Générateur de mots de passe
Générez des mots de passe aléatoires robustes avec l'API cryptographique du navigateur. Choisissez la longueur, les jeux de caractères, excluez les
Générez des mots de passe aléatoires avec l'API cryptographique du navigateur plutôt qu'avec Math.random, pour que le résultat convienne à de vrais comptes. Choisissez la longueur, les jeux de caractères à inclure, l'exclusion ou non des caractères ambigus comme l, 1, I et O, et la garantie d'au moins un caractère de chaque type sélectionné.
L'entropie indiquée en bits vous dit à quel point le mot de passe résiste aux devinettes : moins de 60 bits est faible face à un attaquant déterminé, 80 bits est solide pour un compte ordinaire, et 100 bits ou plus est ce qu'il faut pour un mot de passe principal ou une clé API. La génération locale signifie que le mot de passe ne transite jamais sur le réseau, ce qui est précisément l'objectif.
Comment générer un mot de passe fort
Choisissez la longueur et les jeux de caractères
Réglez les options de caractères ambigus et de garantie
Copiez le mot de passe et vérifiez l'entropie
Questions fréquentes
Quelle longueur doit avoir un mot de passe ?
Seize caractères issus de jeux mélangés constituent une bonne base par défaut pour tout ce qui est important. La longueur apporte plus de solidité que les caractères exotiques : préférez donc 20 caractères à 12 caractères avec des symboles si vous avez le choix.
Que signifie la valeur d'entropie ?
C'est le nombre de bits d'aléa du mot de passe généré, calculé à partir de sa longueur et de la taille du jeu de caractères. Chaque bit supplémentaire double le travail nécessaire pour le deviner.
Pourquoi exclure les caractères ambigus ?
Des caractères comme l, 1, I, O et 0 sont faciles à confondre lorsqu'il faut lire un mot de passe sur un écran et le saisir sur un téléphone ou un appareil. Les exclure rend la saisie manuelle bien moins sujette aux erreurs.
Est-ce sûr à utiliser ?
Les valeurs proviennent de crypto.getRandomValues, la source aléatoire cryptographique du navigateur, qui est le bon choix pour des mots de passe. La génération se fait localement et rien n'est transmis.
Puis-je générer un seul mot de passe et le réutiliser ?
Non. Utilisez un mot de passe unique par service et conservez-les dans un gestionnaire de mots de passe - un mot de passe réutilisé signifie qu'une seule fuite compromet tous les comptes qui le partagent.
Les mots de passe générés sont-ils stockés quelque part ?
Non. Rien n'est enregistré, journalisé ni envoyé ; si vous fermez la page, le mot de passe est perdu sauf si vous l'avez copié.
En un coup d'œil
| Entrée | texte |
|---|---|
| Fichiers multiples | Non |
| Où ça tourne | Dans votre navigateur - les fichiers ne sont jamais envoyés |
| Fonctionne hors ligne | Oui — une fois la page chargée |
| Tarif | Gratuit, sans inscription, sans filigrane |
Manipuler des secrets sans risque
Les outils de développement traitent des identifiants bien plus souvent qu'on ne le croit, et le risque ne vient pas de l'algorithme mais de l'endroit où vont les données. Le hachage est à sens unique et n'est pas du chiffrement - MD5 et SHA-1 sont cassés pour tout usage de sécurité, et même SHA-256 n'est pas le bon outil pour stocker des mots de passe, là où bcrypt, scrypt ou Argon2 existent précisément pour être lents. Le Base64 est un encodage, pas une protection : n'importe qui peut le décoder, ne le prenez donc jamais pour de l'obfuscation. Un JWT peut être lu par quiconque le détient, c'est pourquoi sa charge utile ne doit jamais contenir de secrets, et décoder un jeton ne vérifie pas sa signature - la vérification exige la clé. Tout sur ce site s'exécute localement dans votre navigateur, et c'est précisément pour cela qu'il peut manipuler des jetons et des mots de passe en toute sécurité.
Où les conversions cassent sans bruit
La plupart des bugs de conversion ne portent pas sur la syntaxe mais sur le sens. Une colonne CSV de codes postaux perd ses zéros initiaux dès qu'un tableur devine qu'il s'agit d'un nombre ; un identifiant long dépasse la précision des nombres à virgule flottante ; les dates changent de sens selon qu'elles sont au format jour-mois ou mois-jour. Les clés JSON ne sont pas ordonnées, mais les tableaux le sont, et un outil qui trie les clés ne change rien tandis qu'un outil qui trie les tableaux modifie les données. L'Unicode est un autre piège : le texte peut arriver en UTF-8, en UTF-16 ou avec un BOM, et un décodeur qui se trompe transforme les caractères accentués en mojibake. Avant de faire confiance à une conversion, vérifiez par échantillon la première et la dernière ligne, tout champ à zéros initiaux et tout champ contenant des guillemets, des virgules ou des retours à la ligne.