Outil n° 02 Diagnostic local, sans envoi réseau
Testeur de mot de passe
Mesurez la solidité de votre mot de passe en temps réel. Entropie, temps de craquage, composition : tout est calculé dans votre navigateur — rien n'est transmis.
Solidité — 0 bits
- Longueur
- 0 caractères
- Alphabet
- 0 symboles possibles
- Temps hors-ligne
- —
- Temps en ligne
- —
Types détectés
- a–z
- A–Z
- 0–9
- !@#
Conseils
- Saisissez un mot de passe pour démarrer l'analyse.
Tout est calculé localement · aucun mot de passe ne quitte votre navigateur
§ 01
Méthode
Comment ce testeur évalue votre mot de passe
Pas de score arbitraire : l'analyse repose sur une mesure objective, l'entropie.
-
L'entropie en bits
Le score se calcule avec la formule longueur × log₂(taille de l'alphabet). Chaque bit ajouté double le nombre de tentatives nécessaires pour deviner le mot de passe.
-
Deux scénarios d'attaque
Hors ligne : 100 milliards de tentatives par seconde sur GPU spécialisé. En ligne : 1 000 tentatives par seconde (limité par le service attaqué).
-
Analyse 100 % locale
Votre mot de passe n'est jamais transmis. L'analyse tourne dans votre onglet, sans télémétrie ni stockage. Ouvrez l'onglet « Réseau » de vos outils développeur pour le vérifier.
§ 03
Comprendre
Qu’est-ce que la force d’un mot de passe ?
La force d’un mot de passe n’est pas une impression. C’est une estimation du temps nécessaire pour le casser ou le deviner. Plus ce temps est long, plus le mot de passe est robuste face à une attaque automatisée.
Trois paramètres comptent surtout. D’abord la longueur : un mot de passe de 14 caractères offre beaucoup plus de combinaisons qu’un mot de 8 caractères. Ensuite l’alphabet : minuscules seules, majuscules, chiffres, symboles, espace ou accents n’offrent pas tous la même quantité de possibilités. Enfin la prévisibilité : un mot courant, une date de naissance ou une suite du type « azerty » réduit fortement la résistance réelle.
On parle souvent d’entropie. En pratique, c’est une mesure de l’incertitude. Plus un mot de passe est long et aléatoire, plus son entropie augmente. Mais un test sérieux ne se limite pas à compter les caractères. Il vérifie aussi les motifs connus, les répétitions, les séquences clavier et les fragments de mots de dictionnaire.
Un bon indicateur doit donc répondre à une question simple : combien de temps faudrait-il à un attaquant pour trouver ce mot de passe dans le monde réel ? Pas seulement dans un exercice théorique.
§ 04
Évaluer
Comment un testeur mesure la résistance
Un testeur de mot de passe compare votre saisie à plusieurs scénarios d’attaque. Il calcule généralement un score de robustesse et un temps estimé de cassage. Ce temps n’est pas une promesse. C’est un ordre de grandeur basé sur des hypothèses de calcul.
Les moteurs de test sérieux s’appuient sur des règles statistiques et sur des bases de mots connus. Ils repèrent par exemple un prénom, une suite numérique, une substitution évidente ou un mot suivi d’un chiffre. Un mot de passe comme P@ssw0rd2024! paraît varié. En réalité, il reste très faible car il suit un schéma très répandu.
L’évaluation doit être objective. Un testeur utile ne se contente pas d’afficher « fort » ou « faible ». Il doit tenir compte de plusieurs éléments :
- la longueur totale ;
- la diversité des caractères ;
- la présence de motifs reconnaissables ;
- la proximité avec des mots du langage courant ;
- la présence dans des fuites de données connues.
Dans un bon outil, le calcul est fait en local dans le navigateur. Le mot de passe ne doit pas être transmis au serveur. C’est un point important pour la confidentialité.
§ 05
Attaques
Contre quelles attaques faut-il mesurer un mot de passe ?
La force d’un mot de passe dépend de l’attaque contre laquelle on le mesure. Un mot de passe peut résister à une tentative en ligne, mais être fragile en cas de fuite de base de données.
La première menace est la force brute. L’attaquant essaie systématiquement toutes les combinaisons possibles. C’est une attaque coûteuse, mais très efficace contre les mots de passe courts ou trop simples.
La deuxième menace est l’attaque par dictionnaire. Ici, l’attaquant ne teste pas tout. Il commence par des mots fréquents, des prénoms, des dates, des expressions courantes et des variations connues. C’est pourquoi les mots de passe comme « soleil123 » ou « password2024 » restent vulnérables.
La troisième menace est le credential stuffing. Dans ce cas, l’attaquant n’essaie pas de casser un mot de passe. Il réutilise des identifiants volés ailleurs. Si le même mot de passe sert sur plusieurs sites, une seule fuite peut compromettre plusieurs comptes.
