Outils populaires

Thème

Générateur de mot de passe

Générez un mot de passe sécurisé et aléatoire, une phrase secrète de mots tirés au hasard ou un code PIN, avec sa solidité exacte en bits et le temps qu'il faudrait pour le casser. Ce générateur de mot de passe (ou « mdp ») fonctionne entièrement dans votre navigateur : rien de ce que vous générez n'est envoyé.

Aléa Web Crypto sans biais de modulo · liste de 7 776 mots de l'EFF · généré dans votre navigateur, jamais envoyé ni conservé
Très solide16 caractères · 104,6 bits · Environ 1031,2 essais
Génération…
Bits par caractère16 × 6,55 − 0,28 (Chaque type choisi au moins une fois) = 104,6 bits
0128

Généré dans votre navigateur avec crypto.getRandomValues. Rien n'est envoyé ni enregistré.

Utiliser

Quelle longueur pour un mot de passe sécurisé ?

Au moins 15 caractères quand le mot de passe est seul à protéger le compte, le minimum du NIST depuis juillet 2025, et au moins 8 quand il n'est qu'un élément d'une connexion en deux étapes. Ce générateur en produit 16 par défaut, la longueur recommandée par la CISA.

Ce sont les règles du NIST SP 800-63B-4 et de la CISA. Chaque caractère tiré au hasard parmi les 94 lettres, chiffres et symboles ajoute 6,55 bits, et chaque bit double le nombre d'essais nécessaires (EFF) : 16 caractères avec chaque type au moins une fois totalisent 104,6 bits, soit environ 10¹² ans pour une carte graphique, même contre les hachages NTLM de Windows, les plus rapides à casser.

16 convient aussi à la plupart des sites : parmi les sites dont le maximum est connu dans les données de règles de mots de passe d'Apple, trois sur quatre acceptent 16 caractères, et 16 est la limite la plus courante. Exclure les caractères ambigus coûte 2,7 bits à cette longueur ; se limiter aux lettres et aux chiffres, 9,4 bits.

Ces chiffres ne valent que pour des caractères tirés au hasard. Pour savoir ce que vaut un mot de passe que vous avez inventé, utilisez le testeur de mot de passe.

Solidité selon la longueurbits exacts, chaque type choisi au moins une fois
LongueurLes 94 caractèresSans caractères ambigus (84)Lettres et chiffres (62)
851,3 bits49,9 bits47,2 bits
1278,1 bits76,1 bits71,3 bits
15Minimum du NIST98,0 bits95,5 bits89,2 bits
16Par défaut · CISA104,6 bits101,9 bits95,2 bits
20130,9 bits127,6 bits119,0 bits
24157,2 bits153,3 bits142,9 bits
32209,7 bits204,5 bits190,5 bits
  • Moyen
  • Solide
  • Très solide
Chaque bit supplémentaire double le nombre d'essais dont un attaquant a besoin. Les bits ne valent que pour des caractères tirés au hasard.
Générateur de mot de passe : mot de passe aléatoire de 16 caractères coloré par type, avec ses bits et son temps de casseGénérateur de mot de passe : mot de passe aléatoire de 16 caractères coloré par type, avec ses bits et son temps de casseLe mot de passeColoré par type de caractère, prêt à copier, à tester ou à régénérer.Sa soliditéLa note, les bits exacts de ces réglages et le temps qu'une attaque prendrait.Trois modesCaractères aléatoires, phrase secrète de mots tirés au hasard, ou code PIN.Les optionsLongueur, types de caractères, caractères ambigus, symboles personnalisés et nombre de mots de passe à générer d'un coup.
Un mot de passe aléatoire de 16 caractères, généré à l'ouverture de la page. Sélectionnez un numéro pour voir ce que montre chaque partie.

Mot de passe aléatoire, phrase secrète ou code PIN : lequel choisir ?

Choisissez des caractères aléatoires pour tout mot de passe qu'un gestionnaire de mots de passe remplit à votre place, une phrase secrète pour les rares que vous saisissez ou retenez, et un code PIN seulement là où un téléphone ou une carte se verrouille après quelques essais erronés.

À solidité égale, ils n'ont pas du tout le même aspect : 12 caractères aléatoires et six mots aléatoires totalisent environ 78 bits. Les caractères aléatoires sont le chemin le plus court vers une solidité donnée, ce qui convient aux sites qui limitent la longueur ; les mots sont bien plus faciles à saisir sur un téléphone ou une télé, et à retenir. Un mot de passe Wi-Fi est un bon endroit pour une phrase secrète, partagée avec vos invités sous forme de code QR Wi-Fi.

