Générateur de mot de passe

Ce générateur de mot de passe affiche un mot de passe fort dès l'ouverture de la page : 16 caractères tirés au hasard parmi les minuscules, les majuscules, les chiffres et 32 symboles, soit environ 104 bits d'entropie, bien au-delà des 80 bits que la CNIL exige pour un mot de passe utilisé seul. Pour l'utiliser, réglez la longueur avec le curseur, décochez les symboles si le site les refuse, puis cliquez sur « Copier » et collez le résultat dans le formulaire ou dans votre gestionnaire de mots de passe. L'onglet « Phrase de passe » tire des mots français : 8 mots dans une liste de 1 553 donnent près de 85 bits et se retiennent mieux. La jauge indique le niveau atteint à chaque réglage. La limite : un mot de passe aléatoire ne se mémorise pas, il faut un gestionnaire pour le garder.

La CNIL a publié sa recommandation sur les mots de passe par la délibération n° 2022-100 du 21 juillet 2022. Pour un mot de passe utilisé seul, sans autre mesure de protection, elle fixe un niveau minimal de 80 bits d'entropie. Elle en donne des équivalents : 12 caractères au moins avec majuscules, minuscules, chiffres et caractères spéciaux pris dans une liste d'au moins 37 signes ; 14 caractères au moins avec majuscules, minuscules et chiffres ; ou une phrase de passe d'au moins 7 mots. Le seuil descend à 50 bits quand le site limite le nombre d'essais.

Le guide de l'ANSSI sur l'authentification et les mots de passe (octobre 2021) relie longueur et robustesse pour un jeu de 90 caractères : entre 9 et 11 caractères pour environ 65 bits (sensibilité faible à moyenne), entre 12 et 14 pour environ 85 bits, au moins 15 pour 100 bits et plus. Pour les mots de passe qui n'ont pas à être mémorisés, il recommande une longueur très grande, par exemple plus de 20 caractères, et rappelle que les phrases de passe sont une bonne alternative.

Cybermalveillance.gouv.fr conseille au moins 12 caractères de quatre types, un mot de passe différent pour chaque service, un gestionnaire de mots de passe et la double authentification partout où elle est proposée.

Avec ce générateur, les symboles sont les 32 signes de ponctuation du clavier américain standard (ASCII), moins que les 37 de l'exemple de la CNIL : 12 caractères de quatre types donnent environ 78 bits. Réglez donc 13 caractères ou plus. Le réglage par défaut, 16 caractères, dépasse 100 bits. Pour une phrase de passe, la liste compte 1 553 mots : il faut 8 mots pour passer 80 bits, un de plus que l'équivalent donné par la CNIL, qui suppose une liste plus longue.

L'entropie mesure le nombre de mots de passe possibles avec les mêmes réglages, exprimé en puissance de 2. Un mot de passe de 16 caractères tiré parmi 94 signes peut prendre 94¹⁶ valeurs, soit environ 2¹⁰⁵ : son entropie est de 105 bits. Chaque bit en plus double le nombre d'essais qu'un attaquant devrait faire dans le pire des cas. Avec l'option « au moins un de chaque type », le calcul compte exactement les combinaisons qui respectent la règle, ce qui retire une fraction de bit.

Pour une phrase de passe, chaque mot apporte log₂ de la taille de la liste, environ 10,6 bits ici ; le chiffre ajouté apporte la valeur du chiffre et sa position. La majuscule en tête de chaque mot n'ajoute rien, puisqu'elle est systématique. Comme le souligne l'ANSSI, ce calcul ne vaut que si chaque caractère ou chaque mot est vraiment tiré au hasard : une phrase que vous inventez vous-même, une citation ou un mot du dictionnaire modifié valent beaucoup moins que ce que la formule promet.

Le hasard vient de crypto.getRandomValues, le générateur cryptographique du navigateur. Chaque tirage écarte les valeurs qui fausseraient la répartition (méthode du rejet), si bien que chaque caractère a exactement la même probabilité de sortir. Rien n'est envoyé ni enregistré : la page fonctionne même hors connexion une fois chargée.

Un mot de passe de 16 caractères aléatoires ne se retient pas, et ce n'est pas le but. Le gestionnaire de mots de passe (l'ANSSI parle de coffre-fort) les garde chiffrés et les remplit à votre place ; vous ne retenez qu'un seul secret, celui qui l'ouvre. C'est là qu'une phrase de passe de 8 mots ou plus trouve sa place : longue, robuste et facile à taper.

Activez ensuite la double authentification sur les comptes importants (messagerie, banque, impôts, réseaux sociaux) : un code reçu ou généré sur le téléphone, ou une clé de sécurité, en plus du mot de passe. Une fuite de mot de passe ne suffit plus alors pour entrer. Ne réutilisez jamais un même mot de passe sur deux sites : la fuite d'un seul suffirait sinon à ouvrir les autres. Pour vérifier la longueur d'un texte, voyez le compteur de mots ; pour entraîner vos doigts avant de taper une longue phrase de passe, le test de vitesse de frappe.

• CNIL, Mots de passe : recommandations pour maîtriser sa sécurité (délibération n° 2022-100 du 21 juillet 2022), page lue le 27 octobre 2026.
• ANSSI, Recommandations relatives à l'authentification multifacteur et aux mots de passe (guide ANSSI-PG-078), page lue le 27 octobre 2026.
• Cybermalveillance.gouv.fr, Pourquoi et comment bien gérer ses mots de passe ?, page lue le 27 octobre 2026.

• Compteur de motsMots, phrases, paragraphes et temps de lecture d'un texte.
• Compteur de caractèresCaractères avec et sans espaces, limites des réseaux sociaux.
• Générateur lorem ipsumFaux texte en paragraphes, phrases ou mots, à copier.
• Test de vitesse de frappeMots par minute et précision sur un texte en français.
• Tous les outils 75toolsPDF, images, QR codes, documents, calculs, minuteur et texte.