Générer un mot de passe sécurisé
Pourquoi un mot de passe « complexe » de 8 caractères vaut moins que 16 caractères tirés au hasard, et comment régler le générateur.
Huit caractères, une majuscule, un chiffre, un symbole : c'est encore la règle par défaut d'une bonne partie des formulaires d'inscription. Un mot de passe qui respecte exactement ces contraintes pèse environ 52 bits d'entropie. Face au scénario réaliste — une base de données qui fuite, puis un attaquant qui teste les combinaisons sur ses propres machines, à l'échelle du millier de milliards d'essais par seconde — 52 bits tombent en un peu plus d'une heure, une trentaine de minutes en moyenne. Le problème n'est pas que vous choisissez mal vos mots de passe : c'est que ces règles optimisent la mauvaise variable.
La méthode qui fonctionne tient en trois décisions : tirer le mot de passe au hasard au lieu de l'inventer, le faire long plutôt que tarabiscoté, et renoncer à le mémoriser. Le générateur de mot de passe couvre le premier point ; le reste tient à des réglages et à quelques habitudes.
Ce que mesure réellement la « force » d'un mot de passe
La grandeur utile est l'entropie, en bits : longueur × log₂(taille du jeu de caractères). Chaque bit double le travail de l'attaquant.
| Jeu de caractères | Taille | Bits par caractère |
|---|---|---|
| minuscules seules | 26 | 4,70 |
| minuscules + majuscules | 52 | 5,70 |
| + chiffres | 62 | 5,95 |
| + symboles (28 signes de ponctuation) | 90 | 6,49 |
Un mot de passe de 16 caractères tirés dans les 90 signes disponibles vaut donc 16 × 6,49 ≈ 104 bits. C'est cette échelle que reprennent les paliers affichés par l'outil : en dessous de 50 bits « faible », de 50 à 75 « moyenne », de 75 à 100 « forte », au-delà « excellente ».
La formule a une condition cachée, et elle est décisive : elle ne vaut que si chaque caractère est réellement tiré au sort. Trombone2024! mélange majuscules, minuscules, chiffres et symbole, donc « 90 signes possibles » sur le papier. Mais un outil de cassage n'essaie pas toutes les combinaisons : il teste un dictionnaire de noms communs, suivis d'une année sur quatre chiffres, suivie d'une ponctuation. Quelques dizaines de millions de possibilités, soit environ 25 bits. Les règles de composition mesurent l'apparence, pas la résistance.
La longueur avant la complexité
La même formule appliquée à quelques combinaisons courantes :
- 10 caractères, jeu complet (90 signes) : 64,9 bits — moyenne.
- 12 caractères, lettres et chiffres (62 signes) : 71,5 bits — moyenne.
- 16 caractères, minuscules seules (26 signes) : 75,2 bits — forte.
- 16 caractères, jeu complet : 103,9 bits — excellente.
- 24 caractères, jeu complet : 155,8 bits — hors de portée d'une force brute.
Seize minuscules d'affilée battent dix caractères « complexes » : ajouter un caractère au jeu complet rapporte 6,49 bits, et rien n'empêche d'en ajouter dix. Élargir le jeu rapporte davantage à longueur égale — 1,8 bit par caractère en passant des minuscules au jeu complet — mais ce levier est vite épuisé : au-delà des 95 caractères ASCII imprimables, il n'y a plus rien à gagner. La longueur, elle, n'a pas de plafond. Allonger est presque toujours le meilleur investissement.
Le curseur du générateur va de 6 à 64 caractères, avec 16 par défaut. Pour tout ce qui finira dans un gestionnaire et sera collé automatiquement, montez à 20 ou 24 : la longueur ne vous coûte rien puisque vous ne taperez jamais la chaîne.
Régler le générateur selon l'usage
Exclure les caractères ambigus
L'option retire sept signes : I majuscule, l minuscule, le chiffre 1, la barre verticale, O majuscule, le chiffre 0 et o minuscule. L'œil les confond selon la police, la voix ne les distingue pas du tout. Activez-la dès qu'un humain devra lire ou dicter la chaîne : clé Wi-Fi imprimée sur une fiche, code saisi à la télécommande d'un téléviseur, identifiant transmis au téléphone. Le coût est dérisoire — 83 signes au lieu de 90, soit 6,38 bits par caractère — et un caractère de plus l'efface.
