Aller au contenu principal
Bethemesh
Sécurité & confidentialité

Testeur de robustesse de mot de passe

Analysez un mot de passe en direct pendant la saisie : entropie estimée, pénalités pour les mots de passe courants, suites de clavier, répétitions, séquences et dates, niveau de très faible à très fort, temps de cassage en ligne et hors ligne, conseils concrets. Aucune donnée ne quitte votre navigateur.

  • Presse-papiers

Intégrer ce widget

Personnalisez le rendu, vérifiez l’aperçu puis copiez le code.

Aperçu

Type de code d’intégration

Code à copier

Responsive et redimensionné automatiquement par Bethemesh.

Estimation locale : le mot de passe n’est pas envoyé et n’est pas comparé aux fuites de données. Utilisez un mot de passe unique par service.

Cet outil vous a-t-il été utile ?

Comment fonctionne cet outil ?

Ce testeur estime la robustesse d’un mot de passe pendant que vous le tapez, en tenant compte des motifs que les attaquants essaient en premier. Il s’adresse aux particuliers qui veulent juger un mot de passe avant de l’adopter et aux équipes qui sensibilisent leurs utilisateurs, avec un niveau, une entropie, un temps de cassage et des conseils.

L’outil calcule d’abord une entropie de base avec la formule longueur × log2(taille de l’alphabet), l’alphabet étant déduit des types présents : 26 minuscules, 26 majuscules, 10 chiffres et les symboles. Il pénalise ensuite les motifs prévisibles : présence dans la liste des mots de passe les plus courants, suites de clavier comme azerty, qwerty ou 12345, caractères répétés (aaaa), séquences alphabétiques ou numériques (abcd, 6789), années et dates. Ainsi, Azerty2024! compte 11 caractères et 4 types, mais il combine une suite de clavier et une année, deux éléments que les dictionnaires d’attaque testent immédiatement : son estimation chute fortement. Le résultat est un niveau de très faible à très fort, accompagné de l’entropie estimée en bits.

Le temps de cassage correspond au nombre de combinaisons (2 puissance l’entropie) divisé par une vitesse d’essai, dans deux scénarios. En ligne, l’attaquant passe par le formulaire de connexion, limité à quelques tentatives par seconde par la limitation de débit ou le verrouillage. Hors ligne, il a volé une base de hachages rapides (MD5, SHA-1, SHA-256 non salé) et teste 10 milliards de mots de passe par seconde, l’ordre de grandeur d’une machine de cassage à cartes graphiques. Un mot de passe aléatoire de 8 minuscules (environ 2 × 10¹¹ combinaisons) résiste ainsi plusieurs siècles en ligne, mais une vingtaine de secondes hors ligne. Il s’agit d’une estimation, pas d’une garantie : l’outil ne vérifie pas si le mot de passe figure dans une fuite de données, car il n’effectue aucun appel réseau.

Comment utiliser cet outil ?

  1. Saisissez le mot de passe

    Tapez ou collez le mot de passe dans le champ masqué ; utilisez le bouton afficher/masquer pour vérifier ce que vous avez saisi. L’analyse se met à jour à chaque caractère.

  2. Lisez le diagnostic

    Consultez le niveau (de très faible à très fort), l’entropie estimée en bits et les deux temps de cassage : attaque en ligne limitée et attaque hors ligne à 10 milliards d’essais par seconde.

  3. Appliquez les conseils

    Suivez les recommandations affichées, par exemple allonger le mot de passe ou retirer une année ou une suite de clavier, puis retestez jusqu’à obtenir un niveau satisfaisant.

Estimation de l’entropie

Estimation de l’entropie

H = bits attribués aux motifs détectés + nombre de caractères hors motifs × log₂(taille de l’alphabet)

Cas d'utilisation

Valider un mot de passe maître

Avant d’adopter le mot de passe principal de votre gestionnaire ou de votre session d’ordinateur, vérifiez qu’il atteint le niveau très fort et qu’il ne repose sur aucune suite de clavier ni date personnelle.

Animer une sensibilisation à la sécurité

Montrez en direct pourquoi Motdepasse2024! ou Azerty123 tombent en quelques secondes hors ligne, alors qu’une phrase de passe longue résiste, pour convaincre des collègues de changer leurs habitudes.

Comparer deux stratégies de mot de passe

Testez côte à côte un mot de passe court truffé de substitutions, comme Tr0ub4dor&3, et une phrase de quatre mots aléatoires pour voir lequel gagne réellement en entropie et en temps de cassage.

