Générateur de mots de passe en ligne gratuit
Créez des mots de passe forts en quelques secondes

Une attaque par force brute teste successivement toutes les combinaisons de caractères possibles — plus le mot de passe est long et aléatoire, plus cela prend de temps. Une attaque par dictionnaire teste des mots de passe courants et leurs variantes (ex. « motdepasse123 »). Le credential stuffing réutilise des données issues de fuites précédentes — si vous réutilisez le même mot de passe à plusieurs endroits, la compromission d’un compte facilite celle des autres. Le phishing, lui, ne casse pas le mot de passe techniquement : il vous incite à le communiquer volontairement sur un faux site.

L’entropie mesure l’imprévisibilité d’un mot de passe, exprimée en bits — plus elle est élevée, plus une attaque par force brute nécessite de tentatives. Elle dépend de la longueur du mot de passe et du nombre de caractères possibles à chaque position. Ajouter un seul caractère augmente le nombre de combinaisons possibles de façon exponentielle, ce qui explique pourquoi la longueur compte plus que les seules règles de complexité. Passly.pl affiche l’entropie de chaque mot de passe généré, en bits.

L’institut américain NIST (Special Publication 800-63B) a abandonné le changement forcé et fréquent de mot de passe ainsi que les règles de complexité rigides, ces pratiques menant souvent à des mots de passe plus faibles et prévisibles (ex. « Motdepasse1! » → « Motdepasse2! »). Il recommande à la place des mots de passe ou phrases longs, une vérification par rapport aux bases de fuites connues, et un changement uniquement en cas de suspicion de compromission.

La 2FA (ou MFA — authentification multifacteur) exige, en plus du mot de passe, un second élément de confirmation d’identité : un code d’une application d’authentification, une clé physique (ex. une YubiKey) ou une empreinte biométrique. Même si le mot de passe fuite, un attaquant sans le second facteur ne peut pas se connecter. C’est le changement unique le plus efficace pour limiter les conséquences d’une fuite de mot de passe.

Les passkeys sont une norme de connexion basée sur la cryptographie à clé publique (FIDO2/WebAuthn) — au lieu d’un mot de passe, votre appareil conserve une clé privée, et le serveur ne connaît que la clé publique, inutilisable pour se connecter sans l’appareil. Cela élimine le phishing et les fuites de mots de passe à la source. De plus en plus de services prennent en charge les passkeys, mais les mots de passe resteront courants pendant encore de nombreuses années — d’où l’intérêt de continuer à utiliser un générateur de mots de passe robustes.