Comment construire un mot de passe qui tient vraiment la route
La plupart d'entre nous avons appris la mauvaise leçon au sujet des mots de passe. On nous a dit de remplacer un « a » par un « @ », d'ajouter un point d'exclamation et de mettre une majuscule à la première lettre, puis de considérer le tout comme sûr. Le problème, c'est que les attaquants connaissent aussi ces astuces. Un mot de passe comme « P@ssw0rd! » paraît compliqué à un humain et reste trivial pour un logiciel de cassage. Ce qui protège réellement un compte, ce n'est pas l'ingéniosité. C'est la longueur, le hasard, et la simple discipline de ne jamais réutiliser deux fois le même mot de passe.
Cette page génère des mots de passe directement dans votre navigateur. Vous choisissez la longueur et les types de caractères à inclure, et l'outil fabrique sur-le-champ une chaîne aléatoire toute fraîche. Rien de ce que vous générez n'est envoyé où que ce soit, journalisé ou stocké. Ci-dessous, voici le raisonnement derrière les réglages par défaut, et comment en tirer le meilleur parti.
La longueur et l'entropie l'emportent sur les règles de complexité
Chaque mot de passe possède une quantité mesurable d'imprévisibilité, que les spécialistes de la sécurité appellent l'entropie. Plus l'entropie est élevée, plus un attaquant doit faire de tentatives avant de tomber sur le vôtre. Deux facteurs font grimper l'entropie : le nombre de caractères possibles dans lesquels vous puisez, et le nombre de caractères que vous enchaînez. C'est la longueur qui fait le gros du travail. Ajouter un caractère de plus multiplie le nombre de combinaisons possibles, tandis qu'ajouter un type de symbole supplémentaire ne fait que le pousser un peu.
Voilà pourquoi un mot de passe aléatoire de 16 caractères composé de lettres minuscules et de chiffres est bien plus coriace qu'un mot de passe de 8 caractères bourré de symboles. Les recommandations modernes d'organismes comme la CISA et la National Cybersecurity Alliance aboutissent encore et encore au même chiffre : visez au moins 16 caractères. Plus long, c'est mieux. Si un site vous autorise à aller jusqu'à 20 caractères ou plus pour des comptes importants, faites-le. Les quelques secondes de frappe supplémentaires vous achètent des années de résistance à la force brute.
Les règles de complexité, celles qui exigent « une majuscule, un chiffre, un symbole », existent surtout pour empêcher les gens de choisir « password123 ». Elles ne rendent pas une chaîne véritablement aléatoire significativement plus solide. Un mot de passe réellement aléatoire surpasse déjà ces règles sans effort. Activez donc ici quelques types de caractères pour rester compatible avec les formulaires de connexion exigeants, puis laissez la longueur porter le poids.
Les phrases de passe : longues, aléatoires et mémorables
Il existe un cas où vous devez vraiment retenir un mot de passe vous-même : le mot de passe principal de votre gestionnaire de mots de passe, ou l'identifiant de connexion à votre ordinateur. Pour ceux-là, une phrase de passe fonctionne à merveille. Choisissez au hasard quatre à six mots sans rapport entre eux, plus c'est absurde, mieux c'est, et enchaînez-les : quelque chose comme « cuivre-lanterne-bruine-noix ». C'est long, l'entropie est abondante, et votre cerveau peut réellement la retenir.
Le mot-clé, c'est aléatoire. « Correct horse battery staple » est célèbre précisément parce que les mots n'ont aucun lien logique. Une phrase tirée de paroles de chanson ou d'une citation n'a rien d'aléatoire, car les attaquants alimentent justement leurs outils de devinette avec ces sources. Pour tout le reste, les comptes auxquels vous vous connectez quelques fois par an, vous ne devriez rien mémoriser du tout. C'est le travail d'un logiciel.
Pourquoi réutiliser ses mots de passe est le vrai danger
Voici la statistique qui devrait changer votre façon de penser : une grande part des fuites de données remonte à des identifiants réutilisés ou faibles. Le mécanisme est d'une simplicité brutale. Un site sur lequel vous vous êtes inscrit il y a des années subit une fuite et laisse échapper sa base de mots de passe. Les attaquants prennent ces paires e-mail / mot de passe et les essaient sur des banques, des messageries et des sites de commerce, automatiquement, par millions. On appelle cela le credential stuffing, et ça marche parce que tant de gens utilisent un seul mot de passe partout.
La solution, c'est un mot de passe unique pour chaque compte. Faites cela, et une fuite chez un service reste contenue à ce service. Le hic, bien sûr, c'est que personne ne peut retenir une centaine de chaînes aléatoires différentes. Et c'est exactement le problème que résolvent les gestionnaires de mots de passe.
