Qu'est-ce qu'un testeur de force de mot de passe ?
Un testeur de force de mot de passe est un outil qui analyse la securite de votre mot de passe en evaluant plusieurs facteurs : la longueur, la diversite des caracteres, l'entropie (imprevisibilite mathematique mesuree en bits), la presence de schemas courants, de mots du dictionnaire et de sequences clavier. Notre outil combine tous ces facteurs en un score de 0 a 100.
En plus de l'analyse de force, notre testeur effectue une verification de fuite de donnees via l'API Have I Been Pwned pour verifier si votre mot de passe a ete expose dans des fuites de donnees connues. Toute l'analyse s'effectue 100% dans votre navigateur — votre mot de passe n'est jamais envoye a un serveur. Vous pouvez egalement creer de nouveaux mots de passe securises avec notre generateur de mot de passe.
Comment tester la force de votre mot de passe
Tester votre mot de passe est simple et instantane. Entrez votre mot de passe dans le champ de saisie et l'analyse demarre automatiquement en temps reel.
Saisissez ou collez le mot de passe que vous souhaitez tester. L'analyse s'effectue en temps reel a mesure que vous tapez — vous verrez instantanement le score de force, l'entropie et le temps de craquage estime.
L'outil affiche un score de 0 a 100 avec un label (Tres Faible a Tres Fort), l'entropie en bits, le temps estime pour craquer le mot de passe, et les details de la composition des caracteres.
Cliquez sur le bouton de verification de fuite pour interroger la base de donnees Have I Been Pwned. Si votre mot de passe a ete trouve dans des fuites connues, changez-le immediatement sur tous les comptes ou vous l'utilisez.
Comprendre l'entropie et le temps de craquage
L'entropie mesure l'imprevisibilite d'un mot de passe en bits, calculee avec la formule : E = longueur x log2(taille du pool de caracteres). Par exemple, un mot de passe de 16 caracteres utilisant les 95 caracteres ASCII imprimables possede environ 105 bits d'entropie. Plus l'entropie est elevee, plus le nombre de tentatives necessaires pour craquer le mot de passe augmente de maniere exponentielle.
Notre calculateur estime le temps de craquage en supposant une ferme de GPU moderne effectuant 10 milliards de tentatives par seconde (attaque par force brute hors ligne). Un mot de passe de 6 caracteres en minuscules peut etre craque instantanement. Un mot de passe mixte de 12 caracteres prendrait environ 3 millions d'annees. Chaque caractere supplementaire multiplie exponentiellement le temps de craquage.
Mots de passe courts ou avec peu de types de caracteres. Craquable en minutes voire secondes par force brute. Exemple : mot de passe de 6 caracteres en minuscules.
Protection minimale. Exemple : 8 caracteres avec uniquement des lettres. Vulnerable aux attaques ciblees avec du materiel standard.
Protection basique pour les comptes a faible risque. Exemple : 8-10 caracteres avec lettres et chiffres. Resistant aux attaques automatisees de base.
Bonne protection pour la majorite des comptes. Exemple : 12 caracteres avec tous les types (majuscules, minuscules, chiffres, symboles).
Protection excellente. Exemple : 16+ caracteres avec tous les types. Il faudrait des trillions d'annees pour le craquer a 10 milliards de tentatives par seconde.
Verification de fuite de donnees — Have I Been Pwned
Notre testeur integre une verification de fuite de donnees via l'API Have I Been Pwned Pwned Passwords, qui contient plus de 900 millions de mots de passe uniques exposes dans des fuites connues (LinkedIn, Adobe, Dropbox et bien d'autres). Si votre mot de passe apparait dans cette base de donnees, des attaquants pourraient l'essayer dans des attaques de credential stuffing contre vos comptes.
Pour proteger votre vie privee, la verification utilise le protocole k-anonymity. Votre mot de passe est hache avec SHA-1 via la Web Crypto API dans votre navigateur. Seuls les 5 premiers caracteres (sur 40) du hachage sont envoyes a l'API, qui retourne tous les suffixes correspondant a ce prefixe. Votre navigateur verifie ensuite localement si le hachage complet correspond a une entree retournee. Cela signifie que votre mot de passe ne quitte jamais votre navigateur — seul un prefixe de hachage ambigu est transmis.
Erreurs courantes a eviter pour les mots de passe
Beaucoup de personnes commettent des erreurs previsibles lors du choix de leurs mots de passe. Notre testeur detecte ces schemas courants et vous avertit si votre mot de passe presente des vulnerabilites connues.
Mots de passe trop courts — En dessous de 12 caracteres, le temps de craquage diminue drastiquement
Reutilisation du meme mot de passe — Si un compte est compromis, tous les comptes partageant ce mot de passe sont vulnerables
Informations personnelles — Noms, dates de naissance, equipes sportives et noms d'animaux sont facilement devinables
Sequences clavier — 'qwerty', '123456', 'azerty' sont parmi les premiers schemas testes par les attaquants
Substitutions previsibles — Remplacer 'a' par '@' ou 'e' par '3' n'ajoute presque pas de securite
Mots du dictionnaire — Meme avec des majuscules ou des chiffres ajoutes, les mots courants sont vulnerables aux attaques par dictionnaire
Ignorer les fuites de donnees — Un mot de passe fort qui a ete expose dans une fuite n'est plus securise
Changer trop souvent — Le NIST (SP 800-63B) ne recommande plus les changements periodiques ; changez uniquement en cas de compromission suspectee
Comment notre testeur assure votre vie privee
La confidentialite est notre priorite absolue. Toute l'analyse de force s'effectue entierement dans votre navigateur en utilisant JavaScript. Votre mot de passe n'est jamais transmis sur le reseau, stocke sur un serveur ou enregistre. Vous pouvez le verifier en ouvrant les outils de developpeur de votre navigateur (onglet Reseau) et en confirmant qu'aucune requete n'est emise pendant l'analyse.
Pour la verification de fuite, seuls les 5 premiers caracteres du hachage SHA-1 sont transmis a l'API Have I Been Pwned via le protocole k-anonymity. Le hachage complet de 40 caracteres n'est jamais envoye, ce qui rend mathematiquement impossible pour l'API ou tout observateur reseau de determiner votre mot de passe reel.
Analyse locale
Toute l'analyse de force, d'entropie et de schemas s'effectue dans votre navigateur via JavaScript. Aucune donnee n'est transmise a un serveur.
k-Anonymity (HIBP)
Seul un prefixe de hachage SHA-1 de 5 caracteres est envoye pour la verification de fuite. Votre mot de passe complet ne quitte jamais votre appareil.
Web Crypto API
Le hachage SHA-1 est effectue avec la Web Crypto API du navigateur — une API de securite native, pas une bibliotheque tierce.
Outils de Securite Associes
Explorez nos autres outils gratuits de securite sur DNS Robot pour renforcer la protection de vos comptes.
Creez des mots de passe forts et aleatoires avec hasard cryptographique
Verifiez le certificat SSL d'un domaine et sa chaine de confiance
Analysez les enregistrements SPF pour securiser l'envoi d'emails
Verifiez la configuration DMARC de votre domaine