Générateur de mot de passe de 12 caractères

Pour la plupart des comptes, oui. Un mot de passe aléatoire de 12 caractères mêlant les quatre familles atteint environ 78 bits d’entropie et résiste plusieurs centaines de milliers d’années à une attaque hors ligne de 10 milliards de tentatives par seconde. C’est le seuil que retient Cybermalveillance.gouv.fr (« au minimum 12 signes ») et l’exemple que cite la CNIL pour son plancher de 80 bits – 13 ou 14 caractères vous donnent une marge nette. Pour vos comptes les plus précieux – messagerie, banque, gestionnaire de mots de passe –, prenez plutôt 16 caractères : l’usage ne change pas, la marge de sécurité devient nettement plus large.

Vous en avez plusieurs sous les yeux : les exemples de cette page sont générés dans votre navigateur à chaque visite, et vous pouvez en utiliser un tel quel. Un exemple imprimé dans un article ou sur un forum, lui, ne vaut plus rien dès sa publication : il rejoint les listes que les attaquants testent en premier. Un bon mot de passe de 12 caractères ne ressemble à rien de mémorable – ni mot, ni date, ni suite de touches – et chaque position est tirée au hasard, indépendamment des autres, parmi majuscules, minuscules, chiffres et caractères spéciaux.

Ils élargissent le jeu de caractères de 62 à 88 symboles et apportent environ 7 bits de plus sur 12 caractères. Ils ne sont pas indispensables : un mot de passe alphanumérique de 12 caractères atteint encore environ 71 bits. Activez-les partout où le service les accepte ; s’il les refuse, compensez la différence avec deux caractères de plus – la longueur rattrape toujours la variété.

À environ 78 bits d’entropie et 10 milliards de tentatives par seconde – l’hypothèse habituelle pour une attaque hors ligne sur un hachage rapide –, il faut en moyenne plusieurs centaines de milliers d’années. Cela ne vaut toutefois que pour un mot de passe réellement aléatoire : un mot de passe inventé tombe bien plus vite, parce que les attaques par dictionnaire et par motifs sautent l’essentiel de l’espace de recherche. Et la force brute n’est de toute façon pas le premier danger : l’hameçonnage et la réutilisation d’un même mot de passe le sont.

Une suite aléatoire de cette longueur, rares sont ceux qui la retiennent de façon fiable – et une différente pour chaque compte, encore moins. Générez un mot de passe par service et confiez-le à un gestionnaire de mots de passe. S’il vous faut vraiment un secret à connaître par cœur – l’ouverture de session de votre ordinateur, le mot de passe maître du gestionnaire –, préférez une phrase de passe de plusieurs mots tirés au hasard à douze caractères cryptiques.

Pour satisfaire aux exigences des services, presque toujours. Pour votre messagerie principale, votre banque et le gestionnaire de mots de passe lui-même, montez malgré tout à 16 ou 20 caractères : ce sont les comptes par lesquels on réinitialise tous les autres, et dans un gestionnaire la longueur supplémentaire ne coûte aucun effort. L’ANSSI réserve d’ailleurs sa catégorie « sensibilité forte à très forte » aux mots de passe d’au moins 15 caractères.