Tester la robustesse d’un mot de passe

Tapez un mot de passe pour estimer sa robustesse et repérer ses faiblesses. L’analyse se fait dans votre navigateur : rien n’est transmis.

Mot de passe à tester

Comment la force d’un mot de passe est-elle estimée ?

Le testeur procède en deux temps. Il calcule d’abord l’entropie théorique : le nombre de caractères multiplié par la quantité d’information de chacun, qui dépend des familles utilisées (26 minuscules, 26 majuscules, 10 chiffres, une trentaine de symboles). Un mot de passe de 12 caractères mêlant les quatre familles atteint ainsi environ 79 bits.

Ce chiffre n’est valable que si les caractères ont été tirés au hasard. Le testeur cherche donc ensuite les modèles prévisibles et réduit le score lorsqu’il en trouve :

un mot de passe figurant parmi les plus utilisés (azerty, 123456, soleil…), y compris déguisé par des substitutions comme @ pour a ou 0 pour o ;
la forme « mot + chiffres + symbole » (Camille2019!), la plus fréquente chez les humains ;
les suites d’alphabet, de chiffres ou de clavier (abcd, 1234, azer, qsdf) ;
un même caractère répété trois fois ou plus ;
une année, souvent une date de naissance ou de mariage.

Le résultat est converti en temps de cassage hors ligne : le temps moyen qu’il faudrait à un attaquant ayant volé une base de données pour retrouver le mot de passe, à raison de 100 milliards d’essais par seconde. C’est l’ordre de grandeur atteint par quelques cartes graphiques face à un hachage rapide et mal choisi par le site.

Lire le résultat

Niveau	Entropie	Ce que cela signifie
Très faible	moins de 64 bits	Cassable en quelques secondes à quelques jours. À remplacer.
Faible	64 à 79 bits	Résiste à une attaque en ligne, pas à un vol de base de données avec du matériel dédié.
Moyen	80 à 99 bits	Correct pour un compte courant, notamment avec la double authentification.
Fort	100 à 127 bits	Robuste selon les critères de l’ANSSI.
Très fort	128 bits et plus	Hors de portée de toute attaque par force brute.

Ces seuils reprennent ceux du guide de l’ANSSI sur l’authentification : moins de 64 bits est jugé très faible, plus de 100 bits fort.

Ce qui rend un mot de passe faible

La brièveté

Chaque caractère en moins divise la robustesse par 60 à 90. Un mot de passe de 8 caractères, même parfaitement aléatoire, plafonne autour de 52 bits : quelques heures de calcul suffisent. Visez 12 caractères au minimum, 16 pour les comptes sensibles.

Les mots et les informations personnelles

Les outils de cassage n’essaient pas toutes les combinaisons dans l’ordre : ils commencent par des listes de centaines de millions de mots de passe réels issus de fuites, des dictionnaires dans toutes les langues, des prénoms, des noms de clubs et de villes, puis appliquent des règles de transformation (majuscule initiale, chiffres à la fin, lettres remplacées par des chiffres). Votre prénom, celui de vos enfants, votre animal ou votre date de naissance figurent dans les premières tentatives d’une attaque ciblée, car ils se trouvent souvent sur les réseaux sociaux.

La réutilisation

Le meilleur mot de passe du monde ne vaut plus rien s’il a fuité d’un autre site. Les identifiants volés sont testés automatiquement sur des milliers de services : c’est le credential stuffing. Aucun testeur de robustesse ne peut le détecter ; seule l’utilisation d’un mot de passe différent par compte vous en protège.

Les limites de ce testeur

Un testeur de robustesse donne une estimation, jamais une garantie. Le nôtre a des limites que nous préférons expliciter :

Sa liste de mots de passe courants est courte, pour que la page reste légère. Un attaquant utilise des listes des milliers de fois plus grandes : un mot de passe jugé « Moyen » ici peut tomber plus vite si c’est un mot du dictionnaire ou une expression connue.
Il ne connaît pas vos informations personnelles : Rexdu75012 peut obtenir un score honorable alors qu’il combine le nom de votre chien et votre code postal.
Il ne vérifie pas si le mot de passe a déjà fuité. Pour cela, utilisez un service comme Have I Been Pwned, présenté dans notre guide mot de passe piraté : que faire ?
Il sous-estime à l’inverse les phrases de passe tirées au hasard, qu’il traite comme de simples lettres minuscules. Pour celles-ci, fiez-vous au calcul du générateur de phrase de passe.

Règle simple : si vous avez inventé le mot de passe vous-même, considérez qu’il est plus faible que le score affiché. Seul un mot de passe généré aléatoirement atteint réellement l’entropie calculée.

Vos données restent sur votre appareil

Le testeur est un petit script exécuté dans votre navigateur. Le mot de passe saisi n’est envoyé à aucun serveur, n’est pas enregistré et n’est jamais transmis à l’outil de mesure d’audience du site. Vous pouvez le vérifier en coupant votre connexion après le chargement de la page, ou dans l’onglet « Réseau » des outils de développement : aucune requête n’est émise pendant la saisie.

Améliorer un mot de passe faible

Remplacez-le par un mot de passe aléatoire de 16 caractères avec le générateur de mot de passe, plutôt que de modifier l’ancien (ajouter un chiffre ne suffit pas).
Enregistrez-le dans un gestionnaire de mots de passe pour ne pas avoir à le retenir.
Changez-le partout où il était réutilisé, en commençant par la messagerie et la banque.
Activez la double authentification sur les comptes importants.

Questions fréquentes

Est-ce risqué de taper mon vrai mot de passe dans un testeur en ligne ?

Avec ce testeur, le mot de passe n’est jamais envoyé : le calcul se fait en JavaScript dans votre navigateur, sans requête réseau. Par principe, il reste préférable de tester un mot de passe du même modèle que le vôtre plutôt que le vrai, surtout sur un site que vous ne connaissez pas.

Pourquoi le testeur et un site web donnent-ils des résultats différents ?

Chaque outil a ses propres règles. Beaucoup de sites se contentent de vérifier la présence d’une majuscule, d’un chiffre et d’un symbole : Azerty123! y passe pour « fort ». Notre testeur pénalise au contraire les modèles prévisibles, car ce sont eux que les attaquants testent en premier.

Un mot de passe « Très fort » ici est-il forcément sûr ?

Non. Il peut avoir fuité lors du piratage d’un site, ou être réutilisé sur plusieurs comptes. La robustesse n’est qu’un critère : un mot de passe doit aussi être unique et jamais exposé. Vérifiez s’il a fuité.

Que signifie « bits d’entropie » ?

C’est le logarithme en base 2 du nombre d’essais nécessaires pour trouver le mot de passe. 40 bits représentent environ mille milliards de possibilités ; chaque bit supplémentaire double ce nombre. L’ANSSI considère comme fort un mot de passe de plus de 100 bits.