Générateur de mot de passe en ligne : est-ce sûr ?

Un générateur de mot de passe en ligne est-il sûr ? La question est légitime : vous confiez à un site web la fabrication du secret qui protège vos comptes. Ce site pourrait-il le conserver, l’envoyer à un serveur, le noter quelque part où vous ne le verrez jamais ? La réponse courte : oui, un générateur en ligne peut être parfaitement sûr, à condition que le mot de passe soit fabriqué dans votre navigateur, avec une source d’aléa cryptographique, et que rien ne soit transmis. Et vous n’avez pas à croire le site sur parole : deux minutes et les outils intégrés à votre navigateur suffisent à le vérifier. Voici comment.

Génération locale ou sur un serveur : toute la différence

Les générateurs de mots de passe se rangent en deux familles, et c’est leur architecture, pas leur notoriété, qui décide de leur sécurité.

Les générateurs côté client, dits aussi « locaux », fonctionnent entièrement dans votre navigateur. Le serveur envoie la page une seule fois – HTML, CSS et JavaScript –, puis tout se passe sur votre appareil : le mot de passe est calculé localement grâce à l’API cryptographique du navigateur, crypto.getRandomValues(). Il ne quitte jamais votre appareil, et le serveur ne peut pas le voir pour une raison simple : il ne participe pas à sa création.

Les générateurs côté serveur envoient une requête à une machine distante, qui fabrique le mot de passe et le renvoie dans sa réponse. Le mot de passe circule alors sur le réseau et existe, au moins un instant, sur un ordinateur que vous ne contrôlez pas : il pourrait y être journalisé, conservé ou détourné. Le HTTPS n’y change rien. Il chiffre le trajet entre votre navigateur et le serveur, mais le serveur, lui, connaît le mot de passe en clair, puisque c’est lui qui l’a produit.

Le générateur de ce site appartient à la première famille. Le générateur de mot de passe et toutes ses variantes – le mot de passe de 16 caractères, la clé Wi-Fi ou le code PIN – produisent chaque valeur dans votre navigateur ; aucune n’est envoyée à un serveur, ni au nôtre ni à aucun autre.

Un bon générateur : un aléa cryptographique, sans biais

Calculer le mot de passe en local ne suffit pas : encore faut-il que le hasard soit de qualité. Le JavaScript d’un navigateur offre deux sources d’aléa, et une seule convient.

Math.random() produit des nombres qui ont l’air aléatoires, mais il n’a jamais été conçu pour la sécurité. La documentation de référence MDN, publiée par Mozilla, est sans ambiguïté : il « ne fournit pas de nombres aléatoires cryptographiques sécurisés » et ne doit servir à rien de ce qui touche à la sécurité. Avec les algorithmes qu’utilisent les navigateurs courants, on sait même reconstituer son état interne à partir d’un petit nombre de valeurs observées, et prédire les suivantes.

crypto.getRandomValues(), à l’inverse, s’appuie sur un générateur de nombres aléatoires cryptographiquement sûr – un CSPRNG, selon le sigle anglais – alimenté par la source d’entropie du système d’exploitation. C’est l’outil que MDN recommande à la place de Math.random(), et c’est celui qu’utilise ce site.

Reste un piège plus discret : le biais du modulo. Pour choisir un caractère parmi 88, un programme naïf tire un nombre aléatoire sur 32 bits et garde le reste de sa division par 88. Comme 2³² n’est pas un multiple de 88, certains caractères sortent alors un tout petit peu plus souvent que d’autres. Le générateur de ce site écarte ce biais par échantillonnage par rejet : il refait le tirage chaque fois que le nombre tombe dans la zone qui fausserait la répartition, si bien que chaque tirage donne exactement la même probabilité à chaque caractère possible. Le résultat est ensuite mélangé avec l’algorithme de Fisher-Yates, alimenté par la même source d’aléa.

Comment vérifier vous-même qu’un générateur est sûr

Aucun site ne devrait vous demander de le croire sur parole, celui-ci compris. Quatre vérifications sont à votre portée, sans compétence particulière.

1. Surveillez l’onglet Réseau

Ouvrez les outils de développement du navigateur (touche F12, ou clic droit puis « Inspecter »), choisissez l’onglet « Réseau », puis générez un mot de passe. Avec un générateur local, aucune requête ne contient le mot de passe : au moment du clic, rien ne part sur le réseau, ou seulement des requêtes sans rapport, que vous pouvez ouvrir pour en lire le contenu. Si une requête part vers une adresse du type /api/generate et que le mot de passe figure dans sa réponse, il a été fabriqué sur un serveur.

2. Coupez la connexion

Chargez la page, désactivez le Wi-Fi ou passez en mode avion, puis générez de nouveaux mots de passe sans recharger la page. Un générateur local continue de fonctionner comme si de rien n’était ; un générateur côté serveur affiche une erreur ou ne répond plus. C’est le test le plus simple, et le plus parlant.

3. Lisez le code

Le JavaScript qu’exécute une page reste consultable dans l’onglet « Sources » de Chrome ou « Débogueur » de Firefox. Cherchez getRandomValues : sa présence est bon signe. Méfiez-vous en revanche de Math.random() dans la logique de génération, ou d’un appel fetch() déclenché au moment où vous cliquez. Ce code est souvent minifié, donc peu lisible ; c’est là qu’un logiciel libre, dont le code source est publié et peut être relu par d’autres, apporte une garantie supplémentaire. Le code source de ce site n’est pas public : raison de plus pour vous fier aux deux premiers tests, qui ne demandent de faire confiance à personne.

