Comment utiliser : Vérificateur de force des mots de passe
- Saisissez ou collez un mot de passe. Celui-ci est analysé instantanément dans votre navigateur et n'est jamais transmis à notre serveur.
- Consultez le niveau de sécurité, le nombre de combinaisons possibles et le temps estimé nécessaire pour forcer la serrure dans quatre scénarios d'attaque.
- Consultez la liste des faiblesses : mots courants, séquences telles que « 1234 » ou « qwerty », années et schémas prévisibles.
- Vous pouvez également cliquer sur « Vérifier les fuites de données » pour voir si ce mot de passe figure dans la base de données des mots de passe divulgués de « Have I Been Pwned ».
Comment mesure-t-on la robustesse d'un mot de passe ?
La force d’un mot de passe dépend du nombre de tentatives dont un pirate a besoin. Pour un mot de passe véritablement aléatoire, cela correspond à la taille de l’ensemble des caractères élevée à la puissance de la longueur : 8 lettres minuscules aléatoires donnent 26⁸ ≈ 209 milliards de possibilités, tandis que 16 caractères choisis parmi les 95 caractères imprimables donnent environ 4,4 × 10³¹ possibilités. Exprimée en bits d’entropie, chaque bit supplémentaire double la charge de travail.
Les mots de passe réels ne sont toutefois pas aléatoires. Les outils de piratage testent d’abord les mots de passe divulgués, les mots du dictionnaire, les noms, les séquences de touches et les schémas du type « mot + année + ! ». C’est pourquoi l’outil de vérification réduit l’estimation pour les mots courants, les substitutions telles que p@ssw0rd, les répétitions et les séquences — un mot de passe long construit à partir d’un modèle prévisible peut s’avérer moins sûr qu’un mot de passe aléatoire plus court.
Scénarios d’attaque
| Scénario | Tentatives par seconde | Quand cela s’applique |
|---|---|---|
| En ligne, avec limitation de débit | ~100 par heure | Connexion à un site web avec des limites de débit ou des blocages |
| En ligne, sans limitation | Environ 10 | Formulaires de connexion ou API mal protégés |
| Hors ligne, hachage lent | ~10 000 | Une base de données volée dont les données ont été hachées avec bcrypt, scrypt ou Argon2 |
| Hachage hors ligne et rapide | ~100 milliards | Une base de données volée dont les hachages MD5/SHA-1 ont été craqués sur des GPU |
La vérification de violation est-elle sécurisée ?
Oui. Elle utilise l’API de k-anonymat de Have I Been Pwned : votre navigateur effectue le hachage du mot de passe avec SHA-1 et n’envoie que les cinq premiers caractères du hachage. Le service renvoie tous les hachages divulgués commençant par ces caractères, et votre navigateur les compare localement. Ni nous, ni Have I Been Pwned ne pouvons voir le mot de passe ni le hachage complet.
Qu’est-ce qui rend réellement un mot de passe fort ?
- La longueur prime sur la complexité. Visez au moins 16 caractères aléatoires ou une phrase de passe composée de 5 à 6 mots aléatoires.
- Ne réutilisez jamais vos mots de passe. Les mots de passe compromis sont testés sur d’autres sites (« credential stuffing ») : la réutilisation constitue le plus grand risque concret.
- Utilisez un gestionnaire de mots de passe et activez l’authentification à deux facteurs pour vos comptes importants.
Créez des mots de passe et des phrases de passe robustes à l’aide du Générateur de mots de passe avancé, et calculez les possibilités de codes et de codes PIN avec le Calculateur de possibilités et de combinaisons.
Aussi recherché comme : outil de vérification de la sécurité des mots de passe, mon mot de passe est-il suffisamment sûr ?, vérificateur de mot de passe, temps nécessaire pour cracker un mot de passe, entropie du mot de passe, mon mot de passe a-t-il été piraté ?, possibilités de mots de passe, tester la robustesse d’un mot de passe.
Outils complémentaires : Vérificateur de force des mots de passe
- Hash Generator — Compute MD5 and SHA hashes of any text or file instantly, create HMAC signatures, and paste an expected checksum to verify a download.
- Générateur de nombres aléatoires — Générez des nombres aléatoires (avec ou sans doublons), sélectionnez des gagnants dans une liste, mélangez des noms, répartissez des groupes en équipes, lancez une pièce et lancez des dés — en utilisant la fonction aléatoire cryptographiquement sécurisée de votre navigateur.
- UUID Generator — Create cryptographically random UUIDs (v4) or sortable, timestamp-based UUIDs (v7) in bulk, then copy or download them.
- Markdown Table Generator — Build a table in a spreadsheet-like editor — or paste cells from Excel, Google Sheets or CSV — set column alignment and get a neatly aligned Markdown table (GitHub-flavored) or clean HTML.