Un code PIN est faible par conception : un code à 6 chiffres est un parmi un million, soit 19,9 bits. Il ne fonctionne que parce que l'appareil s'arrête après quelques essais erronés, et c'est pourquoi le NIST n'accepte les codes PIN, de 6 chiffres et d'au moins 4, que pour déverrouiller un appareil comme un téléphone ou une clé de sécurité, avec au plus 10 échecs consécutifs (NIST SP 800-63B-4).

Le NCSC britannique conseille trois mots aléatoires pour les mots de passe que vous devez retenir, et précise que les mots de passe aléatoires d'un gestionnaire de mots de passe sont encore plus solides (NCSC).

  1. Caractères aléatoires

    dhLB#crZj}4F

    12 caractères78,1 bits

    Très solide

    Les mots de passe qu'un gestionnaire de mots de passe remplit à votre place

  2. Phrase secrète

    thrill-suitable-exponent-overlaid-duplicate-undercook

    6 mots77,5 bits

    Très solide

    Les rares que vous saisissez ou retenez : ordinateur, e-mail, gestionnaire de mots de passe

  3. Code PIN

    637727

    6 chiffres19,9 bits

    Faible

    Téléphones et cartes qui se verrouillent après quelques essais erronés

Douze caractères aléatoires et six mots aléatoires se valent à peu près. Un code PIN repose sur le verrouillage.

Générateur de phrase secrète : combien de mots aléatoires faut-il ?

Six mots, le conseil de l'EFF elle-même : chaque mot tiré au hasard dans sa liste de 7 776 ajoute 12,9 bits, donc six mots donnent 77,5 bits, à peu près autant que 12 caractères aléatoires. La CISA accepte de quatre à sept mots sans rapport entre eux.

La force vient du tirage, pas des mots : la longue liste de l'EFF compte exactement 7 776 entrées, une pour chaque lancer de cinq dés, donc chaque mot est un choix parmi 7 776 possibilités équiprobables (EFF). Le générateur de phrases secrètes les tire avec le même aléa que les mots de passe.

Les séparateurs et les majuscules ajoutent 0 bit, car un attaquant en suppose le schéma. Un chiffre aléatoire entre les mots ajoute 3,3 bits par intervalle, et un mot de plus ajoute 12,9 bits : un septième mot est donc le moyen le moins cher de gagner en solidité.

Les mots que vous choisissez vous-même sont une autre affaire, tout comme les exemples célèbres : le « correct horse battery staple » de xkcd, saisi correcthorsebatterystaple, apparaît 4 173 fois dans les données de fuites de Have I Been Pwned, et le « difficile » Tr0ub4dor&3 du même dessinateur 3 196 fois. N'utilisez jamais une phrase secrète lue quelque part, y compris l'exemple de cette page.

Cinq dés, un motLa longue liste de l'EFF : 7 776 mots
  1. 62234thrill
  2. 61236suitable
  3. 26262exponent
  4. 43232overlaid
  5. 24354duplicate
  6. 63455undercook
+12,9 bits par mot6 mots : 77,5 bits
NTLM, une carte graphique : 93 ans0128
  • Séparateur+0 bit
  • Majuscules+0 bit
  • Un chiffre aléatoire entre les mots+3,3 bits chacun
  • Un mot de plus+12,9 bits
Un exemple tiré pour cette page : n'utilisez jamais une phrase secrète que vous avez vue publiée.

Un générateur de mot de passe en ligne est-il sûr ?

Oui, quand le mot de passe est créé sur votre appareil et jamais envoyé, ce qui est le cas ici : votre navigateur tire chaque caractère, et aucun mot de passe n'atteint notre serveur, l'adresse de la page ni les outils d'analyse.

Ce qui fait un générateur de mot de passe sécurisé, c'est l'origine de son aléa. Celui-ci utilise crypto.getRandomValues du navigateur, le générateur cryptographiquement fort de la norme Web Crypto (W3C), et jamais Math.random, qui n'est pas conçu pour les secrets.

Transformer un nombre aléatoire en caractère est le deuxième piège. Prendre le nombre modulo 94 rend les premiers caractères légèrement plus probables ; ce générateur écarte les 42 nombres restants qui ne forment pas un jeu complet de 94 et tire à nouveau, la méthode « simple discard » du NIST SP 800-90A, si bien que chaque caractère est exactement aussi probable que n'importe quel autre.

Quand chaque type choisi doit apparaître au moins une fois, il retire tout le mot de passe jusqu'à ce que ce soit le cas, au lieu d'y placer un caractère de chaque type puis de mélanger. Tous les mots de passe valides restent équiprobables, donc les bits affichés sont exacts.

Votre navigateur
  1. 1crypto.getRandomValues donne un nombre aléatoire de 32 bits
  2. 2Inférieur à 4 294 967 254 (le plus grand multiple de 94) ? On le garde ; sinon, on retire
  3. 3Le reste de la division par 94 désigne le caractère
  4. 4On recommence pour chaque caractère ; on retire tout le mot de passe s'il manque un type exigé

Chacun des 94 caractères : exactement 1 chance sur 94

Notre serveurRien n'est envoyé
Seuls 42 des 4 294 967 296 nombres possibles sont écartés, donc les tirages supplémentaires ne coûtent rien de perceptible.

