Tutoriels pratiques Sécurité

Comment générer des mots de passe et phrases de passe robustes

Choisissez entre un mot de passe aléatoire et une phrase de passe, fixez la longueur d'après les chiffres d'entropie, rangez-le dans un gestionnaire et ajoutez un second facteur.

Dernière vérification :

AdSense Placeholder
Slot: header_reference_page
Sur cette page

Étapes

  1. Décider à quoi sert le secret

    Si un gestionnaire de mots de passe le saisira, utilisez un long mot de passe aléatoire. Si vous devez le mémoriser, comme le mot de passe maître du gestionnaire ou le code d'un appareil, utilisez une phrase de passe.

  2. Générer un mot de passe aléatoire

    Ouvrez le générateur de mots de passe, réglez la longueur à 16 au minimum et cochez les quatre jeux de caractères. Cela donne un ensemble de 92 caractères et environ 104 bits d'entropie. Utilisez au moins 20 pour les comptes les plus importants.

  3. Ou générer une phrase de passe

    Dans le générateur de phrase de passe Diceware, choisissez un séparateur et un nombre de mots. La liste de cet outil compte 359 mots, soit environ 8,5 bits par mot : les 6 mots par défaut ne font donc qu'environ 50.9 bits. Prenez 8 mots (67.9 bits) ou plus pour ce qui compte.

  4. Auditer ce que vous utilisez déjà

    Saisissez un mot de passe existant dans l'auditeur de force et d'entropie des mots de passe pour voir son entropie, les alertes de motifs et les estimations de temps de décryptage. S'il paraît faible, remplacez-le. Ne saisissez jamais un mot de passe encore utilisé dans un outil auquel vous ne faites pas confiance.

  5. Le ranger dans un gestionnaire de mots de passe

    Enregistrez chaque mot de passe dans un gestionnaire fiable pour qu'il soit propre à un seul site. Réutiliser un mot de passe permet à une seule fuite d'ouvrir vos autres comptes.

  6. Ajouter un second facteur

    Activez les codes à deux facteurs par application partout où c'est proposé. Avec le générateur TOTP, vous pouvez voir comment les codes à six chiffres sont dérivés ou en tester un avec un secret ; ne collez jamais le vrai secret d'un compte qui vous importe dans une page web.

Ce dont vous avez besoin

Un gestionnaire de mots de passe (ou le projet d'en adopter un) et la liste des comptes les plus importants : messagerie, banque, le gestionnaire lui-même et tout ce qui peut réinitialiser d'autres mots de passe.

Quelle entropie suffit

L'entropie en bits vaut longueur × log₂(taille du jeu). Chaque bit supplémentaire double le nombre d'essais nécessaires à un attaquant. Les outils utilisent la même arithmétique et le générateur affiche le résultat en direct.

Longueur Minuscules seules (26) Lettres + chiffres (62) Les quatre jeux (92)
8 38 48 52
12 56 71 78
16 75 95 104
20 94 119 130

Un objectif courant pour les comptes importants est d'au moins 80 bits, ce qu'un mot de passe de 16 caractères avec les quatre jeux dépasse largement. Les mots de passe en minuscules seules exigent beaucoup plus de caractères pour atteindre le même niveau.

Robustesse d'une phrase selon le nombre de mots

L'entropie d'une phrase vaut nombre de mots × log₂(taille de la liste). Avec la liste de 359 mots de cet outil, cela fait 8,49 bits par mot :

Mots Entropie (bits)
4 34,0
5 42,4
6 50,9
8 67,9
10 84,9

Une liste Diceware standard de 7 776 mots donne environ 12,9 bits par mot : six mots de cette liste atteignent donc environ 77,5 bits. Une liste plus courte exige plus de mots pour la même robustesse, c'est pourquoi le nombre de mots compte plus que le séparateur.

Pièges courants

  • Réutiliser un mot de passe. Le bourrage d'identifiants essaie les mots de passe divulgués sur d'autres sites. Rendez chacun unique.
  • Construire un mot de passe avec des informations personnelles. Prénoms, dates de naissance et noms d'animaux sont devinés en premier.
  • Se fier à un motif astucieux. Un mot avec des symboles substitués reste un motif prévisible.
  • Stocker les mots de passe dans un fichier de notes ou le navigateur sans secret maître. Utilisez un gestionnaire avec une phrase de passe robuste.
  • Négliger le second facteur. Un mot de passe robuste ne sert à rien s'il est hameçonné ; l'authentification à deux facteurs ajoute une seconde barrière.

Pour aller plus loin

La protection des mots de passe stockés côté serveur est comparée dans MD5, SHA-256 ou bcrypt et les codes des applications à deux facteurs sont expliqués dans Comment fonctionnent les codes à deux facteurs (TOTP).

Essayez ces outils

Générateur de mots de passe

Générez instantanément des mots de passe sécurisés à haute entropie avec notre outil en ligne gratuit.

Générateur de Phrase de Passe Diceware

Générez une phrase de passe aléatoire et mémorisable, composée de plusieurs mots issus d'une liste sélectionnée.

Auditeur de Force et d'Entropie des Mots de Passe

Auditez la force de votre mot de passe entièrement dans votre navigateur avec un calcul d'entropie en temps réel.

Générateur TOTP

Générez des mots de passe à usage unique basés sur le temps (TOTP, RFC 6238) depuis un secret Base32 avec compte à rebours en direct.

Voir aussi

  • Comparatif MD5, SHA-256 ou bcrypt
    MD5 est cassé, SHA-256 est le hachage rapide polyvalent et bcrypt un hachage de mots de passe lent par conception.
  • Guide Comment fonctionne le hachage
    Ce que fait une fonction de hachage, l'effet avalanche avec une vraie sortie SHA-256, quels algorithmes restent sûrs.
  • Glossaire Entropie
    En sécurité, l'entropie mesure le caractère imprévisible d'une chose, comme un mot de passe ou une clé, généralement exprimée en bits.
  • Glossaire Authentification multifacteur (MFA)
    L'authentification multifacteur (MFA) exige deux types de preuve ou plus pour se connecter.
  • Glossaire Attaque par force brute
    Une attaque par force brute essaie tous les mots de passe ou clés possibles, ou une énorme liste de ceux qui sont probables.
  • Glossaire Phrase de passe
    Une phrase de passe est un mot de passe formé de plusieurs mots choisis au hasard.
  • Glossaire bcrypt
    bcrypt est une fonction de hachage de mots de passe volontairement lente qui ajoute un sel aléatoire et un facteur de coût réglable.

Questions fréquemment posées

Les deux sont robustes quand ils sont générés au hasard. Un mot de passe aléatoire concentre plus d'entropie en moins de caractères et convient à tout ce qu'un gestionnaire remplit. Une phrase de mots aléatoires est plus facile à retenir et à taper, ce qui convient aux rares secrets à connaître par cœur, comme le mot de passe maître du gestionnaire lui-même.

Non. Le Générateur de mots de passe et le Générateur de Phrase de Passe Diceware utilisent le générateur de nombres aléatoires sécurisé de votre navigateur et s'exécutent entièrement sur votre appareil.

Les substitutions prévisibles comme a par @ n'apportent presque rien, car les attaquants les essaient en premier. Ce qui compte, c'est le hasard et la longueur.

Retour aux tutoriels pratiques
AdSense Placeholder
Slot: footer_leaderboard