Vérificateur de robustesse de mot de passe — outil gratuit

Exemple détaillé

Cliquez sur le champ « Mot de passe » et saisissez 9fK2!xQ. Il s'affiche en points ; appuyez sur « Afficher » pour le lire. La page indique Robustesse « Correct », Entropie « 46 bits », « Hachage rapide (10 Md d'essais/s) » « 2 heures » et « Hachage lent, type bcrypt (10 K/s) » « 206 ans ». Comme le mot de passe n'a que 7 caractères, « Ce qu'il faut corriger » indique « Court : 7 caractères. La longueur compte avant tout. » et la liste « Exigences du mot de passe » marque « Au moins 8 caractères » et « Au moins 12 caractères » d'un cercle vide tandis que les autres lignes sont validées. Appuyez sur « Générer une phrase secrète robuste » pour obtenir six mots aléatoires, comme proud-gate-merry-wise-brave-fancy, étiquetés « Phrase secrète aléatoire, environ 53 bits ». Remplacez maintenant le texte par Summer2024. La robustesse tombe à « Très faible », l'entropie à « 0 bits », les deux temps affichent « instantanément », et « Ce qu'il faut corriger » indique « Il figure dans les listes des mots de passe les plus courants. » et « Contient une année (2024), que les attaquants testent en premier. »

Quels réglages utiliser, et les limites

• Lisez le score comme une estimation. « Très faible », « Faible », « Correct » et « Fort » viennent d'une estimation d'entropie plus le nombre d'exigences satisfaites. En dessous de 28 bits, le score ne peut pas dépasser « Très faible », en dessous de 40 « Faible », et en dessous de 60 « Correct ». Une correspondance avec la liste intégrée de mots de passe courants impose « Très faible », et un mot de passe construit sur un mot courant ou un prénom est plafonné à « Faible ». La note orange « Heuristique uniquement. » avertit que le score repose sur la structure et sur de courtes listes intégrées : un mot de passe faible qui ne figure sur aucune des deux listes peut donc tout de même obtenir un bon score.
• Comparez les deux temps de cassage. Les deux chiffres divisent le nombre d'essais par une vitesse d'essai. « Hachage rapide (10 Md d'essais/s) » suppose 10 milliards d'essais par seconde, comme pour un hachage calculé rapidement. « Hachage lent, type bcrypt (10 K/s) » suppose 10 000 par seconde. La note sous les cartes indique que les estimations supposent un attaquant qui a volé le mot de passe haché et teste hors ligne, et que les sites qui limitent les tentatives de connexion sont bien plus difficiles à attaquer. Les temps s'affichent « instantanément » en dessous d'une seconde, puis en secondes jusqu'aux années, puis par exemple 12K ans, « des millions d'années » et, au-delà d'un milliard d'années, « pratiquement impossible à casser ».
• Utilisez la vérification de fuite facultative. Appuyez sur « Vérifier contre les violations connues » pour rechercher le mot de passe dans les données de Have I Been Pwned. Le navigateur calcule un hachage SHA-1 du mot de passe, n'envoie que ses 5 premiers caractères à api.pwnedpasswords.com et compare le reste sur votre appareil : le mot de passe lui-même n'est donc jamais envoyé. La réponse est « Trouvé dans 12,345 violations connues — n'utilisez pas ce mot de passe. » ou « Non trouvé dans les violations connues. » Cochez « Vérifier automatiquement quand j'arrête de taper » pour la lancer 0,9 seconde après une pause, à partir de 4 caractères ; ce choix est mémorisé dans ce navigateur. Modifier le mot de passe efface l'ancien résultat.
• Utilisez le bouton de phrase secrète quand le score n'est pas Fort. « Générer une phrase secrète robuste » apparaît sous « Ce qu'il faut corriger » tant que quelque chose est saisi et que le score est « Très faible », « Faible » ou « Correct ». Il joint six mots par des tirets, tirés avec le générateur aléatoire sécurisé du navigateur dans une liste d'environ 490 mots anglais courts, et l'étiquette « Phrase secrète aléatoire, environ 53 bits ». « Copier » la copie et « La tester ici » la place dans le champ et l'affiche. L'outil la note alors comme des caractères ordinaires : son chiffre d'entropie est donc bien supérieur à 53 bits. Fiez-vous à l'étiquette de 53 bits, qui ne compte que le choix aléatoire des mots.
• Sachez ce que vérifie la liste des exigences. La liste affiche « Au moins 8 caractères », « Au moins 12 caractères », les minuscules et les majuscules (ou « Contient des lettres (tout alphabet) » pour les écritures sans casse, comme l'arabe, l'hébreu ou le chinois), « Contient des chiffres », « Contient des caractères spéciaux », « Pas un mot de passe courant », « Pas de caractères répétés (3 fois ou plus) » et « Pas de motifs courants (123, abc, qwerty, années) ». Le test du mot de passe courant ignore la casse, les accents, les chiffres et symboles à l'une ou l'autre extrémité, et les remplacements comme @ pour a et 0 pour o : P@ssw0rd!! est donc repéré. « Ce qu'il faut corriger » affiche au plus deux constats.
• Utilisez Afficher pour vérifier ce que vous avez saisi. Le champ cache le mot de passe sous forme de points et désactive le correcteur orthographique et les majuscules automatiques. Appuyez sur « Afficher » pour le lire et sur « Masquer » pour le recouvrir. Le mot de passe n'existe que dans la page ouverte ; la seule chose enregistrée dans le navigateur est le réglage de la vérification de fuite automatique. Les mots de passe dans d'autres alphabets sont notés par écriture : les lettres cyrilliques, grecques, arabes, hébraïques, arméniennes, géorgiennes, indiennes, thaï, les kana japonais, le coréen et le chinois ajoutent chacun un ensemble de caractères possibles, et ne sont pas traités comme des symboles.