Désactiver les symboles
Certains systèmes refusent encore la ponctuation : administration de routeurs, logiciels métier anciens, formulaires qui filtrent les apostrophes par peur des injections SQL. D'autres l'acceptent mais la rendent pénible à saisir, sur le clavier virtuel d'une console de jeu ou d'une TV connectée, d'autant qu'AZERTY et QWERTY ne placent pas les mêmes signes aux mêmes endroits. Sans symboles, on retombe à 62 signes et 5,95 bits par caractère : il faut 18 caractères pour retrouver les 104 bits d'une chaîne de 16 en jeu complet. Passer le curseur à 20 règle la question sans calcul.
Le tirage lui-même
La source d'aléa compte autant que les réglages : l'outil utilise crypto.getRandomValues, le générateur cryptographique du navigateur, et rejette les valeurs qui biaiseraient la réduction à un index — un modulo naïf favorise les premiers caractères de la liste. Si cette API manque, un message le signale : générez ailleurs plutôt que d'accepter le repli.
Les pièges qui annulent le bénéfice
- La réutilisation. Un mot de passe à 120 bits employé sur dix sites vaut la sécurité du plus mal protégé des dix. C'est le seul défaut que la longueur ne corrige pas.
- Les substitutions « leet » (a → @, e → 3, o → 0). Les outils de cassage les appliquent automatiquement au dictionnaire : M0tDeP@sse ne coûte pas plus cher que motdepasse.
- La rotation forcée tous les 90 jours. Le NIST (SP 800-63B) l'a abandonnée : elle produit des variations mécaniques du type Été2025! puis Automne2025!. On change un mot de passe quand on a une raison de croire qu'il a fuité, pas au calendrier.
- Les questions secrètes. Le nom de votre premier animal est souvent public. Traitez-les comme des mots de passe : générez une chaîne aléatoire et rangez-la avec.
- Confondre encodage et protection. Une chaîne en Base64 se relit en une seconde — l'outil Base64 encodeur/décodeur le fait dans les deux sens, ce qui suffit à s'en convaincre. Un condensé SHA est bien à sens unique, mais un SHA-256 nu se casse par dictionnaire à des milliards de tentatives par seconde sur une carte graphique ; le stockage sérieux passe par des fonctions lentes et salées comme bcrypt ou Argon2, côté serveur.
Où ranger des mots de passe qu'on ne retient pas
Une chaîne de 20 caractères aléatoires n'est pas mémorisable, et c'est l'objectif. La contrepartie est un gestionnaire de mots de passe — celui du navigateur, du système, ou une application dédiée. Tout se concentre alors dans un coffre, mais le compromis reste favorable : il supprime la réutilisation, cause première des piratages en chaîne.
Un mot de passe reste à retenir : celui du coffre. Là, l'aléatoire pur devient contre-productif. Une phrase de passe de cinq à six mots tirés au sort dans une liste — la méthode diceware — donne 65 à 78 bits et s'apprend en deux jours, à condition que le tirage soit vraiment aléatoire ; une phrase que vous composez retombe dans le piège du dictionnaire. Ajoutez l'authentification à deux facteurs et imprimez les codes de récupération : perdre l'accès à son coffre est un risque aussi concret que se le faire voler.
Quand le mot de passe doit voyager
Un document confidentiel. Vous pouvez protéger un PDF par mot de passe : le chiffrement des PDF récents est solide, mais il ne vaut jamais mieux que la clé choisie — un code à six chiffres se force en quelques minutes. Générez une vraie chaîne et transmettez-la par un autre canal que le fichier : PDF par courriel, mot de passe par SMS.
Une clé Wi-Fi. Plutôt que de la dicter, encodez-la dans un QR Code de type Wi-Fi : l'outil produit une chaîne au format WIFI:T:WPA;S:nom-du-réseau;P:clé;; que les appareils Android et iOS reconnaissent nativement, avec connexion en un scan. Mais un QR code affiché en salle d'attente est lisible par tous ceux qui passent : c'est un gain de confort, pas de confidentialité.
Si le site refuse votre mot de passe
- Longueur maximale non annoncée. Beaucoup de formulaires plafonnent silencieusement à 16 ou 20 caractères. Symptôme typique : le compte se crée, mais la connexion échoue — le champ d'inscription a tronqué la chaîne, pas celui de connexion. Générez-en un plus court.
- Collage désactivé. Il faudra taper à la main : excluez les caractères ambigus et, si le clavier est exotique, coupez les symboles en allongeant.
- Caractères accentués. Évitez-les même si le champ les accepte : rien ne garantit un clavier français sur l'appareil suivant.
Le générateur, comme les autres outils texte de Convertu, s'exécute intégralement dans le navigateur : aucune chaîne ne transite par un serveur. La protection de PDF, elle, est traitée côté serveur — une conversion offerte par jour sans inscription, puis un abonnement unique à 7 € par an, les fichiers déposés étant effacés au bout d'une heure.