Pourquoi un site refuse-t-il mon mot de passe généré ?

Parce que beaucoup de sites limitent encore la longueur ou les symboles. Réduisez la longueur au maximum du site, désactivez les symboles ou saisissez ceux qu'il autorise comme symboles personnalisés, puis générez à nouveau.

Le NIST demande aux sites d'accepter au moins 64 caractères, tous les caractères imprimables et les espaces, et d'abandonner les règles du type « doit contenir un symbole » (NIST SP 800-63B-4). Beaucoup ne s'y sont pas encore mis.

Sur les 436 sites des données de règles de mots de passe d'Apple, une liste que les gestionnaires de mots de passe partagent pour que leurs mots de passe conviennent à chaque site, 337 fixent une longueur maximale, 83 d'entre eux en dessous de 16, et environ quatre sur cinq exigent un chiffre.

Pour ces sites, gardez chaque type exigé, afin que le chiffre ou le symbole demandé soit toujours présent, et allongez le mot de passe autant qu'ils le permettent : 20 lettres et chiffres (119 bits) valent mieux que 12 caractères de tous types (78 bits).

Longueur maximale du mot de passe sur 337 sitesDonnées de règles de mots de passe d'Apple, notre décompte, 23 octobre 2026

16 : notre valeur par défaut · 68 sitesNIST : accepter au moins 64

99 des 436 sites de la liste n'imposent aucun maximum. 16 est la limite la plus courante, et 254 des 337 acceptent 16 caractères.

Où conserver un mot de passe généré ?

Dans un gestionnaire de mots de passe : il garde un mot de passe aléatoire différent pour chaque compte et le remplit à votre place, si bien que vous n'en saisissez ni n'en réutilisez jamais. Le NIST oblige les sites à laisser les gestionnaires de mots de passe remplir les champs, et leur demande d'autoriser le collage.

Le NIST cite des preuves que les personnes qui utilisent un gestionnaire de mots de passe avec générateur finissent par avoir des mots de passe plus solides (NIST SP 800-63B-4). Le gestionnaire intégré à votre navigateur comme une application à part conviennent ; ce qui compte, c'est un mot de passe par compte.

La réutilisation est ce qui transforme une fuite en plusieurs : les attaquants rejouent des couples e-mail et mot de passe divulgués sur d'autres sites, une attaque appelée bourrage d'identifiants. En novembre 2025, Have I Been Pwned a chargé 1,3 milliard de mots de passe uniques issus de telles listes, dont 625 millions jamais vus auparavant (Troy Hunt).

Changez un mot de passe quand il a pu fuiter, pas selon un calendrier : le NIST demande aux sites d'arrêter d'imposer des changements périodiques. Réservez les phrases secrètes aux rares mots de passe que vous saisissez : votre ordinateur, votre messagerie et le gestionnaire de mots de passe lui-même.

Un mot de passe divulgué, plusieurs comptes
Un site est piraté

Le même e-mail et le même mot de passe, essayés ailleurs

Réutilisé

  • E-mailOuvert
  • BanqueOuvert
  • AchatsOuvert
  • Réseaux sociauxOuvert

Unique

  • E-mailToujours verrouillé
  • BanqueToujours verrouillé
  • AchatsToujours verrouillé
  • Réseaux sociauxToujours verrouillé
Le bourrage d'identifiants : les attaquants rejouent les couples divulgués sur d'autres sites. Avec un mot de passe unique par compte, la fuite reste limitée à un site.

Générateur de mot de passe : questions et réponses

Ce générateur de mot de passe est-il gratuit, et les mots de passe sont-ils enregistrés ?

Il est gratuit, sans inscription et sans limite. Chaque mot de passe est créé dans votre navigateur et ne nous est jamais envoyé, donc il n'y a rien à enregistrer : fermez la page et il disparaît. Copier place le mot de passe dans le presse-papiers, et la page ne l'efface pas : collez-le tout de suite dans le site ou dans votre gestionnaire de mots de passe.

Un mot de passe de 12 caractères est-il assez solide ?

S'il est aléatoire, oui : 12 caractères parmi les 94 donnent environ 78 bits, et une carte graphique mettrait quelque 15 000 ans à le trouver, même contre les hachages NTLM rapides de Windows. Mais le NIST demande désormais 15 caractères quand le mot de passe est le seul facteur : utilisez-en donc 16 pour les comptes sans connexion en deux étapes. Un mot de passe de 12 caractères inventé par une personne est bien plus faible.

Puis-je générer des mots de passe en masse ?

