Mode d’emploi

Saisissez ou collez le mot de passe dans le champ. Il est masqué par défaut ; utilisez « Afficher » pour vérifier ce que vous avez saisi.
Consultez l’indication de robustesse, les chiffres d’entropie et l’estimation approximative du temps de piratage.
Examinez les motifs détectés et suivez les conseils pour rendre le mot de passe plus difficile à deviner.

Fonctionnement

Le vérificateur commence par calculer l’entropie de l’ensemble de caractères : le nombre de caractères possibles (26 minuscules, 26 majuscules, 10 chiffres, 33 symboles ASCII, espace compris, et 100 pour tout autre caractère, comme les lettres accentuées ou les emoji) élevé à la puissance de la longueur, puis exprimé en bits selon la formule log2(ensemble) × longueur. Ce chiffre suppose que chaque caractère a été choisi au hasard, ce qui est rarement le cas pour les mots de passe que l’on crée soi-même.

Il recherche ensuite les motifs que les pirates essaient en premier et ne compte pour chaque motif trouvé que les bits nécessaires pour le deviner : une liste intégrée des 1 000 mots de passe les plus courants, environ 3 000 mots anglais fréquents et 600 prénoms courants (y compris après conversion des substitutions de type leetspeak, comme 4→a, 3→e, 0→o, $→s), les suites de touches comme qwerty et asdf, les séquences comme abc ou 4321, les caractères ou blocs répétés, les années de 1900 à 2099 et les dates comme 12/05/1990 ou 19900512. Le résultat est l’« estimation après détection des motifs ». La méthode s’inspire dans son principe de l’estimateur open source zxcvbn, mais elle est plus simple.

Le temps de piratage est calculé en supposant 10 milliards d’essais par seconde, soit à peu près ce que peuvent atteindre quelques cartes graphiques modernes contre un hash rapide non salé comme MD5 ou SHA-1 lors d’une attaque hors ligne, et en considérant qu’il faut essayer en moyenne la moitié des possibilités restantes. Les attaques en ligne contre un formulaire de connexion sont beaucoup plus lentes ; les hash lents et bien configurés le sont aussi. Considérez ce chiffre comme un ordre de grandeur, pas comme une garantie. Le vérificateur ne sait pas si votre mot de passe a figuré dans une fuite de données.

Exemples

Un mot de passe qui semble robuste à première vue

« Summer2023! » comporte 11 caractères et utilise les quatre types de caractères ; son entropie de l’ensemble de caractères est donc d’environ 72 bits. Le vérificateur repère le mot « Summer » et l’année 2023, ce qui ramène l’estimation à environ 22 bits : très faible, et devinable en moins d’une seconde lors d’une attaque hors ligne.

Le leetspeak n’y change rien

« P@55w0rd » est reconnu comme « password » avec des substitutions ; c’est l’un des mots de passe les plus courants. Il est considéré comme très faible, quel que soit le nombre de symboles qu’il contient.

Un mot de passe aléatoire

Un mot de passe de 16 caractères généré aléatoirement, comme « v7#Qm!2pXr9$Lw4z », ne présente aucun motif détectable. Son estimation correspond à celle de l’ensemble de caractères, soit environ 105 bits, ce qui est considéré comme très fort.

Foire aux questions

Puis-je saisir mon véritable mot de passe en toute sécurité ?

L’analyse s’effectue entièrement dans votre navigateur, grâce à JavaScript sur cette page. Le mot de passe n’est ni envoyé à un serveur, ni enregistré, ni inclus dans les données d’analyse. Si vous le préférez, vérifiez un mot de passe de même structure plutôt que votre véritable mot de passe.

Pourquoi mon mot de passe est-il moins robuste que ne le suggère le chiffre d’entropie ?

L’entropie de l’ensemble de caractères suppose que chaque caractère est aléatoire. Les outils de piratage essaient d’abord les mots, les noms, les dates et les motifs de clavier ; le vérificateur les considère donc comme beaucoup plus faciles à deviner. Le chiffre « estimation après détection des motifs » en tient compte.

Ce vérificateur permet-il de savoir si mon mot de passe a fuité ?

Non. Il compare uniquement le mot de passe à une liste intégrée de 1 000 mots de passe très courants et estime sa facilité à être deviné. Vérifier si un mot de passe a fuité nécessite un service distinct ; si vous en utilisez un, choisissez-en un qui ne reçoit qu’une partie du hash du mot de passe.

Quel niveau faut-il viser ?

Pour la plupart des comptes, visez un niveau « fort » (au moins 60 bits après détection des motifs). Pour le mot de passe principal d’un gestionnaire de mots de passe ou pour un compte de messagerie, visez un niveau « très fort » (au moins 80 bits), par exemple avec une phrase de passe composée de six mots aléatoires.

Pourquoi les différents indicateurs de robustesse donnent-ils des résultats différents ?

Chaque indicateur utilise ses propres listes de mots, règles de détection des motifs et hypothèses sur la vitesse des attaquants. Les indicateurs simples comptent uniquement les types de caractères, ce qui surestime la robustesse de mots de passe comme « Password1! ». Utilisez ces estimations comme des indications, pas comme des mesures exactes.

Confidentialité

Le mot de passe est analysé uniquement dans votre navigateur. Il n’est ni téléversé, ni stocké, ni enregistré dans des journaux, ni envoyé aux outils d’analyse ; seul un événement anonyme indiquant l’utilisation de l’outil est enregistré. Les listes de mots et de mots de passe courants font partie de la page : aucune recherche n’est effectuée sur le réseau.