Générateur de mots de passe et de phrases de passe

Un générateur de mots de passe qui tourne sur un serveur a un problème évident : le serveur connaît le mot de passe qu'il vient de vous donner. Celui-ci utilise crypto.getRandomValues, la source aléatoire cryptographiquement sûre du navigateur, entièrement dans la page. Rien n'est transmis, rien n'est journalisé, et rien n'est conservé après la fermeture de l'onglet.

Deux modes, parce que la bonne réponse dépend de l'usage. Pour les cent comptes que gère votre gestionnaire, prenez de longs caractères aléatoires : vous ne les taperez jamais. Pour les trois ou quatre que vous devez taper de mémoire (le mot de passe maître du gestionnaire, la session de votre ordinateur, la sauvegarde du téléphone), prenez une phrase de passe : plusieurs mots tirés au hasard se retiennent bien plus facilement et, à cinq ou six mots, résistent mieux que la plupart des mots de passe que les gens choisissent réellement.

Comment utiliser cet outil

1. Choisissez caractères aléatoires ou phrase de passe, selon que vous aurez à la taper à la main.
2. Pour des caractères aléatoires, fixez la longueur — vingt est une valeur raisonnable — et cochez les jeux de caractères à inclure.
3. Laissez les caractères ambigus exclus si vous risquez de lire le mot de passe à voix haute ou de le recopier depuis un écran : cela retire les paires trompeuses comme 0/O et 1/l/I.
4. Pour une phrase de passe, choisissez le nombre de mots. Cinq mots est le minimum raisonnable pour quoi que ce soit d'important.
5. Regardez l'entropie indiquée sous le résultat. Elle compte le nombre de bits aléatoires, une mesure bien plus fiable qu'une barre de robustesse colorée.
6. Copiez-le directement dans votre gestionnaire de mots de passe, ou générez un lot si vous créez beaucoup de comptes d'un coup.

Exemple concret

Cas d'usage courants

• Nouveaux comptes enregistrés dans un gestionnaire de mots de passe
• Un mot de passe maître ou une session à taper de mémoire
• Clés Wi-Fi que des gens liront sur une carte
• Identifiants de base de données et de services lors d'une installation
• Mots de passe temporaires remis à quelqu'un d'autre
• Phrases de récupération et codes de secours à noter sur papier

Erreurs fréquentes

• Remplacer des lettres dans un mot — M0tdep@sse ! n'est pas solide. Les outils de cassage appliquent automatiquement toutes les substitutions courantes ; le motif est aussi prévisible que le mot.
• Choisir les mots soi-même — Une phrase de passe ne vaut que si les mots sont tirés au hasard. Les mots que vous choisissez suivent les habitudes de votre propre vocabulaire et sont nettement plus faibles.
• Ajouter de la complexité au lieu de la longueur — Un caractère de plus apporte beaucoup plus de robustesse que quelques symboles saupoudrés. La longueur est la variable qui compte le plus.
• Réutiliser un mot de passe solide — La robustesse ne survit pas à la réutilisation. Une seule fuite sur un site expose tous les comptes qui le partagent — c'est tout l'argument du gestionnaire de mots de passe.

Questions fréquentes

Le mot de passe est-il envoyé quelque part ?

Non. Il est généré dans votre navigateur avec crypto.getRandomValues et affiché sur la page. Aucune requête, aucune journalisation, aucun stockage. Fermez l'onglet et il disparaît.

À quel point est-ce vraiment aléatoire ?

crypto.getRandomValues est le générateur de nombres aléatoires cryptographiquement sûr du navigateur, alimenté par le système d'exploitation. C'est la même source que celle utilisée pour du vrai matériel de clé cryptographique, et elle n'a rien à voir avec Math.random, qui ne convient pas aux secrets.

Que signifie le chiffre d'entropie ?

C'est le nombre de bits aléatoires : chaque bit supplémentaire double le nombre de mots de passe possibles. En dessous de 40 bits c'est faible, 60 est correct pour des comptes sans enjeu, et 80 ou plus convient à tout ce qui compte. La valeur est calculée d'après les réglages du générateur, elle reflète donc un vrai aléa plutôt qu'une estimation de motifs.

Les phrases de passe sont-elles vraiment aussi solides que des mots de passe aléatoires ?

Elles peuvent l'être, si les mots sont aléatoires et assez nombreux. Cinq mots de cette liste font environ 64 bits, six environ 77. L'avantage, c'est que les gens utilisent réellement une phrase solide au lieu de la raccourcir.

Faut-il inclure des symboles ?

Ils aident un peu, et certains systèmes les imposent. Mais passer de 16 à 20 caractères apporte plus de robustesse que d'ajouter des symboles à un mot de passe de 16. Si un site refuse les symboles, allongez-le simplement.

Puis-je en générer plusieurs d'un coup ?

Oui — indiquez un nombre et utilisez le bouton de génération en lot. Ils sont produits avec les mêmes réglages et la même source aléatoire.

Dernière mise à jour 2026-09-15