Vérificateur de Robustesse de Mot de Passe

L'entropie mesure le degré d'imprévisibilité d'un mot de passe, exprimé en bits, chaque bit supplémentaire doublant le nombre de tentatives qu'un attaquant doit effectuer. Ce vérificateur la calcule comme la longueur multipliée par le logarithme en base 2 de la taille du jeu de caractères. Ce jeu s'élargit avec chaque type de caractère inclus : 26 pour les minuscules, 26 pour les majuscules, 10 pour les chiffres et 32 pour les symboles, si bien qu'un mot de passe mêlant majuscules, minuscules, chiffres et symboles puise dans un jeu de 94 caractères. Cela signifie qu'un mot de passe plus long ajoute bien plus d'entropie que le simple ajout d'un symbole, car la longueur multiplie l'exposant de l'ensemble du jeu. L'estimation est volontairement plafonnée à un niveau bas lorsque votre mot de passe correspond à un classique bien connu ou repose sur un motif prévisible, car ces mots de passe tombent face à une liste de mots quel que soit leur nombre théorique de bits. Tapez un mot de passe ci-dessus pour voir son entropie exacte en bits.

La rapidité avec laquelle un mot de passe cède dépend entièrement de la méthode d'attaque utilisée, c'est pourquoi cet outil affiche des temps de cassage estimés selon six scénarios réalistes plutôt qu'un seul chiffre. Une connexion en ligne limitée n'autorise qu'environ 100 tentatives par seconde, un point d'accès sans limitation environ 10 000, et bcrypt au coût 12 reste volontairement lent, autour de 10 000 également. Mais si une base de données ayant fuité stockait votre mot de passe avec un hachage rapide, les calculs changent radicalement : SHA-256 permet environ 10 milliards de tentatives par seconde, MD5 environ 100 milliards, et un cluster de GPU attaquant du NTLM jusqu'à 100 000 milliards. Le même mot de passe qui résisterait des siècles face à un formulaire limité peut tomber en quelques secondes dès qu'un hachage faible et non salé fuite. Cet écart explique précisément pourquoi la longueur et le caractère aléatoire comptent plus qu'une seule substitution astucieuse. Saisissez un candidat ci-dessus pour comparer les six scénarios côte à côte.

En général oui, et la raison tient à l'entropie. Comme le caractère aléatoire augmente avec la longueur, quatre ou cinq mots aléatoires sans lien entre eux produisent généralement plus de bits qu'une chaîne de huit caractères truffée de symboles, tout en restant bien plus facile à mémoriser. Un mot de passe court offre aussi moins de positions à explorer pour un attaquant, si bien qu'ajouter un symbole change à peine la donne comparé à l'ajout de plusieurs caractères. Le piège est que les mots doivent être véritablement aléatoires et sans lien logique ; une citation célèbre ou une phrase prévisible figure déjà dans les listes de mots utilisées pour le cassage. Cet outil intègre un générateur de phrases de passe où vous définissez le nombre de mots et le séparateur, ainsi qu'une vue de comparaison côte à côte pour opposer une phrase de passe à un mot de passe truffé de symboles sur la force, l'entropie et le temps de cassage. Générez les deux ci-dessus et observez la phrase de passe la plus longue l'emporter généralement.

Ces substitutions sont appelées « langage leet », et les attaquants les anticipent. Les listes de mots utilisées pour le cassage appliquent automatiquement des substitutions courantes comme @ pour a, 0 pour o, 3 pour e et 1 pour i, puis testent les versions transformées de chaque mot du dictionnaire et de chaque mot de passe connu. Ainsi, transformer « password » en « p@ssw0rd » ne crée rien de nouveau : cela produit une chaîne qu'une liste de mots génère déjà, ce qui explique pourquoi ce vérificateur la considère comme prévisible et maintient le score de force à un niveau bas. La même logique s'applique aux enchaînements de touches du clavier comme qwerty ou asdf, aux caractères répétés comme aaa ou 111, et aux séquences simples. La véritable solidité vient de la longueur et d'un caractère aléatoire authentique, pas du camouflage d'un mot courant. Tapez votre mot de passe ci-dessus et la liste de critères signalera les substitutions, répétitions et séquences afin que vous voyiez exactement ce qui l'affaiblit.

Une vérification de fuite indique si un mot de passe est déjà apparu dans une fuite de données connue, ce qui compte car les attaquants intègrent les identifiants divulgués dès leur première série de tentatives. La méthode sûre repose sur une technique appelée k-anonymat : votre mot de passe est haché localement, et seuls les premiers caractères de ce hachage sont envoyés au service de vérification, qui renvoie tous les hachages divulgués partageant ce préfixe. Votre navigateur termine ensuite la comparaison hors ligne, si bien que le mot de passe complet ne quitte jamais votre appareil. Cet outil renvoie vers HaveIBeenPwned, qui utilise exactement cette recherche par plage de hachage partiel, gardant la vérification privée. Un mot de passe peut obtenir un bon score en longueur et en entropie tout en restant dangereux simplement parce qu'il a été réutilisé et déjà exposé ailleurs. Évaluez d'abord votre mot de passe ici, puis suivez le lien de vérification de fuite pour confirmer qu'il n'a pas déjà été divulgué.