Il faut aussi distinguer deux contextes :
- attaque en ligne : le pirate tente de se connecter sur un service réel. Les sites imposent souvent des limites, des CAPTCHAs ou des blocages après plusieurs essais ;
- attaque hors ligne : l’attaquant dispose d’un fichier contenant des mots de passe chiffrés ou hachés. Il peut tester très vite, sans limitation de site, avec une puissance de calcul beaucoup plus élevée.
Un mot de passe très long et unique réduit fortement le risque dans les deux cas. Mais face à une attaque hors ligne, la longueur devient déterminante.
§ 06
Bonnes pratiques
Ce qui rend un mot de passe vraiment résistant
La règle la plus solide reste simple : long, unique, aléatoire. Un mot de passe de 14 caractères ou plus est nettement préférable à un mot court, même enrichi de symboles.
La longueur est décisive. Un mot de passe de 8 caractères peut souvent être testé très vite par un attaquant. À 12 caractères, la difficulté augmente fortement. À 16 caractères, la résistance devient beaucoup plus élevée, surtout si la chaîne est vraiment aléatoire.
L’unicité est tout aussi importante. Réutiliser le même mot de passe sur plusieurs services crée un effet domino. Une seule fuite peut ouvrir plusieurs comptes.
L’aléa compte davantage que les substitutions visibles. Ajouter un @ à la place d’un a, un 0 à la place d’un o ou un ! à la fin ne suffit pas. Ces remplacements sont connus. Ils font partie des premières hypothèses testées par les attaquants.
De même, les recettes classiques sont à éviter :
- un mot du dictionnaire suivi d’un chiffre ;
- une majuscule au début et un symbole à la fin ;
- une date de naissance ;
- un prénom, un nom d’équipe, un film ou une ville ;
- une suite clavier comme « azerty », « 123456 » ou « qwerty ».
Le meilleur mot de passe n’est pas « compliqué » au sens visuel. Il est surtout imprévisible.
§ 07
Mythes
Les idées reçues qui donnent une fausse impression de sécurité
-
« Remplacer des lettres par des symboles suffit »
Faux. Les substitutions comme
@poura,3poureou$pourssont connues. Elles sont intégrées aux dictionnaires d’attaque. -
« Une majuscule et un point d’exclamation rendent tout sûr »
Faux. Si la structure reste prévisible, le gain de sécurité est faible. Un attaquant teste d’abord ces schémas.
-
« Un mot long mais connu est déjà solide »
Pas forcément. Un mot de passe comme une expression courante, un slogan ou un titre de chanson peut être ciblé par dictionnaire.
-
« Changer souvent son mot de passe suffit »
Pas toujours. Un mot de passe faible reste faible, même changé régulièrement. Il faut d’abord le rendre robuste et unique.
-
« Plus il y a de caractères spéciaux, mieux c’est »
Pas forcément. Ce qui compte est la combinaison entre longueur, aléa et absence de motif reconnaissable.
§ 09
FAQ
Questions fréquentes sur le test de force d’un mot de passe
- Qu’est-ce qu’un testeur de mot de passe ?
- C’est un outil qui estime la robustesse d’un mot de passe. Il analyse sa longueur, sa complexité, ses motifs prévisibles et, parfois, son exposition dans des fuites de données connues.
- Comment savoir si un mot de passe est fort ?
- Un mot de passe fort est long, unique et difficile à deviner. Il ne reprend ni mot courant, ni date, ni nom personnel, ni schéma simple du type « mot + chiffre + symbole ».
- Quelle longueur pour un mot de passe sûr ?
- En pratique, il faut viser au moins 12 caractères. À partir de 14 caractères, la résistance augmente nettement. Si le mot de passe est vraiment aléatoire, la longueur est le facteur le plus important.
- Pourquoi « P@ssw0rd » est-il un mauvais mot de passe ?
- Parce qu’il repose sur un mot très connu et sur des substitutions prévisibles. Les attaquants testent ce type de variante en priorité.
- Quelle est la différence entre attaque en ligne et hors ligne ?
- En ligne, l’attaquant tente de se connecter sur un site. Les protections du service ralentissent souvent l’attaque. Hors ligne, il teste un grand nombre de combinaisons sur des données volées, sans limitation de débit. C’est beaucoup plus dangereux.
- Un mot de passe peut-il être piraté même s’il est complexe ?
- Oui, surtout s’il a déjà fuité, s’il est réutilisé ou s’il est trop court. La complexité seule ne suffit pas. Il faut aussi l’unicité et une longueur élevée.
- Faut-il changer régulièrement ses mots de passe ?
- Pas systématiquement si le mot de passe est solide et unique. En revanche, il faut le changer immédiatement en cas de suspicion de fuite, d’alerte de compromission ou de réutilisation sur plusieurs services.
- Le test de force est-il fiable à 100 % ?
- Non. Il donne une estimation utile, pas une garantie absolue. Il faut le lire comme un indicateur de risque, pas comme une preuve d’invulnérabilité.
Besoin d'un mot de passe plus fort ?
Notre générateur produit en local des mots de passe et phrases secrètes solides.
Ouvrir le générateur