Problèmes courants et comment les résoudre

Le message affiché est « La vérification des violations a échoué — vérifiez votre connexion et réessayez. »

La recherche de fuite est la seule partie de la page qui utilise le réseau. Elle demande à api.pwnedpasswords.com la liste des fins de hachage qui partagent votre préfixe de 5 caractères, et ce message apparaît quand cette requête échoue ou que le service répond par une erreur. Vérifiez que vous êtes en ligne et que rien ne bloque cette adresse, puis appuyez de nouveau sur « Vérifier contre les violations connues ». Le score de robustesse n'utilise pas le réseau : il continue donc de fonctionner.

Robustesse indique « Très faible » et Entropie indique « 0 bits » pour un mot de passe qui semble compliqué.

Le mot de passe correspondait à la liste des mots de passe courants, ce qui ramène l'entropie à 0, les deux temps de cassage à « instantanément » et le score à « Très faible ». La correspondance ignore la casse, les accents, les chiffres et symboles à l'une ou l'autre extrémité, les remplacements de ressemblance comme 4 pour a, 3 pour e et 0 pour o, et un « my » ou « the » initial. Ainsi Password123!, P@ssw0rd!! et mypassword comptent tous comme le même mot de passe célèbre. Choisissez quelque chose qui n'a aucun rapport avec un mot.

Le message affiché est « Construit sur le mot courant « istanbul ». » (avec votre propre mot).

Une fois les chiffres et symboles aux extrémités retirés et les remplacements de ressemblance annulés, le mot de passe est un prénom, un mois, une ville ou un mot courant de la liste intégrée. Le score est alors plafonné à « Faible » au plus, et l'entropie est limitée au coût du mot lui-même plus quelques bits pour la décoration : 3,4 bits par chiffre, 5 par symbole, 1 pour une majuscule. Une année à la fin compte pour environ 7 bits en tout. Ajoutez des mots sans rapport, ou utilisez le bouton de phrase secrète.

Le message affiché est « Suite de clavier ou d'alphabet « qwerty123 ». » (avec votre propre suite).

Trois caractères voisins ou plus d'une rangée du clavier, d'une diagonale comme qazwsx, de la rangée des chiffres, de l'alphabet ou des chiffres de 0 à 9, dans un sens ou dans l'autre, comptent comme une suite. Les mêmes rangées sur les claviers AZERTY et russes comptent aussi. Les caractères d'une suite comptent pour un quart de leur force normale, et la ligne « Pas de motifs courants (123, abc, qwerty, années) » échoue. Cassez la suite avec des caractères sans rapport.

Le bouton « Générer une phrase secrète robuste » est absent.

Il se trouve dans le panneau « Ce qu'il faut corriger », qui n'est affiché que tant que le champ n'est pas vide et que la robustesse est « Très faible », « Faible » ou « Correct ». Quand le score est « Fort », le panneau est masqué, et avec un champ vide seul le champ de saisie apparaît. Pour obtenir une phrase secrète à partir d'un champ vide, saisissez d'abord un court texte, puis appuyez sur le bouton.

Comment il se compare

Cette page donne une estimation, pas un verdict. Elle utilise de courtes listes intégrées de mots de passe, de prénoms et de mots courants, un test de motifs de clavier et un modèle d'entropie par ensemble de caractères, et elle ne sait rien de votre nom, de votre anniversaire ni du site pour lequel vous choisissez un mot de passe. La vérification de fuite facultative utilise le service public de plage de Have I Been Pwned et vous dit seulement si ce mot de passe exact apparaît dans des données divulguées, pas si un mot de passe semblable y figure. Pour les mots de passe de caractères aléatoires, la page renvoie vers le générateur de mots de passe (« Générer un mot de passe fort »), et elle crée elle-même les phrases secrètes. Elle ne stocke pas les mots de passe et ne vérifie pas comment un site les hache : les deux temps de cassage sont donc des hypothèses sur la vitesse de l'attaquant.