Agent IA Générateur de Mots de Passe

Générer un mot de passe sécurisé en un clic, sans rien installer

Cet outil crée pour vous, instantanément, un mot de passe sécurisé ou une phrase de passe imprévisible. Tout est calculé dans votre navigateur, à partir d'une source d'aléa cryptographique : rien n'est transmis sur le réseau, rien n'est enregistré sur un serveur. Une fois l'onglet fermé, il ne reste aucune trace du secret généré. C'est exactement le principe que la CNIL applique à son propre générateur : « Aucun mot de passe n'est récupéré par le site de la CNIL ».

Pour obtenir un résultat réellement robuste, trois réglages comptent :

• La longueur : visez 12 caractères minimum pour un compte courant, 16 et plus pour les comptes sensibles.
• La variété des caractères : minuscules, majuscules, chiffres et symboles (!@#$%).
• L'unicité : un mot de passe différent pour chaque service, jamais réutilisé.

Le générateur copie le résultat en un clic et le régénère autant de fois que vous voulez. Pour les comptes les plus importants (e-mail principal, banque, gestionnaire de mots de passe), ajoutez toujours la double authentification.

Mot de passe aléatoire ou phrase de passe : lequel choisir

Les deux formats peuvent être très sûrs. Le bon choix dépend surtout d'une question : devrez-vous le retenir de tête, ou sera-t-il stocké dans un gestionnaire ?

Critère	Mot de passe aléatoire (16 car.)	Phrase de passe (4 à 7 mots)
Robustesse	Très élevée, format compact	Très élevée, mais plus longue
Mémorisation	Difficile (gestionnaire requis)	Plus facile pour un humain
Saisie au clavier	Pénible	Plus aisée
Usage idéal	Comptes stockés dans un coffre-fort	Mot de passe maître, code à retenir

Une phrase de passe ressemble à cheval-fenetre-orage-bambou : des mots tirés au hasard et sans lien entre eux, reliés par un séparateur. La CNIL situe une phrase de 7 mots aléatoires au même niveau de sécurité (≈ 80 bits d'entropie) qu'un mot de passe de 12 caractères mêlant tous les types. L'ANSSI le confirme : « À entropie égale, les phrases de passe sont souvent bien plus longues que les mots de passe classiques, mais aussi pour certains utilisateurs plus simples à mémoriser. »

Règle d'or pour une phrase de passe efficace : choisissez des mots vraiment aléatoires (pas une citation connue), évitez toute information personnelle, et insérez un caractère séparateur entre chaque mot.

Ce qui rend un mot de passe vraiment robuste : la longueur avant tout

La solidité d'un mot de passe se mesure par son entropie, exprimée en bits : c'est son degré d'imprévisibilité, c'est-à-dire le nombre de combinaisons qu'un attaquant devrait tester pour le retrouver. Elle se calcule simplement :

Entropie (bits) = Longueur × log2(taille du jeu de caractères)

Chaque type de caractère ajouté augmente le nombre de bits gagnés à chaque position :

Jeu de caractères	Possibilités	Bits par caractère
Chiffres seuls	10	≈ 3,3
Minuscules seules	26	≈ 4,7
Minuscules + majuscules	52	≈ 5,7
Alphanumérique	62	≈ 5,95
+ caractères spéciaux	≈ 90	≈ 6,5

Concrètement, un mot de passe de 8 caractères tous types n'atteint qu'environ 52 bits, alors qu'un mot de passe de 16 caractères tous types dépasse 100 bits. Le saut est énorme parce que l'entropie croît de façon exponentielle avec la longueur. C'est le principe que martèle l'ANSSI : « Il est souvent plus efficace d'allonger un mot de passe que de chercher à le rendre plus complexe. » Ajouter des caractères pèse davantage qu'ajouter des symboles compliqués.

Quelle longueur recommandée selon l'ANSSI et la CNIL

Les deux autorités françaises de référence convergent : la longueur prime, et le seuil de sécurité dépend de la sensibilité du compte.

L'ANSSI (guide PG-078) recommande, pour un jeu de 90 caractères :

Sensibilité du compte	Longueur minimale	Entropie visée
Faible à moyen	9 à 11 caractères	≈ 65 bits
Moyen à fort	12 à 14 caractères	≈ 85 bits
Fort à très fort	au moins 15 caractères	≥ 100 bits

La CNIL (recommandation de 2022) raisonne en entropie minimale et propose trois politiques équivalentes pour atteindre 80 bits sur un compte protégé par mot de passe seul :

• 12 caractères mêlant majuscules, minuscules, chiffres et symboles ;
• 14 caractères sans symboles obligatoires ;
• 7 mots pour une phrase de passe.

