Générateur de phrase de passe

Une suite de mots français tirés au hasard : aussi robuste qu’un mot de passe aléatoire, mais facile à retenir et à taper.

Nombre de mots8

Séparateur Majuscule initiale Ajouter un chiffre

Qu’est-ce qu’une phrase de passe ?

Une phrase de passe (passphrase en anglais) est un mot de passe composé de plusieurs mots ordinaires tirés au hasard, par exemple galet-bougie-renard-tisane-volcan-plume-sirop-atlas. Elle est plus longue qu’un mot de passe classique, mais beaucoup plus simple à retenir : votre mémoire retient facilement huit mots concrets, alors qu’elle peine avec seize caractères sans signification.

La sécurité ne vient pas de la complexité de chaque mot, mais du nombre de combinaisons possibles. Un attaquant qui connaît la liste de mots utilisée, et même la méthode exacte, doit quand même tester toutes les combinaisons : c’est le principe d’un bon secret.

La méthode Diceware

La méthode a été popularisée en 1995 par Arnold Reinhold sous le nom de Diceware : on lance cinq dés pour obtenir un nombre de 11111 à 66666, qui désigne un mot dans une liste de 7 776 mots. On répète l’opération pour chaque mot. Les dés garantissent un vrai hasard, que le cerveau humain est incapable de produire.

Ce générateur applique le même principe avec le générateur aléatoire cryptographique de votre navigateur (crypto.getRandomValues()) au lieu des dés. Chaque mot est tiré uniformément dans une liste de 1 024 mots français courants, sans accents ni tirets, de 4 à 8 lettres, pour qu’ils soient faciles à taper sur tous les claviers, y compris sur mobile.

Combien de mots faut-il ?

Avec 1 024 mots possibles, chaque mot apporte exactement 10 bits d’entropie (2¹⁰ = 1 024). Chaque mot ajouté multiplie donc par 1 024 le nombre de combinaisons à tester.

Nombre de mots	Entropie	Combinaisons	Cassage hors ligne*
4 mots	40 bits	≈ 1 100 milliards	quelques secondes
6 mots	60 bits	≈ 1,15 × 10¹⁸	environ deux mois
7 mots	70 bits	≈ 1,18 × 10²¹	près de deux siècles
8 mots	80 bits	≈ 1,2 × 10²⁴	environ 190 000 ans
10 mots	100 bits	≈ 1,3 × 10³⁰	hors de portée

* Temps moyen à 100 milliards d’essais par seconde, scénario le plus défavorable (base de données volée, hachage rapide).

Ce tableau est volontairement pessimiste. Les gestionnaires de mots de passe sérieux et les systèmes de chiffrement de disque protègent la phrase maître avec une fonction de dérivation lente (Argon2, PBKDF2, scrypt) qui ralentit chaque essai d’un facteur de plusieurs centaines de milliers. Dans ce cas, 6 à 7 mots suffisent largement. Pour un usage où la phrase pourrait être stockée avec un hachage rapide, visez 8 mots ou plus, ce qui correspond au seuil de 80 bits.

Les listes Diceware classiques de 7 776 mots apportent 12,9 bits par mot : 6 mots y valent environ 78 bits. Notre liste plus courte privilégie des mots simples et sans accents ; compensez avec un ou deux mots de plus.

Pourquoi des mots au hasard battent les mots de passe « compliqués »

La célèbre bande dessinée xkcd n° 936 l’a résumé en 2011 : un mot de passe comme Tr0ub4dor&3 paraît complexe mais repose sur un seul mot du dictionnaire légèrement déguisé. Les logiciels de cassage connaissent toutes ces substitutions (0 pour o, 4 pour a, & à la fin) et le trouvent rapidement. À l’inverse, correct horse battery staple — quatre mots courants tirés au hasard — est à la fois plus robuste et plus facile à retenir.

Ce qui compte est la façon dont le secret a été produit, pas son apparence. Un mot de passe de 8 caractères « bien mélangé » offre au mieux 52 bits ; une phrase de 8 mots en offre 80, et vous la retiendrez après quelques jours d’usage.

Quand utiliser une phrase de passe ?

Pour la plupart de vos comptes en ligne, la meilleure solution reste un mot de passe aléatoire différent pour chaque site, enregistré dans un gestionnaire : vous n’avez jamais à le taper. La phrase de passe est faite pour les quelques secrets que vous devez connaître par cœur :

Le mot de passe maître de votre gestionnaire de mots de passe, la clé qui protège toutes les autres.
La session de votre ordinateur (Windows, macOS, Linux), que vous tapez plusieurs fois par jour.
Le chiffrement du disque (BitLocker, FileVault, LUKS) ou d’une sauvegarde.
Votre compte de messagerie principal, qui permet de réinitialiser tous les autres, si vous devez pouvoir vous y connecter sans votre gestionnaire.
Le Wi-Fi de la maison, que vos invités doivent pouvoir saisir sans erreur (voir comment changer le mot de passe Wi-Fi).

Bonnes pratiques

Ne choisissez pas les mots vous-même. Prenez le tirage tel quel ; si vous régénérez plusieurs fois pour « trouver une belle phrase », ajoutez un mot.
Retenez l’ordre exact. Les mêmes mots dans un autre ordre forment un autre mot de passe : le site refusera la connexion.
Une phrase par usage. Comme tout mot de passe, une phrase de passe ne se réutilise jamais sur deux services.
Activez la double authentification là où c’est possible : elle protège même si la phrase est un jour interceptée.
Prévoyez un secours. Pour le mot de passe maître, notez la phrase sur papier et rangez-la en lieu sûr (coffre, enveloppe chez un proche). Une phrase oubliée rend souvent le coffre irrécupérable.

Confidentialité

La liste de mots est chargée avec la page, puis tout se passe dans votre navigateur : aucune phrase n’est envoyée, enregistrée ou journalisée. Vous pouvez vérifier la robustesse de n’importe quel mot de passe avec notre testeur de mot de passe, qui fonctionne lui aussi hors ligne.

Questions fréquentes

Une phrase de passe peut-elle être une vraie phrase ?

Une phrase grammaticale (« Le chat mange 3 souris le lundi ») vaut beaucoup moins qu’il n’y paraît : les mots s’enchaînent de façon prévisible et les logiciels de cassage exploitent ces modèles de langue. Seuls des mots tirés au hasard, sans lien entre eux, offrent l’entropie annoncée.

Les sites acceptent-ils les phrases de passe ?

La plupart, oui. Quelques sites imposent encore une longueur maximale (16 ou 20 caractères) ou interdisent les espaces : choisissez alors le tiret ou le point comme séparateur, ou utilisez plutôt un mot de passe aléatoire stocké dans votre gestionnaire.

Puis-je modifier un mot de la phrase qui ne me plaît pas ?

Mieux vaut régénérer toute la phrase. Choisir parmi plusieurs tirages réduit légèrement l’entropie ; remplacer un mot par un mot « préféré » la réduit davantage, car vos goûts sont plus prévisibles que le hasard. Si vous rejetez un tirage, ajoutez un mot pour compenser.

Faut-il ajouter des chiffres et des symboles ?

Ce n’est pas nécessaire pour la robustesse : un mot de plus apporte 10 bits, bien plus qu’un chiffre. L’option « Ajouter un chiffre » sert surtout à satisfaire les sites qui exigent un chiffre dans le mot de passe.

Comment mémoriser une phrase de passe ?

Imaginez une scène absurde qui relie les mots dans l’ordre, puis tapez la phrase plusieurs fois les premiers jours. Gardez temporairement une copie papier dans un endroit sûr, et détruisez-la une fois la phrase mémorisée.