Tester la force d'un mot de passe

Un test de mot de passe qui reste sur votre appareil

Cet outil mesure la robustesse d'un mot de passe pendant la frappe. Il ne compte pas seulement les majuscules et les symboles : il cherche ce qu'un logiciel d'attaque essaierait d'abord (mots de passe répandus, mots du dictionnaire, suites de touches comme azerty, répétitions, dates, lettres déguisées en chiffres) et en déduit un nombre d'essais, une note sur cinq niveaux et trois temps de cassage.

Tout se calcule dans votre navigateur : rien n'est envoyé ni enregistré, l'outil ne fait aucune requête réseau pendant l'analyse. Pas de comparaison avec les bases de fuites : certains services la proposent en n'envoyant qu'un fragment anonymisé de l'empreinte du mot de passe, nous avons préféré ne rien envoyer.

Mode d'emploi

1. Tapez ou collez le mot de passe dans le champ « Mot de passe à tester ». « Afficher » le montre, « Effacer » vide le champ. Tant qu'il est masqué, les faiblesses citent des positions (« Caractères 1 à 6 »), pas le texte.
2. Lisez la « Robustesse » : Très faible, Faible, Moyen, Fort ou Très fort, avec une jauge en cinq cases.
3. Regardez le « Temps de cassage estimé » dans les trois scénarios, puis les « Faiblesses trouvées » et les « Conseils ».

Ce qui rend un mot de passe robuste

Deux choses comptent : la longueur et l'imprévisibilité. Chaque caractère ajouté multiplie le travail de l'attaquant, à condition qu'il ne suive pas un motif connu. Les règles du type « une majuscule, un chiffre, un symbole » trompent : elles poussent vers des mots de passe comme P@ssw0rd, qui les respecte toutes. Sans tenir compte des motifs, il vaudrait 53 bits. L'outil y reconnaît « password » déguisé : environ 10 016 essais, soit 13 bits, 4 jours en ligne et 1 seconde face à un hachage lent.

Phrases de passe, gestionnaire et double authentification

Une phrase de passe aligne plusieurs mots tirés au hasard, par exemple cinq mots pris dans une liste de 1 296 : environ 5,8 × 10¹⁶ essais, plus de 185 000 ans face à un hachage lent. Les mots doivent être tirés au sort, pas tirés d'une phrase connue.

Un mot de passe par service : quand un site se fait voler sa base, les attaquants essaient les mêmes identifiants ailleurs. Un gestionnaire de mots de passe les crée et les retient ; vous ne mémorisez qu'une phrase de passe solide. Activez la double authentification sur la messagerie, la banque et les réseaux sociaux.

En cas de fuite, changez aussitôt ce mot de passe et ceux qui lui ressemblent, fermez les sessions ouvertes et méfiez-vous des courriels qui se réclament du service.

Comment l'outil estime la robustesse, et ses limites

L'outil cherche la découpe du mot de passe la plus économique pour un attaquant. Un mot de passe répandu vaut son rang dans la liste ; un mot du dictionnaire français, la taille de la liste ; une date, les années plausibles multipliées par 365. Un caractère hors motif compte pour 10 possibilités, une hypothèse prudente. Le produit donne le nombre d'essais et l'entropie corrigée.

Les seuils : moins de 1 000 essais, très faible ; moins de 100 millions, faible ; moins de 10¹³, moyen ; moins de 10¹⁸, fort ; au-delà, très fort. Les temps supposent 100 essais par heure en ligne, 10 000 par seconde face à un hachage lent et 10 milliards par seconde face à un hachage rapide. Ce sont des ordres de grandeur : une estimation, pas une garantie. L'outil ignore ce qu'un attaquant sait de vous (prénom d'un enfant, ville) et ne connaît que quelques milliers de mots.

Questions fréquentes

Mon mot de passe est-il envoyé quelque part ?

Non. L'analyse tourne dans la page et rien n'est gardé dans le navigateur.

Pourquoi « Tr0ub4dor&3 » n'est-il que moyen ?

Avec 11 caractères, il reste court : environ 10¹¹ essais, 10 secondes face à un hachage rapide.

Faut-il des symboles pour avoir un mot de passe fort ?

La longueur compte bien plus : cinq mots au hasard en minuscules battent huit caractères truffés de symboles.

Un mot de passe « Très fort » ici est-il incassable ?

Non. Il résiste à la devinette, pas à l'hameçonnage ni à un logiciel espion.