Les gestionnaires de mots de passe et un deuxième verrou
Un gestionnaire de mots de passe génère et stocke un mot de passe aléatoire unique pour chacun de vos comptes, les remplit à votre place, et ne vous demande de retenir qu'un seul mot de passe principal. Des outils comme Bitwarden, 1Password, Proton Pass et d'autres chiffrent votre coffre de sorte que même l'entreprise qui le fait tourner ne peut pas lire vos identifiants. Vous obtenez la sécurité de longs mots de passe aléatoires sans la charge mémorielle. Pour la plupart des gens, en adopter un est la plus grande amélioration qu'ils puissent apporter à leur sécurité en ligne.
Associez-le à l'authentification à deux facteurs, souvent abrégée 2FA, sur chaque compte qui la propose. Avec la 2FA activée, un mot de passe volé seul ne suffit pas pour entrer, car l'attaquant a aussi besoin d'un code provenant de votre téléphone ou d'une clé physique. Les codes générés par une application et les clés de sécurité physiques sont plus solides que les codes par SMS, mais n'importe quel deuxième facteur vaut mieux qu'aucun. Mot de passe plus 2FA est une combinaison réellement difficile à percer.
Pourquoi générer dans le navigateur préserve la confidentialité
Lorsque cet outil construit un mot de passe, il s'exécute entièrement sur votre appareil à l'aide du générateur de nombres aléatoires cryptographique intégré à votre navigateur, le même type de source sécurisée que les systèmes d'exploitation utilisent pour leurs clés. Le résultat ne quitte jamais votre machine. Aucun appel serveur, aucune requête analytique transportant la valeur, rien d'écrit dans un journal. Vous pouvez le vérifier en ouvrant la page, en coupant votre connexion réseau, et en générant à volonté. Cela fonctionne toujours, parce que tout se passe localement.
C'est important, car un mot de passe dont vous devez confier la création à un serveur distant est un mot de passe qui a brièvement existé quelque part hors de votre contrôle. Générer localement supprime entièrement cette étape. Copiez votre nouveau mot de passe directement dans votre gestionnaire de mots de passe et le tour est joué. Pendant que vous êtes là, jetez un œil à notre collection de tous les générateurs, ou récupérez un identifiant aléatoire depuis le générateur d'UUID si vous en avez besoin pour du développement.
Foire aux questions
Quelle longueur mon mot de passe doit-il avoir ?
Visez au moins 16 caractères, et allez plus loin pour les comptes importants comme la messagerie et la banque. La longueur apporte plus de sécurité que n'importe quel mélange de symboles, alors dans le doute, faites-le plus long plutôt que plus compliqué.
Les mots de passe créés par cet outil sont-ils vraiment aléatoires ?
Oui. Ils sont construits à l'aide du générateur de nombres aléatoires cryptographiquement sûr de votre navigateur, la même source sur laquelle les systèmes d'exploitation s'appuient pour leurs clés. Chaque clic produit un résultat frais et indépendant, sans motif prévisible.
Est-il sûr de générer des mots de passe dans un navigateur web ?
Oui, tant que la génération se fait localement. Cet outil s'exécute entièrement sur votre appareil et n'envoie jamais le mot de passe à un serveur. Vous pouvez vous déconnecter d'Internet et il fonctionne toujours, ce qui prouve que rien n'est transmis.
Dois-je utiliser une phrase de passe ou un mot de passe aléatoire ?
Utilisez un long mot de passe aléatoire pour les comptes que vous stockez dans un gestionnaire de mots de passe, puisque vous n'avez pas besoin de les mémoriser. Utilisez une phrase de passe mémorable composée de plusieurs mots aléatoires sans rapport pour les rares connexions que vous devez taper de mémoire, comme votre mot de passe principal.
Pourquoi réutiliser le même mot de passe est-il si risqué ?
Si un site subit une fuite, les attaquants prennent le mot de passe divulgué et l'essaient automatiquement sur vos autres comptes. Un mot de passe unique par compte empêche une seule fuite de se propager. C'est la principale raison d'être des gestionnaires de mots de passe.
Ai-je encore besoin de l'authentification à deux facteurs ?
Oui. Un mot de passe unique et robuste protège contre la devinette et le credential stuffing, mais la 2FA ajoute un deuxième verrou de sorte qu'un mot de passe volé seul ne puisse pas déverrouiller votre compte. Activez-la partout où elle est proposée, idéalement avec une application ou une clé physique plutôt que des SMS.