ~1.9 million d'années | ✅ Fort |
16 caractères | ~104 | ~6.3×10³⁰ | ~200 milliards d'années | ✅✅ Très fort |
20 caractères | ~131 | ~6.7×10³⁸ | Des billions de fois l'âge de l'univers | ✅✅✅ Incassable |
| Mode | Exemple | Entropie typique | Mémorisabilité | Idéal pour |
|---|---|---|---|---|
| Mot de passe aléatoire | xK9#mP2$vL8@nQ4! | ~6.5bit/caractère | Faible | Mots de passe maîtres pour gestionnaires, mots de passe BD, clés API |
| Phrase de passe mémorisable | Brave-Cloud-Star42 | ~10bit/mot | Bonne | Mots de passe Wi-Fi, mots de passe de connexion nécessitant une saisie manuelle |
| PIN numérique | 482917 | 3.3bit/chiffre | Bonne | Écran de verrouillage, PIN de carte bancaire, codes à usage unique |