Vérificateur de force de mot de passe
Combien de temps il tiendrait vraiment.
Les exemples remplacent temporairement la saisie et les réglages. Vous pouvez rétablir votre travail précédent.
0 caractères
Résultat
Collez ou saisissez du texte ci-dessus pour voir le résultat ici.
Vos fichiers restent sur votre appareil
Cet outil fonctionne entièrement dans votre navigateur. Ce que vous collez est traité sur votre appareil et n’est jamais envoyé à un serveur : vous pouvez l’utiliser sans crainte avec des jetons, des clés et des textes non publiés.
Exemple
Exemple : azertyuiop, Marseille13! et quatre mots tirés au hasard, comparés
Une famille vérifie les mots de passe qu’elle utilise, un par ligne : « azertyuiop », « azerty123 », « Doudou1985 », « Marseille13! », « j3T@k8Rz » et « tartine-velo-nuage-crayon ». Dans la sortie, chacun est masqué sauf ses deux premiers caractères.
- azertyuiop n’est qu’une rangée du clavier français : 2^12 essais, « très faible ». azerty123 figure sur les listes de mots de passe fuités : 2^4, il est essayé en premier.
- Marseille13! compte 12 caractères sur un alphabet de 95 signes, mais Marseille est sur les listes de fuites : avec des chiffres et un symbole ajoutés, il tombe à 2^14.
- Doudou1985 aussi tombe à 2^14, avec en plus l’avertissement « contient quelque chose qui ressemble à une année ».
- j3T@k8Rz est plus court mais aléatoire : 2^53 essais, environ 5,2 jours hors ligne, contre « instantanément » pour les précédents. Les quatre mots avec tirets : 25 caractères, 2^147 essais.
| Mot de passe | Caractères | Essais | Verdict | Avertissement |
|---|---|---|---|---|
| azertyuiop | 10 | 2^12 | très faible | suite de touches du clavier |
| azerty123 | 9 | 2^4 | très faible | liste de fuites ; un mot suivi de chiffres |
| Doudou1985 | 10 | 2^14 | très faible | année ; mot des listes de fuites ; majuscule, mot, chiffres |
| Marseille13! | 12 | 2^14 | très faible | mot des listes de fuites ; majuscule, mot, chiffres |
| j3T@k8Rz | 8 | 2^53 | correct | – |
| tartine-velo-nuage-crayon | 25 | 2^147 | très fort | – |
En tête de la sortie : 6 vérifiés, le plus faible « très faible ». Sa longueur ne sauve pas Marseille13!, le court j3T@k8Rz tient des jours, et les quatre mots sont à la fois les plus forts et les plus faciles à retenir.
Comment ça marche
- Tapez ou collez le mot de passe. Il est masqué dans la sortie.
- Lisez la force en bits — le nombre d’essais auquel fait face un attaquant.
- Lisez les avertissements en dessous. C’est la partie qui compte.
- Plusieurs à la fois, un par ligne, ne pose pas de problème.
Questions fréquentes
- Pourquoi mon long mot de passe est-il mal noté ?
- La longueur ne sert que si le mot de passe n’est pas devinable autrement. « Motdepasse123! » fait quatorze caractères mais ne vaut que 2^14 essais, « très faible » : motdepasse est sur les listes de fuites, et des chiffres ou un symbole ajoutés sont les premiers essais des outils de cassage. « azertyuiop » en fait dix et n’est qu’une rangée du clavier : 2^12. Les avertissements disent quel motif a été repéré.
- Quelle est la précision de l’estimation ?
- C’est un modèle grossier, et la page préfère le dire. Elle compte l’alphabet et la longueur, puis retranche ce que trahissent les motifs évidents. Une vraie estimation demanderait un dictionnaire de centaines de millions de mots de passe fuités : un téléchargement, pas une page. Prenez donc ce nombre comme un plafond : un attaquant muni d’une bonne liste de mots peut avoir besoin de bien moins d’essais.
- Qu’est-ce qui fait un bon mot de passe ?
- La longueur, et le fait de ne pas le réutiliser. Quatre ou cinq mots tirés au hasard battent une courte suite de symboles, et un mot de passe différent partout bat un mot de passe fort employé deux fois. Un gestionnaire rend les deux faciles.
- Que veut dire « 2^30 essais » ?
- C’est le nombre de mots de passe qu’un attaquant devrait essayer : 2^30, environ 1,07 milliard. À dix milliards d’essais par seconde, la vitesse retenue pour la ligne « Hors ligne », il le trouve en moyenne en moins d’une seconde, d’où « instantanément ». Chaque bit de plus double le travail : 2^53 tient environ 5,2 jours, 2^66 environ 117 ans.
- Les accents rendent-ils un mot de passe plus fort ?
- Le calcul range une lettre accentuée parmi les symboles : « Château-Brioche-Été », 19 caractères, obtient un alphabet de 85 signes et 2^122 essais. Mais un mot du dictionnaire reste un mot : c’est le nombre de mots tirés au hasard qui fait la force, pas l’accent. Vérifiez aussi que le site concerné accepte les accents.
- Est-il prudent de taper ici un vrai mot de passe ?
- Il est vérifié dans votre navigateur et n’est jamais transmis, donc c’est plus sûr que n’importe quelle page qui en envoie un à un serveur. Cela dit : si un site vous inspire un doute, n’y collez pas un vrai mot de passe ; tapez plutôt quelque chose de même forme.
Outils associés
♭ Générateur de mot de passe Fabriqués sur votre appareil, par le générateur cryptographique du navigateur. Rien n’est envoyé nulle part. ♭ Vérificateur de hash bcrypt Ce mot de passe correspond-il à ce hash ? ♭ Générateur htpasswd La ligne qu’attend Apache, hachée sur votre propre machine. # Générateur de hash L’empreinte MD5, SHA-1 ou SHA-2 d’un texte, calculée sur votre appareil.