Vérificateur de mot de passe : entropie et délai

Mode d'emploi

Saisissez un mot de passe dans le champ Mot de passe. Il est masqué ; appuyez sur Afficher pour lire ce que vous avez saisi.
Lisez l'Entropie estimée et l'étiquette Force. Plus les bits sont nombreux, plus l'attaquant doit faire de devinettes.
Vérifiez les lignes Durée moyenne de craquage, à trois débits donnés et les contrôles NIST situés dessous.
Regardez Motifs trouvés pour voir les parties du mot de passe qu'un devineur essaierait en premier.

Comment l'estimation est calculée

Chaque caractère qu'aucun motif ne couvre coûte le log2 du jeu, c'est-à-dire le nombre de caractères que permettent les classes du mot de passe : 26 minuscules, 26 majuscules, 10 chiffres, 33 symboles et l'espace, et 100 pour les autres caractères. Un motif coûte ses propres bits : un mot de la liste des mots de passe courants coûte les bits de son rang, une répétition ou une suite dans l'ordre coûte peu, de même qu'un parcours de touches voisines ou une année.

L'estimation est la façon la moins coûteuse de découper le mot de passe en caractères et en motifs. L'ordre dans lequel un devineur essaierait les parties n'est pas compté, si bien que l'estimation peut être un peu basse. Chaque chiffre est un modèle d'échelle, non une mesure d'une attaque réelle.

entropie si aléatoire = longueur × log2(jeu) ;   estimation = le découpage le moins coûteux en caractères et en motifs

Ce que dit le NIST SP 800-63B

Un mot de passe utilisé seul doit compter au moins 15 caractères, et un mot de passe utilisé seulement comme facteur d'une connexion à plusieurs facteurs peut en compter 8. Un vérificateur doit accepter au moins 64 caractères, ainsi que les espaces et tous les caractères imprimables.

Les vérificateurs ne doivent pas imposer de règles de composition, comme un mélange de types, ni forcer un changement périodique sans indice de compromission. Ils doivent comparer le mot de passe entier à une liste de mots de passe courants ou compromis, ils devraient accepter le collage, et ils doivent permettre les gestionnaires de mots de passe et le remplissage automatique.

Exemple détaillé : Password2026

Password2026 compte 12 caractères tirés de 62 possibles (minuscules, majuscules et chiffres) : s'il était aléatoire, son entropie serait 12 × log2(62), soit 71,5 bits.

Son motif est peu coûteux : password est le premier mot de la liste courante (rang 1), ce qui coûte 0 bit, plus 1 bit pour la majuscule P, et 2026 est une année, ce qui coûte log2(140), soit environ 7,1 bits. L'estimation est de 8,1 bits : faible, et environ 280 devinettes en moyenne, si bien qu'il tombe en une fraction de seconde, même au débit en ligne.

Questions fréquentes

Le mot de passe est-il envoyé à un serveur ou stocké ?

Non. La page analyse le mot de passe dans votre navigateur et n'effectue aucune requête qui le contienne. La liste des mots de passe courants est un fichier que ce site fournit, et la page le charge, mais le mot de passe lui-même n'est jamais envoyé, et un rechargement l'efface.

Pourquoi Password1! est-il faible alors qu'il a une majuscule, un chiffre et un symbole ?

Les devineurs essaient d'abord les mots courants, avec les ajouts habituels : le mélange de types ajoute donc peu. Le NIST SP 800-63B donne précisément cet exemple et constate que les règles de composition apportent peu ; la longueur et un contrôle contre les mots de passe courants comptent davantage.

Que signifie la valeur d'entropie ?

C'est le nombre de bits du choix estimé dans le mot de passe. Chaque bit supplémentaire double le nombre de devinettes nécessaires en moyenne : 60 bits sont donc bien plus difficiles à deviner que 40.

Pourquoi les trois durées diffèrent-elles autant ?

Elles utilisent trois débits donnés : une attaque en ligne sans limite de débit, une attaque hors ligne contre un hachage lent, et une attaque hors ligne contre un hachage rapide sur une carte graphique. Les attaquants réels diffèrent des trois ; les débits ne montrent que l'ordre de grandeur.

Un résultat fort signifie-t-il que le mot de passe est sûr ?

Pas à lui seul. La page ne vérifie pas si le mot de passe a fuité ou s'il est réutilisé sur un autre site. Utilisez un mot de passe différent pour chaque compte, et un gestionnaire de mots de passe pour les conserver.

Pourquoi 15 caractères alors que le NIST en autorise 8 ?

Le NIST fixe 15 pour un mot de passe utilisé seul, et autorise 8 lorsqu'il est un facteur parmi d'autres dans une connexion à plusieurs facteurs. La page affiche le chiffre pour un facteur seul, car c'est le plus strict.

Pourquoi la liste des mots de passe courants est-elle si courte ?

Le NIST recommande une liste de refus de valeurs très utilisées, et indique qu'une liste excessivement longue apporte peu. La page utilise les 10 001 mots de passe les plus courants de la liste SecLists, publiée sous licence MIT.

Sources

Chiffres et texte vérifiés pour la dernière fois le mardi 10 novembre 2026.