Exemples

Détection d’un mot de passe courant

Entrée

Mot de passe à évaluer : password

Résultat

8 caractères, uniquement des minuscules (ni majuscules, ni chiffres, ni symboles) ; Robustesse : 10 bits d’entropie ; Points faibles détectés : Mot de passe parmi les plus utilisés ; Conseils : Allongez-le : visez au moins 15 caractères lorsque le mot de passe est votre seul facteur d’authentification. Privilégiez la longueur et l’imprévisibilité : ajouter une majuscule, un chiffre ou un symbole ne suffit pas à rendre fort un mot de passe court. Évitez les mots de passe courants, même avec des substitutions comme @ pour a. Préférez une phrase de passe de plusieurs mots au hasard, ou un mot de passe généré.

Conseils et bonnes pratiques

  • Remplacer des lettres par des chiffres ou des symboles (p@ssw0rd) ne trompe pas les outils de cassage, qui appliquent ces substitutions automatiquement : allongez plutôt le mot de passe.
  • Sur un ordinateur partagé ou professionnel, testez une variante de même structure plutôt que votre vrai mot de passe, par simple prudence vis-à-vis des extensions ou logiciels installés.
  • Un niveau très fort ne protège pas un mot de passe réutilisé sur plusieurs sites : s’il fuit sur l’un d’eux, tous les comptes sont exposés. Utilisez un mot de passe unique par site et activez l’authentification à deux facteurs.

Sources et références

Questions fréquentes

Est-il risqué de taper mon mot de passe dans un testeur en ligne ?

Avec ce testeur, le mot de passe est analysé par du code exécuté dans votre navigateur et n’est jamais transmis : aucune requête réseau n’est envoyée pendant l’analyse. Par précaution générale, évitez tout de même de saisir un mot de passe réel sur un appareil que vous ne maîtrisez pas.

Combien de temps faut-il pour pirater mon mot de passe ?

Cela dépend surtout du scénario. En ligne, la limitation des tentatives rend même un mot de passe moyen difficile à deviner ; hors ligne, après le vol d’une base de hachages rapides, un attaquant peut tester 10 milliards de mots de passe par seconde. L’outil affiche les deux estimations, qui supposent que le mot de passe n’est pas déjà connu.

L’outil vérifie-t-il si mon mot de passe a fuité ?

Non, il n’effectue aucun appel réseau et ne consulte aucune base de fuites. Pour cela, utilisez un service comme Pwned Passwords de Have I Been Pwned, qui compare seulement un préfixe du hachage SHA-1 (k-anonymat) ; un mot de passe présent dans une fuite doit être changé, quel que soit son score.

Qu’est-ce qu’un mot de passe fort ?

C’est un mot de passe long, imprévisible et unique : au moins 15 caractères selon NIST SP 800-63B-4 lorsqu’il est utilisé seul, sans mot du dictionnaire évident, date, prénom ni suite de clavier. Un mot de passe aléatoire issu d’un générateur ou une phrase de passe de plusieurs mots tirés au hasard remplit ces critères.

Ajouter une majuscule et un chiffre à la fin suffit-il ?

Rarement. Majuscule en tête, chiffre ou année à la fin et point d’exclamation final sont précisément les transformations que les règles de cassage testent en priorité. L’outil repère notamment les années et les suites ; quelques caractères aléatoires supplémentaires apportent bien plus.

Pourquoi mon score diffère-t-il de celui d’un autre testeur ?

Chaque testeur utilise son propre modèle : taille des dictionnaires, motifs détectés, vitesse d’attaque supposée. Les résultats sont des estimations et peuvent varier d’un outil à l’autre ; retenez surtout les motifs signalés et l’ordre de grandeur du temps de cassage.

Outils associés

Continuez avec ces outils

Des outils similaires ou complémentaires à celui-ci.

Outils similaires

Générateur de mots de passe

Générez des mots de passe forts et aléatoires de 8 à 128 caractères, avec l’entropie affichée.

Sécurité & confidentialitéMis en avantUtiliser l’outil

Générateur de politique de mot de passe

Créez une politique de mot de passe moderne : longueur, blocage, phrases de passe, expiration et limitation des essais.

Sécurité & confidentialitéUtiliser l’outil

À lire aussi

GuideBonnes pratiquesIntermédiaire

Chiffrement, hachage et HMAC : comprendre les différences

Distinguez chiffrement, hachage, HMAC et dérivation de clé pour choisir le bon mécanisme selon le besoin : confidentialité, intégrité, authentification ou stockage de mots de passe.

23 septembre 20264 min