Générateur de phrase de passe

Un mot de passe facile à retenir, fait de mots

Une phrase de passe est un mot de passe composé de plusieurs mots ordinaires tirés au hasard, par exemple girafe-tambour-citron-echelle. L'outil en propose une de 4 mots dès l'ouverture, et en tire une autre à chaque réglage ou clic sur « Nouvelle phrase ».

Pourquoi des mots ? On retient bien mieux quatre images qu'une suite comme K7#qz!Lp. Et la solidité vient de la longueur et du hasard : un mot de passe court « compliqué » inventé par une personne, comme Soleil2024!, suit des recettes que les logiciels d'attaque essaient en premier.

Mode d'emploi

1. Choisissez le Nombre de mots (3 à 10), la Langue des mots (français par défaut, ou anglais, espagnol, allemand, italien) et le Séparateur : tiret, espace, point, tiret bas ou aucun.
2. Cochez au besoin « Majuscule au début de chaque mot », « Ajouter un chiffre » ou « Ajouter un symbole ». La case « Retirer les accents » est cochée au départ : échelle devient echelle, saisissable sur n'importe quel clavier.
3. Réglez le Nombre de phrases (1 à 10) si vous voulez choisir parmi plusieurs, puis cliquez sur « Copier ». La barre d'espace relance le tirage.

Sous la phrase s'affichent sa longueur (29 caractères pour l'exemple) et sa robustesse : bits, niveau (faible sous 40 bits, correct de 40 à 60, fort de 60 à 80, très fort au-delà) et détail du calcul.

Le calcul de la robustesse, avec les vrais chiffres

La liste française contient 1 296 mots courants. Chaque mot y est tiré au hasard par le générateur cryptographique de votre navigateur : 1 296 possibilités par mot. En bits : log2(1 296) = 10,34 bits par mot.

Le chiffre ajouté est l'un des 10 chiffres, collé à la fin d'un des mots : avec 4 mots, 40 possibilités, soit 5,32 bits de plus. Le symbole est l'un de 8 signes (! ? # $ % & * @), lui aussi placé à la fin d'un mot : 32 possibilités avec 4 mots, soit 5 bits. Le calcul suppose que l'attaquant connaît la liste et vos réglages : seul le hasard protège. Pour comparer, 8 caractères vraiment aléatoires parmi 94 donnent 52,4 bits : 5 mots font jeu égal, 6 mots font mieux, et restent bien plus faciles à retenir.

Combien de mots choisir ?

4 mots suffisent pour un compte ordinaire sur un site qui limite les tentatives de connexion (blocage après plusieurs erreurs, délai entre deux essais) : avec des milliers de milliards de combinaisons, deviner en ligne est hors de portée.

6 mots ou plus pour ce qui peut être attaqué hors ligne, sans limite d'essais : le mot de passe principal d'un gestionnaire de mots de passe ou celui du chiffrement d'un disque. Chaque mot en plus multiplie le nombre de combinaisons par 1 296 : c'est une marge de sécurité, pas une garantie absolue.

Les règles qui comptent

• Des mots tirés au hasard, pas choisis. Si vous remplacez un mot par un autre qui vous plaît, le calcul ne tient plus. Une citation, un proverbe ou des paroles de chanson ne sont pas une phrase de passe : ils figurent dans les listes que testent les attaquants.
• Une phrase différente par compte. Si un site subit une fuite, les autres restent protégés.
• Un gestionnaire de mots de passe retient tous les autres : vous n'avez plus qu'une phrase de passe à mémoriser.
• La double authentification dès qu'elle est proposée : un code reçu sur le téléphone ou une clé de sécurité en plus du mot de passe.

Pour la retenir, imaginez une scène avec les mots dans l'ordre : une girafe qui joue du tambour en équilibre sur une échelle, un citron entre les dents. Tapez-la quelques fois les premiers jours.

Un site exige un chiffre, une majuscule ou un symbole ? Cochez les options correspondantes.

Ce que l'outil ne fait pas

La phrase est créée dans votre navigateur et n'est ni envoyée ni enregistrée : seuls vos réglages sont gardés sur votre appareil pour la prochaine visite. L'outil ne vérifie pas si une phrase figure dans une fuite de données, et ne la conserve pas : copiez-la avant de fermer la page. Pour un mot de passe classique fait de caractères aléatoires, le site propose aussi un générateur de mot de passe.

Questions fréquentes

Une phrase de passe en minuscules est-elle assez solide ?

Oui : la robustesse vient du nombre de mots tirés au hasard. Les majuscules ne changent presque rien au calcul, elles servent surtout à satisfaire les sites qui en exigent.

Pourquoi retirer les accents ?

Pour pouvoir taper la phrase sur un clavier étranger, un téléphone ou un téléviseur. Dans la liste, aucun mot n'en recouvre un autre une fois les accents retirés.

Puis-je utiliser des mots anglais si je parle français ?

Oui, la robustesse est la même : chaque liste compte 1 296 mots. Choisissez la langue dans laquelle vous visualisez le mieux les mots.

Si je relance le tirage jusqu'à trouver des mots qui me plaisent, est-ce grave ?

Deux ou trois relances ne changent presque rien. Trier longuement réduit le hasard : ajoutez plutôt un mot.