01Pourquoi un générateur plutôt que votre imagination ?
Les humains sont de très mauvais générateurs d'aléa : nous choisissons des mots, des dates, des motifs de clavier — exactement ce que les outils de cassage essaient en premier. Un mot de passe vraiment aléatoire tiré d'un grand jeu de caractères ne peut être attaqué que par force brute, et sa résistance se mesure en bits d'entropie : chaque bit double le temps d'attaque.
Ce générateur utilise crypto.getRandomValues, le générateur cryptographique de votre navigateur — pas un pseudo-aléa prévisible. Tout se passe localement : la page ne fait aucune requête, le mot de passe n'apparaît dans aucun journal, nulle part. Vous pouvez le vérifier : coupez votre connexion, le générateur fonctionne toujours. Vérifiez ensuite qu'il n'a pas déjà fuité avec notre test de fuite.
02Comprendre les réglages
- Longueur
- Le facteur dominant : passer de 12 à 20 caractères ajoute plus de sécurité que n'importe quel symbole. Visez 16 minimum, 20+ pour un gestionnaire ou un compte critique.
- Entropie
- log2(taille du jeu) × longueur. 60 bits résistent à un attaquant amateur, 80 bits à un attaquant sérieux, 100+ bits à tout le monde pour des décennies.
- Symboles
- Ils élargissent le jeu de caractères (donc l'entropie par caractère), mais certains sites les refusent : en cas d'erreur, allongez plutôt le mot de passe.
- Ambigus
- l, 1, I, O et 0 se confondent selon les polices. À exclure seulement si vous devez recopier le mot de passe à la main — sinon gardez-les, chaque caractère compte.
- Unicité
- Un mot de passe par service, sans exception. La réutilisation transforme la moindre fuite d'un site en clé passe-partout — c'est le mode de piratage n° 1.
03Le bon réflexe : un gestionnaire de mots de passe
Le meilleur mot de passe est celui que vous ne connaissez pas : généré aléatoirement, unique par service, stocké dans un gestionnaire (Bitwarden, KeePass, 1Password, ou celui de votre navigateur). Vous ne retenez plus qu'une seule phrase de passe maîtresse — longue, mémorable, jamais réutilisée.
Complétez avec la double authentification (2FA) partout où elle existe : même un mot de passe volé devient inutilisable seul. Et si un service annonce une fuite, changez le mot de passe concerné immédiatement — notre vérificateur de fuite vous dit s'il circule déjà.
04Questions fréquentes
Ce générateur peut-il voir ou enregistrer mes mots de passe ?
Non. La génération se fait entièrement dans votre navigateur avec crypto.getRandomValues : la page ne fait aucune requête réseau pendant la génération, et le mot de passe n'est jamais transmis ni stocké. Vous pouvez le vérifier en coupant votre connexion Internet : le générateur continue de fonctionner normalement.
Quelle longueur choisir ?
16 caractères minimum pour un compte ordinaire, 20 ou plus pour un compte critique (email principal, banque, gestionnaire de mots de passe). La longueur pèse plus que la complexité : « correcthorse! » se casse plus vite qu'un aléatoire de 20 caractères, même sans symbole. Si le site limite la longueur, prenez le maximum autorisé.
Un mot de passe fort suffit-il à me protéger ?
Non : il protège contre la force brute et la devinette, pas contre le phishing (vous le tapez sur un faux site), les fuites de bases de données (le site se fait pirater), ou un clavier espion. D'où les trois compléments : un mot de passe unique par service, la double authentification, et une vérification périodique des fuites.
Une phrase de passe (passphrase) est-elle meilleure qu'un mot de passe aléatoire ?
À entropie égale, c'est équivalent — quatre à six mots tirés au hasard d'un dictionnaire (méthode diceware) donnent 50 à 80 bits tout en restant mémorisables. La phrase de passe est idéale pour ce que vous devez retenir (phrase maîtresse du gestionnaire, session d'ordinateur) ; l'aléatoire compact est idéal pour tout le reste, puisque le gestionnaire s'en souvient pour vous.
À quelle fréquence faut-il changer ses mots de passe ?
Le changement périodique imposé est une pratique abandonnée (le NIST la déconseille depuis 2017) : elle pousse aux mots de passe faibles et incrémentés. Changez un mot de passe quand il y a une raison : fuite annoncée, appareil compromis, mot de passe partagé ou réutilisé. Sinon, un mot de passe fort et unique peut vivre longtemps.