Mise à disposition d'un générateur et testeur de mots de passe

Les mots de passe sont devenus un sujet quotidien. Pour ouvrir une session, pour accéder à un compte, pour récupérer un service. Chacun en accumule des dizaines, parfois des centaines, sans toujours savoir lesquels sont solides, lesquels sont à risque, ni comment en fabriquer de meilleurs.

Sur Internet, les outils pour générer et tester des mots de passe sont innombrables. Et c'est précisément le problème. Beaucoup de ces outils ont des défauts que personne ne montre. Certains envoient votre mot de passe à un serveur distant pour l'analyser : autrement dit, ils vous demandent de transmettre, en clair, l'information qui devrait rester la plus confidentielle de votre vie numérique. D'autres affichent un verdict rassurant sans la moindre rigueur, juste pour vous faire plaisir. D'autres encore utilisent des fonctions de hasard qui n'en sont pas vraiment, et produisent des suites de caractères bien moins aléatoires qu'elles n'en ont l'air.

Nous avons donc décidé de proposer notre propre paire d'outils : un générateur de mots de passe robuste, et un testeur de robustesse. Avec deux exigences non négociables.

Première exigence : tout doit se passer dans votre navigateur. Pas de serveur distant, pas de transmission, pas de stockage. Vos mots de passe restent chez vous, point. Vous pouvez le vérifier vous-même en ouvrant les outils de développement de votre navigateur : aucune requête n'est émise.

Seconde exigence : la rigueur. Pas de jauge de couleur posée au hasard. Pas de chiffres rassurants sortis de nulle part. Chaque verdict, chaque temps de cassage affiché, chaque conseil doit reposer sur une base solide et vérifiable.

Le piège que nous n'avions pas vu venir

Pendant la mise au point, nous sommes tombés sur un problème qui aurait pu passer inaperçu, et qui illustre bien pourquoi les outils faits à la légère sont à éviter.

Nous avions construit nos deux outils en parallèle. Le générateur produisait des mots de passe avec une méthode mathématique rigoureuse, le testeur analysait les mots de passe avec une bibliothèque libre reconnue dans le monde de la sécurité. Tout semblait fonctionner.

Jusqu'au moment où nous avons fait le test évident : générer un mot de passe avec notre générateur, puis le coller dans notre testeur pour vérifier qu'il était bien jugé solide.

Surprise. Le testeur affichait « Faible ».

Le même mot de passe, jugé « Très fort » par le générateur, devenait « Faible » dans le testeur. Et ce n'était pas un cas isolé. Nous avons multiplié les essais : à chaque fois, sur des mots de passe courts (16 caractères) générés aléatoirement, le testeur était sévère. En revanche, sur des mots de passe longs (30 à 40 caractères), le testeur disait « Très fort ». Quelque chose n'allait pas, et il fallait comprendre quoi avant de publier.

Comprendre plutôt que masquer

Nous aurions pu bricoler. Modifier les seuils du testeur pour qu'il soit moins sévère. Désactiver certaines analyses. Maquiller les résultats pour que les deux outils soient toujours d'accord. C'aurait été facile, et personne n'aurait rien vu.

Nous avons choisi l'inverse.

Après vérification, le problème vient d'une caractéristique de la bibliothèque d'analyse que nous utilisons dans le testeur. Cette bibliothèque, conçue par des chercheurs en sécurité informatique, est faite pour évaluer les mots de passe choisis par des humains. Elle traque les motifs prévisibles : les mots du dictionnaire, les dates, les prénoms, les séquences de clavier, les substitutions classiques. C'est exactement ce que ferait un attaquant méthodique, et c'est pour ça qu'elle est précieuse.

Mais face à une chaîne de caractères vraiment aléatoire, sans aucun motif, cette bibliothèque tente quand même de la découper en morceaux. Elle finit par y trouver des fragments qui ressemblent à des bouts de séquences connues, et conclut prudemment que la chaîne est plus attaquable qu'elle ne l'est en réalité. C'est une prudence saine pour les mots de passe humains, mais elle est trompeuse face à du hasard pur.

