Générateur de mot de passe

Cet outil construit des mots de passe aléatoires à partir de classes de caractères que vous choisissez : minuscules, majuscules, chiffres et symboles. Définissez une longueur, choisissez les classes à inclure, et excluez éventuellement les caractères ambigus comme 0, O, 1, l et I, faciles à confondre à l’écran ou sur une carte imprimée. Générez un mot de passe ou une centaine d’un coup.

Quel est le degré d’aléatoire des mots de passe ?

Chaque caractère est tiré avec crypto.getRandomValues() de la Web Crypto API, la même source que les navigateurs utilisent pour les clés cryptographiques, et non Math.random(), qui n’est pas conçu pour être imprévisible. Tirer un caractère aléatoire dans un ensemble dont la taille n’est pas une puissance de deux est plus délicat qu’il n’y paraît : prendre naïvement un octet aléatoire modulo la taille de l’ensemble favorise certains caractères. L’outil évite ce biais par échantillonnage avec rejet : il tire des octets aléatoires et écarte toute valeur qui tomberait en dehors d’un multiple exact de la taille de l’ensemble, si bien que chaque caractère a exactement la même probabilité d’être choisi. Les caractères sont ensuite mélangés avec un algorithme de Fisher-Yates piloté par la même source aléatoire, après avoir d’abord garanti au moins un caractère de chaque classe sélectionnée, pour qu’un mot de passe avec les quatre classes activées n’oublie jamais un symbole par accident. L’indicateur d’entropie affiche le nombre de bits d’aléatoire du mot de passe, calculé comme la longueur multipliée par log2 de la taille de l’ensemble, ce qui permet de comparer rapidement différents réglages avant de générer.

Mon mot de passe est-il envoyé quelque part ?

Non. La génération se fait entièrement dans votre navigateur via la Web Crypto API, et rien concernant le résultat, les réglages choisis ou le mot de passe lui-même n’est envoyé à un serveur, consigné ou stocké où que ce soit. C’est ce qui permet de s’en servir pour de vrais mots de passe de compte et pas seulement pour des tests : un outil qui générerait les mots de passe côté serveur exigerait de faire confiance à sa promesse de ne jamais les enregistrer, alors qu’ici la question ne se pose même pas puisqu’aucun serveur n’entre en jeu.

À quoi ça sert ?

Usages courants : création de nouveaux comptes, identifiants de base de données ou de service, clés API et secrets partagés, ou un lot de mots de passe jetables pour des comptes de test. Si vous désactivez toutes les classes sauf une, ou choisissez une longueur inférieure au nombre de classes sélectionnées, l’outil vous le signale plutôt que de générer silencieusement un résultat plus faible que prévu. Voir NIST SP 800-63B pour les recommandations actuelles sur les mots de passe, et la référence MDN de Crypto.getRandomValues() pour savoir comment l’aléatoire sous-jacent est produit.