4. Repérez le code chargé par des tiers

Toujours dans l’onglet Réseau, filtrez sur « JS » et rechargez la page. Des domaines comme google-analytics.com, clarity.ms ou hotjar.com signalent des outils de mesure ou de suivi tiers : du code écrit par d’autres s’exécute à côté du générateur. Il ne lit pas forcément le mot de passe, mais il en aurait les moyens, puisqu’il tourne dans la même page : même quand la génération reste locale, chaque script ajouté élargit le cercle de ceux à qui vous faites confiance. Moins il y en a, mieux c’est.

Mesure d’audience : ce que fait ce site, en toute transparence

Cette exigence de transparence, appliquons-la à nous-mêmes. Ce site utilise un seul outil de mesure d’audience : une instance d’Umami que nous hébergeons nous-mêmes, sans cookie, servie depuis ce même domaine – aucun script de régie publicitaire. Elle compte les pages vues et, pour un échantillon de visites, enregistre des cartes de chaleur (clics et défilement) et des rediffusions de session dont tout le texte est masqué. Ces rediffusions sont supprimées au bout de 30 jours.

Tout élément qui affiche ou reçoit un mot de passe, une phrase de passe ou des informations Wi-Fi est exclu de ces enregistrements directement dans le code de la page : aucune rediffusion ne peut contenir un mot de passe que vous générez ou que vous tapez. Pendant le test de l’onglet Réseau, vous verrez donc peut-être passer des requêtes vers /stats/ : ce sont celles de cette mesure d’audience. Ouvrez-les : votre mot de passe n’y figure pas. Le détail est dans notre politique de confidentialité (en anglais).

Les risques qui ne viennent pas du générateur

Un générateur irréprochable ne protège pas d’un environnement compromis. Trois points méritent votre attention :

• Les extensions du navigateur : une extension autorisée à lire le contenu de tous les sites voit tout ce qu’affiche la page, mot de passe compris. Ne gardez que celles dont vous avez besoin, installées depuis la boutique officielle du navigateur.
• Le presse-papiers : un mot de passe copié y reste jusqu’à la copie suivante, et l’historique du presse-papiers de Windows peut le conserver plus longtemps, voire le synchroniser entre appareils si vous avez activé cette option. Collez-le aussitôt là où il doit aller.
• Un appareil infecté : un logiciel espion ou un enregistreur de frappe capture le mot de passe quelle que soit la façon dont il a été produit. Aucun générateur n’y peut rien ; les mises à jour du système et un antivirus, si.

Quand préférer le générateur de votre gestionnaire de mots de passe

Si vous utilisez déjà un gestionnaire de mots de passe – l’ANSSI parle de « coffre-fort de mots de passe », et Cybermalveillance.gouv.fr en fait l’une de ses dix bonnes pratiques –, son générateur intégré est souvent le meilleur choix au quotidien : le mot de passe est créé et enregistré au même endroit, sans passer par le presse-papiers ni se perdre entre deux onglets. Cybermalveillance.gouv.fr cite d’ailleurs KeePassXC, un logiciel libre et gratuit certifié par l’ANSSI dans sa version 2.7.9, qui « dispose aussi d’une fonction permettant de générer des mots de passe complexes aléatoires ».

Un générateur en ligne garde toute sa place dans les autres cas : quand vous n’avez pas encore de gestionnaire, quand vous êtes sur un appareil où il n’est pas installé, pour une clé Wi-Fi ou un code PIN, ou quand vous voulez régler finement la longueur et les caractères. Dans tous les cas, rangez ensuite le résultat dans un gestionnaire : Cybermalveillance.gouv.fr met en garde contre l’erreur de noter ses mots de passe « sur un pense-bête que vous laisseriez à proximité de votre équipement ».

Trois idées reçues

« Le site est en HTTPS, donc mon mot de passe est protégé. » Le HTTPS protège le trajet, pas le serveur : si c’est le serveur qui a fabriqué le mot de passe, il le connaissait avant même que le chiffrement n’intervienne.

« Un site connu est forcément sûr. » La notoriété ne dit rien de l’architecture : un site très fréquenté peut tout à fait générer ses mots de passe sur un serveur. Vérifiez le fonctionnement, pas la marque.

« Un mot de passe inventé de tête est plus sûr, puisque personne d’autre ne l’a vu. » C’est l’inverse. Les mots de passe choisis par des humains suivent des schémas – un prénom, une date, une majuscule au début, un point d’exclamation à la fin – que les logiciels qui cassent les mots de passe essaient en premier. Un générateur local dont vous avez vérifié le fonctionnement apporte un hasard réel, ce que l’imagination ne sait pas faire. Notre guide Combien de temps pour casser un mot de passe ? montre l’écart en chiffres, et celui consacré aux idées de mots de passe présente les méthodes qui tiennent.

En résumé

Un générateur de mot de passe en ligne est sûr s’il fabrique le mot de passe dans votre navigateur avec crypto.getRandomValues(), s’il ne transmet rien et s’il limite le code tiers. Les deux vérifications décisives – l’onglet Réseau et le test hors connexion – prennent deux minutes. Ensuite, choisissez la bonne longueur (le guide Quelle longueur pour un mot de passe ? fait le point sur les recommandations de l’ANSSI, de la CNIL et du NIST), un mot de passe différent pour chaque service et un gestionnaire pour les retenir. Pour en générer un tout de suite : le générateur de mot de passe, ou directement un mot de passe de 16 caractères, soit environ 103 bits d’entropie.