Autrement dit, nos deux outils sont individuellement justes. Mais ils ne mesurent pas exactement la même chose. Le générateur calcule l'entropie réelle de sa propre méthode de fabrication, qui est mathématiquement irréprochable. Le testeur simule un attaquant qui chercherait des motifs, ce qui est rigoureux pour des mots de passe humains mais pessimiste pour des chaînes vraiment aléatoires.

La carte de la transparence

Nous avons donc fait un choix que nous assumons : ne rien masquer.

Sur chacune des deux pages, nous avons ajouté un bloc d'explication qui décrit la méthode d'un attaquant réel (parce que comprendre le mécanisme est la première étape pour s'en protéger) et un autre bloc qui explique précisément pourquoi nos deux outils peuvent diverger, dans quels cas, et comment lire chacun correctement.

Le principe est simple : faites confiance au testeur pour évaluer un mot de passe que vous avez choisi vous-même. Faites confiance au générateur pour produire un mot de passe que vous n'auriez pas pu inventer. Les deux outils sont complémentaires, pas concurrents.

Cette approche complique un peu notre communication, c'est vrai. Il aurait été plus simple de dire « voilà notre générateur, voilà notre testeur, ils sont parfaits ». Mais ce serait mensonger, et ce n'est pas notre genre. Nous préférons que vous compreniez ce que vous utilisez. Nous préférons aussi que vous puissiez vérifier nos affirmations, ce qui est rare sur Internet aujourd'hui.

Au passage, ce que nous avons appris

Pendant ce travail, nous nous sommes replongés dans les recommandations officielles des autorités nationales et internationales en matière de mots de passe. Le constat est intéressant.

Le consensus actuel, à la fois de la CNIL et de l'ANSSI en France, et du NIST aux États-Unis, tient en deux idées simples :

La longueur compte plus que la complexité. Un mot de passe de 16 caractères en minuscules est presque toujours plus solide qu'un mot de passe de 10 caractères avec majuscules, chiffres et symboles. Les règles compliquées de complexité (« il faut un chiffre, une majuscule, un symbole ») poussent les utilisateurs à des contournements prévisibles que les attaquants exploitent depuis des années.

Les phrases de passe sont la voie d'avenir pour les mots de passe à retenir. Une suite de quatre ou cinq mots sans lien entre eux, par exemple radiateur cantatrice écharpe nappe, est à la fois plus mémorisable et plus solide qu'une chaîne courte avec des symboles. C'est pourquoi notre générateur propose aussi ce mode, en plus du mot de passe classique.

Ces évolutions sont récentes. Elles balaient des décennies de mauvaises habitudes imposées par des sites web mal conçus. Nous les intégrons dans nos outils parce qu'elles ont fait leurs preuves, et que c'est notre rôle de transmettre ce qui marche, pas ce qui s'est toujours fait.

Ce que ces outils ne sont pas

Soyons clairs sur leurs limites.

Ce ne sont pas des outils qui vont, à eux seuls, sécuriser votre vie numérique. Un mot de passe solide est nécessaire, mais il ne suffit pas. Il faut aussi un gestionnaire de mots de passe sérieux pour les stocker tous, sans en réutiliser jamais aucun. Il faut activer la double authentification partout où c'est possible. Il faut être vigilant face au hameçonnage. Il faut sauvegarder ses données régulièrement.

Tout cela ne s'improvise pas, et c'est précisément ce qui fait l'essentiel de notre métier de tous les jours : accompagner particuliers et très petites entreprises dans ces sujets, sans jargon, à leur rythme.

Mais commencer par un bon mot de passe, c'est un pas qui compte. C'est pourquoi nous avons pris le temps de bien faire ces deux outils, et pourquoi nous les mettons à votre disposition gratuitement.

Pour les essayer

Le générateur et le testeur sont disponibles sur notre site dès maintenant (lien ci-dessous).

Générateur de mots de passe forts

Testeur de mots de passe

Ils sont entièrement gratuits, sans inscription, sans publicité, sans collecte de données. Ils fonctionnent sur ordinateur comme sur smartphone, dans n'importe quel navigateur récent.

Si vous les trouvez utiles, n'hésitez pas à les partager autour de vous. Si vous avez des questions, des remarques, des suggestions d'amélioration, écrivez-nous. Si vous voulez aller plus loin et reprendre en main toute votre sécurité numérique, nous sommes là pour ça aussi.

Bonne génération, bons tests, et surtout : bonne protection.