Tester la robustesse d’un mot de passe
Tapez un mot de passe pour voir en combien de temps il pourrait être deviné et ce qui le rend faible. La vérification se fait uniquement sur votre appareil.
Scellé sur cet appareil
Fonctionne dans votre navigateur. Rien n’est envoyé.
Scellé
Vérifié sur votre appareil. Votre mot de passe n’est jamais envoyé, enregistré ni journalisé, et aucune requête réseau n’est faite pendant la saisie.
Commencez à taper pour voir le résultat. Astuce : si vous préférez, testez un mot de passe qui ressemble au vôtre plutôt que le vrai.
Le testeur n’a pas pu démarrer. Rechargez la page pour réessayer.
Comment l’améliorer
Motifs repérés
Affichez le mot de passe pour voir quelles parties ont été reconnues.
Temps pour le deviner
- En ligne, avec limite de connexion (100 essais par heure)
- —
- En ligne, sans limite (10 essais par seconde)
- —
- Base volée, protection forte (10 000 par seconde)
- —
- Base volée, protection faible (10 milliards par seconde)
- —
Estimations issues de la méthode zxcvbn, qui teste d’abord ce que testent les vrais attaquants : mots de passe courants, mots, prénoms, dates et motifs de clavier.
Sa composition
- Longueur
- —
- Minuscules
- —
- Majuscules
- —
- Chiffres
- —
- Symboles
- —
- Espaces
- —
- Autres caractères (emoji, autres écritures)
- —
Comment ça marche
-
Tapez un mot de passe
Saisissez le mot de passe à tester. La vérification démarre dès le premier caractère et se met à jour pendant la saisie.
-
Lisez le verdict
Découvrez sa robustesse, le temps qu’il faudrait pour le deviner dans quatre situations d’attaque et les motifs faibles repérés.
-
Renforcez-le
Suivez les conseils, ou remplacez-le par un mot de passe ou une phrase de passe aléatoire créés avec nos générateurs.
Questions fréquentes
Est-ce sûr de taper mon mot de passe ici ?
La vérification se fait entièrement dans votre navigateur : le mot de passe n’est jamais envoyé sur le réseau, enregistré ni journalisé, et vous pouvez vérifier dans les outils de développement de votre navigateur qu’aucune requête n’est faite. Si vous préférez, testez un mot de passe construit comme le vôtre plutôt que le vrai.
Comment la robustesse est-elle mesurée ?
Avec zxcvbn, une méthode ouverte créée chez Dropbox. Au lieu de compter les types de caractères, elle estime combien d’essais il faudrait à un attaquant, en testant d’abord les mots de passe courants, les mots du dictionnaire, les prénoms, les dates, les motifs de clavier et les substitutions de caractères.
Pourquoi « P@ssw0rd123! » est-il jugé faible ?
Parce que les attaquants connaissent ces astuces. Ce mot de passe figure tel quel dans les listes de mots de passe courants, et sa recette (un mot avec des substitutions prévisibles comme @ pour a et 0 pour o, suivi d’une suite de chiffres et d’un symbole) fait partie des premières choses qu’ils essaient. Il coche toutes les cases des anciennes règles de sécurité, et pourtant il reste faible.
Que signifient les différents temps d’attaque ?
Les attaques en ligne passent par une page de connexion, qui peut ralentir ou bloquer les essais répétés. Les attaques hors ligne ont lieu après une fuite de base de données : l’attaquant teste ses essais sur son propre matériel, lentement si les mots de passe étaient stockés avec une méthode de hachage robuste, extrêmement vite dans le cas contraire.
L’outil vérifie-t-il si mon mot de passe a fuité ?
Non. Consulter une base de fuites obligerait à contacter un service extérieur, et cet outil n’envoie jamais rien. Il reconnaît en revanche les mots de passe les plus courants, qui apparaissent dans presque toutes les fuites.
Qu’est-ce qui rend un mot de passe robuste ?
La longueur et le hasard. Un mot de passe aléatoire de 16 caractères, ou une phrase de passe de cinq ou six mots aléatoires, est bien plus robuste qu’un mot court agrémenté de symboles. Utilisez-en un différent pour chaque compte.