Générez un mot de passe aléatoire à l'aide d'un générateur aléatoire cryptographiquement sûr. Généré à nouveau à chaque requête : jamais enregistré ni stocké.
Rien de ce que vous générez n'est stocké : le mot de passe est créé et renvoyé dans la même requête, sans jamais être écrit sur disque, dans une base de données, un cache ou un journal.
Un mot de passe robuste est un mot de passe qu'un attaquant ne peut ni deviner ni prédire, ce qui veut dire qu'il doit venir d'une source elle-même imprévisible. Cet outil en génère un avec le générateur de nombres aléatoires cryptographique de Python, et non avec le générateur plus rapide mais prévisible intégré à la plupart des langages de programmation, puis vous montre précisément le travail de devinette qu'il représente.
Le module random habituel de Python est un Mersenne Twister : rapide et excellent pour les simulations, mais tout son état interne peut être reconstitué à partir de 624 sorties consécutives de 32 bits, après quoi chaque nombre qu'il produira ensuite devient prévisible. Cet outil puise plutôt dans la source aléatoire cryptographique du système d'exploitation, via le module secrets de Python, que la documentation de Python recommande pour les mots de passe et les jetons de sécurité. Toutes les décisions aléatoires, y compris l'étape qui mélange les caractères, l'utilisent.
L'entropie en bits est la longueur du mot de passe multipliée par le logarithme en base 2 du nombre de caractères distincts possibles à chaque position. Par exemple, un mot de passe de 16 caractères tirés des quatre types (26 majuscules, 26 minuscules, 10 chiffres et 26 symboles, soit 88 caractères) a environ 103 bits d'entropie. Chaque bit supplémentaire double le nombre de mots de passe qu'un attaquant devrait essayer, et chaque caractère de plus ajoute environ 6,5 bits : quatre caractères de plus multiplient donc le travail par environ 60 millions. Le niveau affiché (Faible, Moyen, Fort, Très fort) vient de seuils fixes en bits, pas d'un jugement.
La norme NIST SP 800-63B-4 (2025), section 3.1.1.2, exige qu'un mot de passe utilisé seul pour se connecter fasse au moins 15 caractères, et au moins 8 lorsqu'il n'est qu'un élément d'une authentification multifacteur. Elle précise aussi que les sites doivent accepter des mots de passe d'au moins 64 caractères et ne doivent imposer ni mélange de types de caractères ni changement périodique. C'est la longueur qui fait la robustesse : 20 lettres minuscules donnent 94 bits, plus que 12 caractères des quatre types (77,5 bits). Si un site limite la longueur ou refuse les symboles, prenez la plus grande longueur acceptée et décochez Symboles.
L'option Symboles puise dans 26 caractères : ! @ # $ & * ( ) - _ = + [ ] { } ; : , . < > ? / ~ ^. Elle exclut l'espace, la barre oblique inverse, les guillemets, l'accent grave, % et |, que certains systèmes anciens refusent ou altèrent. Les caractères qui se ressemblent, comme 0 et O ou l, 1 et I, ne sont pas retirés : copiez-collez donc le mot de passe plutôt que de le retaper. Les bits affichés supposent un mot de passe secret et unique : réutilisé sur plusieurs sites ou conservé dans un fichier partagé, il est plus faible que ce que dit le chiffre.
Non. Il est généré et renvoyé dans la même requête, et n'est jamais écrit sur disque, dans une base de données, un cache ou un journal.
Il les contient toujours, tant que la longueur choisie est au moins égale au nombre de types sélectionnés : un caractère de chaque type sélectionné est garanti, pas laissé au hasard.
Il reflète l'entropie en bits : moins de 40 est Faible, de 40 à 59 Moyen, de 60 à 79 Fort, et 80 ou plus Très fort. Ces seuils sont fixes, ce n'est pas l'avis d'un modèle.
Un mot de passe inventé s'appuie sur des schémas de votre mémoire et de vos habitudes, ce qui le rend justement devinable. Un mot de passe issu d'une source aléatoire cryptographique n'a aucun schéma à deviner.
Cela dépend des types de caractères cochés, car chacun agrandit le jeu de caractères. Avec les quatre types (88 caractères, environ 6,46 bits chacun), 10 caractères atteignent Fort et 13 atteignent Très fort. Avec lettres et chiffres mais sans symboles (62 caractères), il en faut 11 et 14 ; minuscules seules (26), 13 et 18 ; chiffres seuls (10), 19 et 25. La valeur par défaut, 16 caractères avec les quatre types, donne environ 103,4 bits. Un mot de passe de 8 caractères avec tous les types ne fait qu'environ 51,7 bits, soit Moyen.
Oui. Décochez tout sauf Chiffres (0-9) et choisissez la longueur, à partir de 4. Chaque chiffre a la même probabilité à chaque position, zéros en tête compris, donc 0472 ou même 1111 peuvent sortir ; si une banque ou un digicode refuse les chiffres répétés ou qui se suivent, cliquez de nouveau sur Générer. La robustesse indiquera Faible : un code à 4 chiffres vaut environ 13,3 bits (10 000 codes possibles) et un code à 6 chiffres environ 19,9 bits (1 000 000). C'est normal pour un code PIN, qui n'est sûr que si la carte, le téléphone ou la serrure bloque les essais après quelques erreurs. Pour tout ce qui pourrait être deviné hors ligne, utilisez plutôt un vrai mot de passe.
Pour la règle courante en entreprise, oui. Une politique du type "au moins 12 caractères avec une majuscule, une minuscule, un chiffre et un symbole" est respectée à chaque fois si vous cochez les quatre types et réglez la longueur sur 12 ou plus, car un caractère de chaque type coché est garanti. L'outil ne peut pas suivre une liste de symboles autorisés, une interdiction des caractères répétés ou consécutifs, ni une règle contre votre nom : si un système refuse le résultat, cliquez de nouveau sur Générer. S'il refuse les symboles, décochez Symboles (ex. !@#&*) et ajoutez 2 caractères : 14 lettres et chiffres donnent 83,4 bits, plus que 12 caractères des quatre types (77,5 bits). Une clé Wi-Fi WPA2-Personnel doit compter de 8 à 63 caractères ASCII imprimables (IEEE 802.11i-2004, Annex H.4.1 ; Microsoft MS-TCC, section 2.2.2.9). Tout ce que produit cet outil est de l'ASCII imprimable, donc toute longueur de 8 à 63 convient ; 20 lettres et chiffres (environ 119,1 bits) se tapent facilement sur une télévision ou une imprimante.
Non, pas selon un calendrier fixe. La norme NIST SP 800-63B-4 (2025), section 3.1.1.2, indique que les vérificateurs ne doivent pas exiger de changement périodique du mot de passe, mais doivent imposer un changement en cas d'indice de compromission. Les changements forcés produisent souvent des variantes prévisibles, comme Hiver2026! qui devient Printemps2026!. Changez un mot de passe tout de suite après un avis de fuite de données, un clic sur un lien d'hameçonnage ou s'il a été partagé, puis générez-en un nouveau ici et gardez-le dans un gestionnaire de mots de passe au lieu de le réutiliser sur un autre site.