Robustesse d'un mot de passe
Tapez un mot de passe pour voir à quelle vitesse il pourrait être deviné. L'outil repère les mots de passe courants, les noms, les mots, les dates, les suites de touches et les substitutions l33t, et suggère comment le renforcer.
ENTRÉE
Chargement des listes de mots…
RÉSULTAT
Le score, les temps de cassage et les conseils s'affichent ici.
Votre mot de passe est vérifié dans votre navigateur et ne quitte jamais cette page.
Comment tester un mot de passe
Tapez-le ou collez-le
Le mot de passe reste masqué sauf si vous choisissez Afficher. Il est vérifié sur cet appareil pendant que vous tapez.
Lisez le score
Le score va de 0 (très faible) à 4 (très fort) et repose sur le nombre d'essais dont un attaquant aurait besoin.
Suivez les conseils
Les avertissements indiquent ce qui le rend faible, par exemple un mot de passe courant ou une date. Les mots de passe plus longs et moins prévisibles obtiennent un meilleur score.
Comment l'estimation fonctionne
L'outil utilise zxcvbn-ts, un estimateur open source calqué sur le fonctionnement des vrais outils de cassage de mots de passe. Il découpe le mot de passe en morceaux qu'il reconnaît, comme des mots du dictionnaire, des noms, des années, des répétitions et des rangées du clavier, et compte combien d'essais chaque morceau demanderait. Il connaît près de 50 000 mots de passe courants, mots anglais, noms et termes de Wikipédia, ainsi que des mots allemands, français, espagnols, turcs ou arabes quand la page est affichée dans l'une de ces langues.
Ce que signifient les temps de cassage
Ce sont des estimations pour quatre situations : une attaque en ligne contre un site qui limite les tentatives de connexion (100 essais par heure), une attaque en ligne sans limite (10 par seconde), une base de données volée protégée par un hachage lent comme bcrypt (10 000 par seconde) et une base protégée par un hachage rapide (10 milliards par seconde). Les vrais attaquants varient : servez-vous de ces temps pour comparer des mots de passe, pas comme d'une garantie.
Questions fréquentes
Mon mot de passe est-il envoyé quelque part ?
Non. La vérification se fait dans votre navigateur et le mot de passe ne quitte jamais cette page. Les listes de mots font partie du code de la page et se téléchargent à son ouverture ; rien de ce que vous tapez n'est renvoyé.
L'outil vérifie-t-il si mon mot de passe figure dans une fuite de données ?
Non. Il faudrait pour cela envoyer une partie du mot de passe, ou de son hash, à une base de fuites : cet outil ne le fait donc pas. Il reconnaît en revanche les mots de passe les plus courants, ceux qui reviennent sans cesse dans les fuites.
Pourquoi mon long mot de passe est-il jugé faible ?
La longueur n'aide que si le contenu est difficile à deviner. Une phrase courante, une rangée du clavier comme qwertyuiop, un mot répété ou un nom suivi d'une année sont trouvés rapidement, quelle que soit leur longueur. Des mots aléatoires ou un générateur de mots de passe donnent de bien meilleurs résultats.