Générateur de politique de mot de passe

Cet outil aide à rédiger une politique de mot de passe cohérente à partir de trois modèles et d’une dizaine de réglages. Il s’adresse aux administrateurs, responsables sécurité et développeurs qui doivent documenter ou implémenter des règles, et produit une synthèse lisible ainsi qu’une configuration JSON.

La référence actuelle est NIST SP 800-63B-4, publiée en juillet 2025 : au moins 15 caractères lorsque le mot de passe est l’unique facteur d’authentification, 8 lorsqu’un second facteur est obligatoire, acceptation d’au moins 64 caractères, aucune règle de composition par classes de caractères et aucun changement périodique systématique. Elle exige aussi de refuser les mots de passe courants, compromis ou liés au contexte et de limiter à 100 au plus les échecs consécutifs. Les modèles suivent désormais ces principes : Équilibré utilise 15 caractères sans règle de composition, sans expiration forcée et avec un seuil de 10 échecs ; Strict passe à 20 caractères et un seuil de 5 ; Phrase de passe utilise 24 caractères sans règle de composition. L’historique reste disponible pour les organisations qui en ont besoin, mais il n’est pas présenté comme une exigence NIST.

Les valeurs sont bornées par l’outil : longueur minimale de 6 à 128, historique de 0 à 50, expiration de 0 à 3 650 jours et seuil d’échecs de 0 à 100. Le niveau estimé est un indicateur, pas un certificat de conformité NIST : il valorise un minimum de 15 caractères, ajoute un bonus à partir de 20, valorise le blocage des mots de passe courants et des données personnelles évidentes, l’absence d’expiration périodique, la présence d’un seuil d’échecs et l’autorisation des phrases de passe. Les exigences de majuscules, minuscules, chiffres ou symboles diminuent au contraire le score, car NIST les interdit ; l’historique est neutre. Des avertissements apparaissent pour toute expiration forcée, une longueur sous 15 caractères, une règle de composition ou l’absence de blocage des mots de passe courants.