Oui. Le générateur en masse crée jusqu'à 100 mots de passe d'un coup avec les mêmes réglages, chacun tiré indépendamment, donc chacun a la solidité affichée. Tout copier les place dans le presse-papiers, un par ligne, ou vous les téléchargez dans un fichier .txt. C'est pratique pour de nouveaux comptes, des utilisateurs de test ou des appareils ; donnez à chaque personne ou appareil le sien.

Puis-je créer un mot de passe à partir de mots ou de mon nom ?

À partir de mots, oui : le mode Phrase secrète est un générateur de mot de passe à base de mots, tirés au hasard dans la liste de 7 776 de l'EFF. À partir de vos propres mots, nom, animal ou date de naissance, non : les attaquants les essaient en premier, et le NIST demande aux sites de bloquer les mots de passe construits à partir de votre nom d'utilisateur ou du nom du service. Des mots aléatoires que vous n'avez pas choisis sont faciles à retenir et difficiles à deviner.

Comment créer un mot de passe facile à retenir ?

Choisissez Phrase secrète : ce générateur de mot de passe mémorisable enchaîne des mots aléatoires. Six mots de la liste de l'EFF donnent 77,5 bits, à peu près autant que 12 caractères aléatoires. Imaginez les mots comme une seule scène étrange pour les retenir. Ne mémorisez que les rares que vous saisissez, comme votre ordinateur et votre gestionnaire de mots de passe, et laissez le gestionnaire retenir le reste.

Dois-je ajouter des chiffres ou des symboles à une phrase secrète ?

Seulement si un site l'exige. Un séparateur ou des majuscules n'apportent rien, car les attaquants les supposent. Un chiffre aléatoire ajouté à une phrase secrète de six mots apporte environ 5,9 bits, et un chiffre aléatoire entre chaque paire de mots 3,3 bits chacun. Un mot de plus ajoute 12,9 bits : pour gagner en solidité, ajoutez un mot.

Que coûte l'exclusion des caractères ambigus ?

Très peu. Elle écarte les caractères faciles à confondre, I l 1 | O 0 o et les trois sortes de guillemets, donc il en reste 84 sur 94. Un mot de passe de 16 caractères passe de 104,6 à 101,9 bits, soit moins que la valeur d'un caractère : ajoutez-en un si vous voulez retrouver ce niveau. Activez cette option pour les mots de passe que vous lisez sur papier ou à l'écran.

Quelle longueur pour un code PIN ?

Six chiffres quand vous avez le choix, et quatre au minimum : c'est la règle du NIST pour les codes PIN d'appareil, avec une limite de 10 essais erronés. Un code à 6 chiffres est un parmi un million, soit 19,9 bits, et cette page le classe Faible, car il n'est sûr que derrière ce verrouillage. N'utilisez jamais un code PIN comme mot de passe d'un compte en ligne.

À quelle fréquence changer mes mots de passe ?

Seulement quand il y a une raison, comme une fuite, une alerte d'hameçonnage ou un mot de passe connu de quelqu'un d'autre. Le NIST demande aux sites de ne pas imposer de changements périodiques et d'en exiger un quand une compromission est avérée. Vérifiez un mot de passe avec le testeur de mot de passe : s'il indique Exposé, changez-le partout où vous l'utilisez.

Que fait pwgen -s 40 1 ?

Elle demande à l'outil en ligne de commande pwgen un mot de passe complètement aléatoire et difficile à mémoriser de 40 caractères : la longueur vient en premier, puis le nombre. Dans un terminal, pwgen inclut au moins une majuscule et un chiffre ; -y ajoute au moins un symbole et -B exclut les caractères ambigus comme l et 1. Pour obtenir la même chose ici, choisissez les caractères aléatoires, réglez la longueur sur 40 et désactivez les symboles.

Un mot de passe généré vaut-il mieux que celui que j'invente ?

Oui, et de loin. Les gens choisissent des mots, des prénoms, des années et toujours les mêmes quelques substitutions de lettres, et les attaquants les essaient en premier ; le NIST note que les règles de complexité ne font passer les gens que de « password » à « Password1! ». Le NCSC britannique affirme que les mots de passe aléatoires d'un gestionnaire de mots de passe sont plus solides que les mots de passe complexes inventés et que trois mots aléatoires.

Chaque mot de passe contient-il tous les types de caractères choisis ?

Oui, tant que chaque type est exigé, ce qui est le cas par défaut. Le générateur retire tout le mot de passe jusqu'à ce que chaque type choisi apparaisse, au lieu d'y placer un caractère de chaque type puis de mélanger, donc tous les mots de passe valides sont équiprobables et les bits affichés sont exacts. Avec les quatre types à 16 caractères, environ quatre premiers tirages sur cinq conviennent déjà.

Il vous manque quelque chose ?Suggérez une fonction ou un nouvel outil

Outils associés