Générateur de mots de passe et de secrets

À propos de cet outil

Comment les secrets sont produits

Chaque caractère, mot et octet provient de crypto.getRandomValues, le générateur de nombres aléatoires cryptographique du navigateur. Math.random n'est utilisé nulle part, car il n'a pas été conçu pour les secrets et sa sortie peut être prédite.

Tirer un élément dans un ensemble demande de la rigueur. Le raccourci courant, qui consiste à prendre un octet aléatoire modulo la taille de l'ensemble, rend certains caractères légèrement plus probables que d'autres dès que cette taille ne divise pas 256. Cet outil utilise plutôt l'échantillonnage par rejet : il ne garde que le nombre de bits aléatoires nécessaire à l'ensemble, et une valeur qui tombe en dehors est écartée et tirée de nouveau. La règle d'au moins un caractère de chaque type s'applique de la même façon. Un mot de passe complet auquel il manque un type est écarté, si bien que tous les mots de passe qui respectent la règle sont équiprobables.

Les secrets n'existent que sur cette page. Ils ne sont envoyés nulle part ni enregistrés dans le navigateur, et ils disparaissent dès que vous en générez d'autres ou que vous fermez l'onglet.

Ce que signifie le chiffre d'entropie

L'entropie en bits est le logarithme en base 2 du nombre de résultats équiprobables : chaque bit supplémentaire double le travail nécessaire pour deviner. Le chiffre est calculé à partir des options réellement utilisées et arrondi au bit inférieur. Avec les quatre types de caractères, l'ensemble compte 87 caractères, et une longueur de 20 donne 128 bits. Éviter les caractères ambigus réduit l'ensemble à 82, et la même longueur donne 126 bits. La liste des phrases de passe compte 1 024 mots, soit exactement 10 bits par mot : cinq mots font 50 bits, huit en font 80. Un token vaut 8 bits par octet : 32 octets font donc 256 bits.

Ce chiffre décrit le générateur, pas l'apparence du résultat. Il n'est valable que parce que le choix a été fait au hasard. Un mot de passe inventé par une personne a généralement bien moins d'entropie que sa longueur ne le laisse penser. Un mot de passe robuste réutilisé sur deux sites est exposé sur les deux dès que l'un d'eux le laisse fuiter.

Quel type choisir

Utilisez des caractères aléatoires pour tout ce qu'un gestionnaire de mots de passe stockera et saisira à votre place. Utilisez une phrase de passe pour les rares secrets que vous devez retenir ou taper à la main, comme le mot de passe du gestionnaire lui-même ou celui d'un disque chiffré, et ajoutez des mots plutôt que des astuces pour la renforcer. Utilisez un token pour les secrets que seuls des logiciels lisent : clés d'API, secrets de session, clés de signature HMAC ou JWT. L'hex n'utilise que des chiffres et les lettres de a à f. Le Base64url représente les mêmes octets avec moins de caractères, et aucun d'eux n'a besoin d'être échappé dans une URL.

L'option des caractères ambigus est utile quand un mot de passe est lu à voix haute ou recopié depuis du papier. Le jeu de symboles exclut les guillemets, la barre oblique inverse, l'accent grave, les chevrons et l'espace, qui ont tendance à casser les commandes shell et les fichiers de configuration. Des symboles comme $, & et ! restent présents : mettez donc le mot de passe entre apostrophes quand vous le passez sur une ligne de commande.