Tester la robustesse de votre mot de passe

Comment le calcul est fait

Votre mot de passe n’est pas envoyé. Le test s’exécute entièrement en JavaScript sur votre appareil. Le champ de saisie n’apparaît ni dans la barre d’adresse ni dans l’historique, et rien n’est enregistré. Seule une liste publique de mots de passe courants est chargée une fois comme fichier et comparée localement.

Comment l’estimation est calculée

1. Jeu de caractères × longueur : le jeu de caractères se déduit des types présents (a–z 26, A–Z 26, 0–9 10, caractères spéciaux 33, accents et autres forfaitairement 100). L’entropie naïve est longueur × log₂(jeu) — pour 12 caractères avec les quatre types, 12 × log₂(95) ≈ 78,8 bits.

2. Déductions pour les motifs : les humains ne choisissent pas des caractères au hasard. Les attaquants essaient donc d’abord les listes de mots de passe piratés, les mots avec substitutions (P@ssw0rd), les suites (abc, 123), les rangées de clavier (azerty, qsdf), les répétitions et les années. L’outil décompose votre mot de passe en ces éléments et ne compte, pour chacun, que les quelques bits nécessaires à un attaquant pour le deviner — méthode simplifiée d’après zxcvbn (Wheeler, USENIX Security 2016). C’est la plus petite des deux valeurs qui s’affiche.

3. Temps de piratage : 2 puissance le nombre de bits, divisé par le nombre d’essais par seconde — soit le temps pour tout essayer. Hypothèses comme dans zxcvbn : attaque hors ligne sur une base de mots de passe volée, avec hachage rapide (10 milliards d’essais/s, ex. MD5 non salé sur cartes graphiques) ou hachage lent (10 000 essais/s, ex. bcrypt). Les connexions en ligne avec blocage sont bien plus lentes à attaquer.

Niveaux

• Très faible moins de 40 bits (hors ligne en moins de 2 minutes) ou présent dans la liste des mots de passe courants
• Faible 40 à 59 bits (hors ligne de quelques minutes à un peu plus de 3 ans et demi)
• Moyen 60 à 79 bits
• Fort 80 à 99 bits (des millions d’années hors ligne)
• Très fort 100 bits ou plus

Cette estimation est un majorant : si un attaquant connaît des données personnelles (noms, dates de naissance, animaux) ou si le mot de passe figure dans une fuite de données, il est craqué bien plus vite. Recommandations du BSI (Office fédéral allemand de la sécurité de l’information) : 8 à 12 caractères avec quatre types, ou 20 à 25 caractères avec deux types, sans motif de clavier comme « azerty » ou « 1234abcd ». Le NIST SP 800-63B exige au moins 15 caractères sans second facteur, sans mélange de types imposé — et recommande à la place la comparaison avec une liste de mots de passe connus. La CNIL recommande, pour un mot de passe utilisé seul, une entropie d’au moins 80 bits, et ne demande plus de renouvellement périodique pour les comptes standards.

Questions fréquentes

Sources et références juridiques

• NIST SP 800-63B: NIST SP 800-63B-4 – 3.1.1.2 Password Verifiers (length, blocklist)
• BSI – Creating secure passwords
• CNIL – Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité
• Wheeler (2016): zxcvbn – Low-Budget Password Strength Estimation, USENIX Security
• zxcvbn (Dropbox, MIT) – attack scenarios offline_fast_hashing_1e10_per_second / offline_slow_hashing_1e4_per_second
• SecLists – 10k-most-common.txt (common passwords, MIT)

Dernière mise à jour : 27 septembre 2026