Outil gratuit
Générateur de mot de passe et de phrase de passe
Une suite aléatoire pour votre gestionnaire, ou une phrase de passe en français que vous pourrez réellement retenir. L'entropie réelle est affichée en bits, à la place de l'habituelle barre de couleur.
Mots tirés au hasard dans une liste de 890 mots français courants, sans accent.
Ce qui compte vraiment
Les règles qui comptent vraiment
Un mot de passe différent par service. C'est la règle la plus importante, et de loin celle qu'on néglige le plus. Les fuites de bases de données sont massives et permanentes : quand un site que vous aviez oublié se fait vider, la première chose que font les attaquants est d'essayer le même couple adresse et mot de passe sur votre messagerie et votre banque. Le meilleur des mots de passe, s'il est réutilisé, ne vaut jamais mieux que le site le plus mal protégé où vous l'avez tapé.
Un gestionnaire de mots de passe. Personne ne retient quarante suites aléatoires, et personne ne vous le demande. Vous n'avez qu'un seul mot de passe à mémoriser, celui du gestionnaire : c'est pour celui-là que la phrase de passe est faite. Le reste, la machine s'en souvient à votre place. Elle le remplit aussi sans jamais se tromper de site, ce qui vous protège au passage de bon nombre de tentatives d'hameçonnage.
La double authentification là où ça compte. Messagerie, banque, hébergeur, nom de domaine. Un second facteur transforme une fuite de mot de passe en simple contrariété. Privilégiez une application d'authentification ou une clé physique : le code par SMS reste vulnérable au détournement de numéro.
Ce qu'on vous a mal appris
Changer de mot de passe tous les trois mois n'a plus cours. Cette règle a été retirée des référentiels de l'ANSSI comme du NIST : elle produit surtout des variations prévisibles, du type Printemps2026! puis Ete2026!. On change un mot de passe quand on a une raison de croire qu'il a fuité.
Les substitutions rusées ne rusent personne. Remplacer un « a » par un « @ » et un « e » par un « 3 » est la première chose que teste un logiciel de cassage. P@ssw0rd! tombe en une fraction de seconde : sa complexité apparente n'a aucun rapport avec sa résistance réelle.
La longueur bat la complexité. Ajouter un caractère à un mot de passe aléatoire multiplie l'effort de l'attaquant par la taille de l'alphabet. Ajouter un symbole exotique à un mot de passe court ne change presque rien. C'est pourquoi la valeur affichée ici est l'entropie : elle mesure le procédé de tirage, pas l'apparence du résultat.
Comment lire le temps de cassage
L'estimation affichée suppose une attaque hors ligne, menée par quelqu'un qui a récupéré la base d'un site et dispose de matériel spécialisé, à raison de mille milliards d'essais par seconde. C'est l'hypothèse défavorable, et donc la bonne pour décider. Face à un simple formulaire de connexion qui limite les tentatives, l'attaque est des milliards de fois plus lente. Seulement voilà : vous n'avez aucun moyen de savoir comment le site que vous utilisez stocke votre mot de passe.
Questions fréquentes
Questions sur les mots de passe
Le mot de passe généré est-il envoyé quelque part ?
Non. Le tirage utilise le générateur cryptographique du navigateur, dans votre ordinateur. Aucune requête n'est émise, rien n'est enregistré ni conservé. Vous pouvez couper votre connexion après le chargement de la page : l'outil continue de fonctionner.
Qu'est-ce que l'entropie d'un mot de passe ?
L'entropie mesure en bits le nombre de possibilités qu'un attaquant devrait parcourir. Chaque bit double ce nombre. En dessous de 45 bits, un mot de passe tombe en quelques heures face à une attaque hors ligne ; au-delà de 80 bits, il cesse d'être le maillon faible. C'est une mesure du procédé de génération, pas de l'apparence du résultat.
Faut-il changer ses mots de passe régulièrement ?
Non, cette pratique est abandonnée par les référentiels de sécurité actuels, dont ceux de l'ANSSI et du NIST. Le changement forcé pousse à des variations prévisibles du type Motdepasse1, Motdepasse2. Un mot de passe long, unique à chaque service et stocké dans un gestionnaire ne se change qu'en cas de fuite avérée.
Une phrase de passe est-elle plus sûre qu'un mot de passe complexe ?
À entropie égale, les deux se valent : ce qui compte est le nombre de possibilités, pas l'aspect du résultat. La phrase de passe a l'avantage d'être mémorisable et facile à retaper, ce qui la rend préférable pour les rares mots de passe que vous devez retenir, comme celui de votre gestionnaire. Pour tous les autres, une suite aléatoire stockée dans le gestionnaire convient mieux.
Des mots de passe partagés dans un fichier Excel ?
C'est encore la norme dans beaucoup d'entreprises. Mettre en place un gestionnaire d'équipe, cloisonner les accès et activer la double authentification prend moins de temps qu'on ne le croit.