Vérificateur de force de mot de passe
Testez un mot de passe déjà choisi : entropie réelle, motifs prévisibles, présence dans les listes de mots de passe courants.
Comment la force est évaluée
L'analyse commence par un calcul d'entropie, la mesure classique de la difficulté d'une attaque par force brute. L'outil repère quels types de caractères sont présents pour en déduire la taille de l'alphabet — 26 signes pour les minuscules, 26 pour les majuscules, 10 pour les chiffres, 33 pour les symboles — puis applique la formule longueur × log2(alphabet). Un mot de passe de 12 caractères combinant minuscules, majuscules et chiffres travaille donc sur un alphabet de 62 signes, soit environ 71 bits.
Ce chiffre brut suppose toutefois que chaque caractère a été tiré au hasard, ce qui est rarement vrai d'un mot de passe choisi par un humain. L'outil cherche donc trois signaux qui réduisent l'espace de recherche réel : la présence du mot de passe dans une liste embarquée de mots de passe très courants, une suite de quatre caractères consécutifs sur un clavier ou dans l'alphabet (azer, 1234, y compris à l'envers), et un même caractère répété trois fois de suite. Un mot de passe figurant dans la liste des plus courants voit son estimation ramenée au plancher, car un attaquant l'essaie dans ses toutes premières tentatives ; une suite ou une répétition la ramène à 40 % de la valeur brute. C'est cette entropie corrigée, et non le calcul théorique, qui détermine la note affichée, des seuils de 28, 45, 60 et 80 bits séparant les cinq niveaux « Très faible » à « Très fort ».
Tout ce travail s'exécute dans votre navigateur. Le mot de passe saisi n'est envoyé à aucun serveur, n'est écrit dans aucun stockage du navigateur et n'est conservé nulle part au-delà du champ affiché à l'écran.
Quand utiliser ce vérificateur
- Trier un ancien trousseau — passer en revue les mots de passe accumulés au fil des ans pour repérer ceux à changer en priorité.
- Comprendre une règle qui semble absurde — voir concrètement pourquoi ajouter un symbole en fin de mot pèse beaucoup moins lourd qu'allonger le mot de passe de quatre caractères.
- Vérifier une politique interne — confronter la règle affichée par un formulaire d'inscription à ce qu'elle produit réellement en termes d'entropie.
- Expliquer le sujet — montrer en direct qu'un mot de passe long mais prévisible est mal noté, là où une chaîne plus courte mais aléatoire obtient un meilleur résultat.
Une note élevée mesure la résistance à la devinette, rien de plus. Elle ne protège ni d'une réutilisation du même mot de passe sur plusieurs services, ni d'une page d'hameçonnage, ni d'une fuite chez le service lui-même. Le plus efficace reste un mot de passe distinct par service, conservé dans un gestionnaire dédié, complété par l'authentification à deux facteurs quand elle est proposée.
Non, jamais, à aucun moment. L'analyse se fait entièrement dans votre navigateur. Rien n'est envoyé à un serveur, rien n'est stocké — ni en base de données, ni dans un historique local, ni dans le stockage du navigateur.
Parce que la longueur seule ne suffit pas : « password123 » est plus long que bien des mots de passe aléatoires, mais figure parmi les tout premiers essayés lors d'une attaque, car il suit un motif évident. Ce vérificateur dégrade explicitement son estimation quand un tel motif est détecté, plutôt que de se fier au seul calcul mathématique d'entropie.
Ce type de vérification nécessite d'envoyer votre mot de passe (ou une empreinte de celui-ci) à un service externe. Ce site fonctionne entièrement sans envoi de données : nous ne proposons donc pas cette fonctionnalité, par cohérence avec cette promesse.
L'estimation repose sur la formule longueur × log2(taille de l'alphabet). L'alphabet est déduit des types de caractères présents : 26 pour les minuscules, 26 pour les majuscules, 10 pour les chiffres, 33 pour les symboles. Un mot de passe de 12 caractères mêlant minuscules, majuscules et chiffres correspond ainsi à un alphabet de 62 signes, soit environ 71 bits. Cette valeur est ensuite corrigée à la baisse si un motif prévisible est repéré.
Rien n'est transmis ni enregistré par cet outil, et la saisie disparaît dès que la page est fermée. La prudence reste néanmoins de mise avec n'importe quel site : le réflexe le plus sûr est de tester une variante de même structure plutôt que le mot de passe lui-même, ou de générer directement un nouveau mot de passe aléatoire, qui n'a pas besoin d'être évalué.
Cette note ne dit qu'une chose : le mot de passe résiste bien à une attaque par force brute ou par motif. Elle ne dit rien du reste. Un mot de passe très fort reste compromis s'il est réutilisé sur plusieurs sites et qu'un seul d'entre eux subit une fuite, s'il est saisi sur une page d'hameçonnage, ou si un logiciel malveillant lit ce que vous tapez. L'unicité par service et l'authentification à deux facteurs comptent autant que la force elle-même.