Générateur de mot de passe de 20 caractères

Pour les mots de passe rangés dans un gestionnaire de mots de passe, il n’y a pas d’excès possible : la longueur ne coûte rien tant que vous ne la tapez jamais à la main. Un mot de passe aléatoire de 20 caractères atteint environ 129 bits d’entropie, au-delà de la barre des 128 bits considérée comme définitivement hors de portée de la force brute. L’ANSSI elle-même recommande une longueur « supérieure à 20 caractères » pour les mots de passe que l’on n’a pas à mémoriser. Un mot de passe n’est « exagéré » que lorsque vous devez le saisir chaque jour au clavier.

À environ 129 bits d’entropie, la question n’a plus vraiment de sens en durée : un attaquant hors ligne à 10 milliards de tentatives par seconde aurait besoin d’un multiple astronomique de l’âge de l’Univers – c’est ce qu’affiche le générateur ci-dessus. Les attaques réalistes contre un compte ainsi protégé visent le service ou vous-même – hameçonnage, logiciel malveillant, fuite de données –, jamais le mot de passe lui-même.

Un mot de passe aléatoire de 20 caractères pour tout ce qui vit dans un gestionnaire de mots de passe ; une phrase de passe pour les rares secrets que vous devez retenir et taper – l’ouverture de session de vos appareils et le mot de passe maître du gestionnaire. Une phrase de passe de six mots tirés au hasard (environ 78 bits) est sur le papier plus faible que 20 caractères aléatoires (environ 129 bits), mais les deux sont hors de portée de toute attaque pratique : c’est la facilité à retenir qui tranche. La CNIL cite d’ailleurs, parmi ses exemples, une phrase de passe d’au moins sept mots.

Votre messagerie principale, vos comptes bancaires et de placement, votre stockage en ligne, votre bureau d’enregistrement de noms de domaine et tout compte capable d’en réinitialiser d’autres. 20 caractères sont aussi une bonne valeur par défaut pour une clé Wi-Fi – WPA2 et WPA3 acceptent jusqu’à 63 caractères – et pour les identifiants partagés qui restent des années dans le coffre-fort d’une équipe.

L’immense majorité, oui : les services modernes autorisent en général au moins 64 caractères, et l’ANSSI demande explicitement de ne pas imposer de longueur maximale. Quelques systèmes anciens plafonnent plus bas ou tronquent en silence. Si une connexion se comporte bizarrement après l’enregistrement d’un mot de passe long, déconnectez-vous puis reconnectez-vous pour vérifier – et ne raccourcissez que dans la mesure où le système vous y force.

Quatre caractères aléatoires de plus apportent environ 26 bits et multiplient l’espace de recherche par quelque 67 millions. Les deux longueurs sont déjà hors de portée de la force brute ; la différence pratique est la marge : avec 20 caractères, vous restez très loin du seuil même si la puissance de calcul des attaquants continue de croître.