Générateur de mot de passe de 15 caractères
Générez un mot de passe aléatoire de 15 caractères, le minimum du NIST pour un mot de passe seul, dans votre navigateur. Gratuit, rien n’est enregistré.
Cliquer pour copier
Quinze caractères, c’est désormais le seuil de référence outre-Atlantique : depuis la révision de 2025 de NIST SP 800-63B, un service doit exiger au moins 15 caractères lorsque le mot de passe est le seul facteur d’authentification, et 8 seulement lorsqu’un second facteur l’accompagne. En France, c’est aussi la longueur à partir de laquelle l’ANSSI place un mot de passe dans sa catégorie « sensibilité forte à très forte », pour laquelle elle retient au moins 100 bits. Un mot de passe aléatoire de 15 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux atteint environ 97 bits d’entropie – tout près de ce seuil, que 16 caractères franchissent : un attaquant qui testerait hors ligne 10 milliards de combinaisons par seconde aurait besoin en moyenne de quelque 251 milliards d’années, bien plus que l’âge de l’Univers, et même une grappe de cartes graphiques à 1 000 milliards d’essais par seconde y passerait environ 2,5 milliards d’années. Au-delà des 80 bits que la CNIL demande lorsque le mot de passe est la seule protection, la force brute est hors jeu ; les vrais risques deviennent l’hameçonnage, les logiciels malveillants et la réutilisation d’un même mot de passe. Quinze caractères conviennent aussi aux systèmes qui acceptent mal les mots de passe très longs. Le vôtre est généré avec crypto.getRandomValues() directement dans votre navigateur – rien n’est transmis, journalisé ni enregistré. Copiez-le d’un clic dans votre gestionnaire de mots de passe et réservez-le à un seul compte.
Exemples de mots de passe de 15 caractères
Un mot de passe fort de 15 caractères respecte le minimum du NIST et porte environ 97 bits d’entropie – quinze caractères aléatoires couvrant les quatre familles, sans mot, sans date, sans motif. Les exemples ci-dessous sont générés dans votre navigateur à chaque chargement de la page et ne sont jamais publiés ni enregistrés. Contrairement à un exemple imprimé dans un article, que les attaquants ajoutent aussitôt à leurs listes, vous pouvez les utiliser tels quels.
Ces exemples viennent d’être générés dans votre navigateur : ils ne sont ni enregistrés ni montrés à qui que ce soit, et vous pouvez les utiliser sans risque. N’utilisez jamais, en revanche, un exemple tiré d’un article ou d’une capture d’écran : tout ce qui a été publié figure déjà dans les listes des attaquants.
Questions fréquentes
Pourquoi 15 caractères précisément ?
Parce que c’est le minimum que fixe NIST SP 800-63B depuis sa révision d’août 2025 : un service doit exiger au moins 15 caractères lorsque le mot de passe est le seul facteur d’authentification, contre 8 lorsqu’un second facteur l’accompagne. L’ANSSI place de son côté les mots de passe de 15 caractères et plus dans sa catégorie la plus exigeante, pour laquelle elle retient au moins 100 bits. Quinze caractères aléatoires mêlant les quatre familles donnent environ 97 bits d’entropie : juste sous ce repère, mais hors de portée de la force brute.
Combien de temps faut-il pour casser un mot de passe de 15 caractères ?
À environ 97 bits d’entropie, un attaquant hors ligne testant 10 milliards de combinaisons par seconde contre un hachage rapide aurait besoin en moyenne de quelque 251 milliards d’années – plus de dix-huit fois l’âge de l’Univers. Même une grappe de cartes graphiques à 1 000 milliards d’essais par seconde y passerait environ 2,5 milliards d’années. En lettres et chiffres seulement (environ 89 bits), il faudrait encore quelque 981 millions d’années au rythme de 10 milliards d’essais par seconde.
15 ou 16 caractères : quelle différence ?
Un caractère aléatoire de plus multiplie l’espace de recherche par 88 environ : on passe d’environ 97 à 103 bits. En pratique, les deux longueurs sont très loin de la portée de la force brute. Prenez 15 caractères quand un service ou une politique l’exige, 16 ou plus quand vous voulez simplement la marge maximale ; ce qui compte bien davantage, c’est que le mot de passe soit vraiment aléatoire et ne serve qu’à un seul compte.
15 caractères suffisent-ils avec la double authentification ?
Largement. Avec un second facteur, NIST SP 800-63B n’exige plus que 8 caractères : 15 caractères aléatoires vous laissent donc une marge confortable, même si la base de données du service fuite un jour. La double authentification reste précieuse à toute longueur : elle empêche qu’un mot de passe volé par hameçonnage ou par un logiciel espion suffise, à lui seul, à ouvrir le compte.
Le NIST impose-t-il aussi 64 caractères ?
Non. NIST SP 800-63B recommande que les services acceptent des mots de passe d’au moins 64 caractères, pour ne pas bloquer ceux qui en veulent de plus longs ; c’est une recommandation adressée aux services, pas une longueur à atteindre. L’exigence porte sur le minimum : 15 caractères lorsque le mot de passe est le seul facteur, 8 avec un second facteur. L’ANSSI va dans le même sens en demandant qu’aucune longueur maximale ne soit imposée.
Faut-il des caractères spéciaux dans un mot de passe de 15 caractères ?
Ils élargissent le jeu de 62 à 88 caractères et apportent environ 8 bits de plus sur 15 caractères, d’environ 89 à 97 bits. Ils ne sont pas indispensables : à 89 bits, un mot de passe alphanumérique reste au-dessus des 80 bits que demande la CNIL. Activez-les partout où le service les accepte ; s’il les refuse, ajoutez un ou deux caractères – la longueur rattrape toujours la variété.
Autres générateurs
Rédigé et vérifié par Andrew Ivanov, Fractional CTO. Dernière vérification le .