En pratique, retenez trois repères : 12 caractères tous types pour un compte ordinaire, 16 caractères ou plus plus la 2FA pour vos comptes sensibles, et au-delà de 20 caractères pour un secret que vous n'avez pas à mémoriser car il vit dans un gestionnaire. À noter : l'ANSSI déconseille d'imposer une longueur maximale basse, qui empêcherait l'usage de phrases de passe.

Combien de temps pour cracker un mot de passe

Le « temps de cassage » est une estimation mathématique, pas une prédiction certaine. On le déduit de l'entropie et d'une hypothèse de vitesse d'attaque par force brute :

Temps moyen ≈ (2^entropie ÷ 2) ÷ (essais par seconde)

On divise par deux parce qu'en moyenne le bon mot de passe est trouvé à mi-chemin de l'exploration. Voici des ordres de grandeur illustratifs, pour une attaque hors ligne :

Mot de passe	Entropie ≈	Résistance indicative
Code PIN à 4 chiffres	≈ 13 bits	instantané
8 minuscules	≈ 38 bits	quelques secondes à minutes
8 caractères tous types	≈ 52 bits	quelques heures à jours
12 caractères tous types	≈ 78 bits	des dizaines de milliers d'années
16 caractères tous types	≈ 104 bits	hors de portée pratique

Deux nuances importantes. D'abord, la vitesse réelle d'une attaque dépend de la fonction de hachage du site : une fonction lente et salée (Argon2, bcrypt, scrypt) ralentit massivement l'attaquant. Ensuite, la plupart des comptes ne tombent pas par force brute mais par réutilisation de mots de passe, phishing et fuites de données. D'où l'importance décisive de l'unicité et de la double authentification, bien au-delà de la seule longueur.

Pourquoi la génération locale protège votre vie privée

Un générateur de mot de passe sécurisé n'a aucune raison d'envoyer quoi que ce soit sur Internet. Le nôtre fonctionne 100 % côté client :

• Aucun transit réseau : le secret est calculé sur votre appareil avec un générateur d'aléa cryptographique du navigateur.
• Aucun stockage serveur : rien n'est enregistré côté éditeur, le mot de passe n'existe que le temps de l'affichage.
• Aucune base à voler : même si le site hébergeant l'outil était piraté, il n'existe aucune collection de mots de passe générés à dérober.

À l'inverse, un service qui transmettrait vos mots de passe à un serveur créerait un point de fuite permanent. C'est pourquoi il faut toujours privilégier un outil entièrement local, comme le font les générateurs de référence (CNIL, gestionnaires reconnus).

Sept bonnes pratiques pour protéger vos comptes

1. Un mot de passe unique par compte. Si un site fuit, un secret réutilisé expose tous vos autres accès : c'est l'attaque par « credential stuffing ».
2. Privilégiez la longueur. 12 caractères au minimum, 16 et plus pour les comptes sensibles ; allonger vaut mieux que compliquer.
3. Activez la double authentification (2FA). L'ANSSI la place en première recommandation. Préférez une application d'authentification ou une clé physique au SMS, vulnérable au SIM swapping.
4. Utilisez un gestionnaire de mots de passe. Ce coffre-fort génère et stocke un secret unique par service derrière un seul mot de passe maître très fort.
5. Ne changez plus vos mots de passe « par routine ». CNIL et ANSSI ont abandonné le renouvellement périodique systématique, qui pousse à des variantes prévisibles. On change un mot de passe en cas de suspicion de fuite.
6. Bannissez toute information personnelle (prénom, date de naissance, nom d'un animal) : ces éléments se devinent par ingénierie sociale.
7. Surveillez les fuites. Vérifiez si votre adresse e-mail apparaît dans des fuites connues et changez aussitôt les mots de passe concernés.

Les erreurs qui affaiblissent un mot de passe

Même long, un mot de passe peut rester fragile s'il suit un schéma connu des attaquants :

• Substitutions prévisibles : p@ssw0rd, M0tDeP@sse. L'ANSSI rappelle que remplacer a par @ ou o par 0 « n'apporte en pratique qu'assez peu de sécurité » : ces règles sont déjà dans les dictionnaires d'attaque.
• Suites et motifs clavier : 1234, azerty, 0000, abcd.
• Ajout cosmétique : une majuscule au début et un chiffre à la fin, type Soleil1, est un schéma archi-connu.
• Mots du dictionnaire seuls ou citation célèbre utilisée comme phrase de passe.
• Informations personnelles : prénom, ville, date, équipe favorite.
• Mot de passe trop court (8 caractères ou moins), même « compliqué ».
• Partage par e-mail ou SMS, ou stockage en clair dans un fichier non chiffré.

En évitant ces pièges et en laissant l'outil tirer un secret réellement aléatoire, vous obtenez en quelques secondes un mot de passe que ni un dictionnaire ni la force brute ne peuvent atteindre dans un délai réaliste.