Comment la force est estimée
Tout part de l'entropie, la quantité de hasard d'un mot de passe, en bits : avec n bits, il faut essayer jusqu'à 2 puissance n combinaisons pour le trouver. Chaque bit de plus double le travail de l'attaquant. L'outil en calcule deux.
longueur × log2(caractères possibles)caractères ordinaires + coût des motifsLa théorique suppose que chaque caractère a été tiré au hasard. Les caractères possibles dépendent des jeux présents : 26 minuscules, 26 majuscules, 10 chiffres, 28 symboles, comme dans le générateur de mot de passe, dont l'outil reprend exactement le calcul. Un mot de passe produit par le générateur obtient donc ici la même valeur. Les autres caractères (espace, guillemets, lettres accentuées…) forment, par convention de l'outil, un cinquième jeu de 41 signes.
L'estimée part du même principe, mais compte chaque motif reconnu à son coût réel pour un attaquant, qui essaie d'abord les mots courants, les suites et les dates. L'outil retient le découpage le moins coûteux pour l'attaquant, et c'est elle qui décide du verdict, comparée aux seuils de la CNIL : 80 bits pour un mot de passe seul, 50 bits si le site limite les essais.
Les motifs repérés
Les coûts ci-dessous sont des conventions de l'outil, sur le modèle des estimateurs de mots de passe : le nombre de possibilités qu'un attaquant doit essayer pour ce motif.
| Motif | Exemple | Coût |
|---|---|---|
| Mot courant | soleil, p@ssw0rd | 6,8 bits (+1 ou +2) |
| Suite | abcd, 4321, azerty | 7,4 bits |
| Répétition | aaaa, toto, 1212 | motif + log2(fois) |
| Date | 12/05/1990 | 16,1 bits |
| Date courte | 120590 | 15,1 bits |
| Année | 1985, 2024 | 7,6 bits |
Les mots courants viennent d'une petite liste de 112 mots, prénoms et mots de passe très répandus, écrite pour l'outil ; les chiffres et symboles qui remplacent des lettres (@ pour a, 0 pour o, 3 pour e) sont ramenés à la lettre avant la recherche. Un mot coûte 1 bit de plus s'il contient une majuscule, 1 de plus s'il contient une telle substitution. Une répétition coûte le motif répété une fois, plus log2 du nombre de fois. Les suites couvrent l'alphabet, les chiffres et les rangées des claviers AZERTY et QWERTY, dans les deux sens.
Le temps d'attaque
Le temps affiché est celui qu'il faut pour essayer toutes les combinaisons de l'entropie estimée, à une vitesse donnée. Ces vitesses sont des hypothèses d'ordre de grandeur, pas des mesures :
- En ligne, sans limite d'essais : 100 essais par seconde.
- Base volée, empreintes lentes : 10 000 essais par seconde.
- Base volée, empreintes rapides : 10 000 000 000 essais par seconde.
En ligne, l'attaquant passe par le formulaire de connexion du site, qui peut le ralentir ou le bloquer. Si la base des mots de passe d'un site est volée, il essaie hors ligne contre les empreintes : leur vitesse dépend de la méthode de stockage choisie par le site. À la vitesse la plus rapide, 50 bits tombent en environ un jour,80 bits plus de 3 millions d'années.
Trois exemples
10 caractères parmi 62 : 59,2 bits en théorie. Mais « Soleil » est un mot courant avec une majuscule, et 1985 une année : 15,4 bits estimés, trouvé en 7 minutes à 100 essais par seconde.
12 caractères des quatre jeux, comme le demandent les recommandations : 77,4 bits en théorie. Une fois « Marseille » repéré, il reste 27,2 bits estimés, soit 4 heures à 10 000 essais par seconde.
16 caractères tirés au hasard, sans motif : 103,6 bits, théorique et estimée égales. C'est la longueur que propose le générateur par défaut.
Les recommandations officielles
La CNIL fixe 80 bits pour un mot de passe seul et 50 bits quand le site limite les essais (temporisation, nombre maximal de tentatives, captcha). Elle donne trois façons d'y arriver :
- 12 caractères au moins, avec majuscules, minuscules, chiffres et caractères spéciaux ;
- 14 caractères au moins, avec majuscules, minuscules et chiffres, sans caractère spécial obligatoire ;
- une phrase de passe d'au moins 7 mots.
Cybermalveillance.gouv.fr retient au minimum 12 signes des quatre types, sans information personnelle facile à trouver (prénom d'un enfant, date d'anniversaire) ni suite simple comme 123456, azerty ou abcdef. Le site conseille aussi un mot de passe différent pour chaque service, un gestionnaire de mots de passe pour les retenir, et la double authentification quand le service la propose.
Ce que l'outil ne sait pas
L'outil ne connaît ni votre prénom, ni celui de vos proches, ni votre date de naissance : un mot de passe qui en contient peut obtenir un bon score et rester facile à deviner pour qui vous connaît. Il ne sait pas non plus si ce mot de passe a déjà fuité, ni si vous l'utilisez ailleurs. Enfin, une phrase de passe faite de mots tirés au hasard se mesure mal caractère par caractère : sa force vient du nombre de mots et de la taille de la liste où ils sont tirés, comme le calcule le générateur.
Questions fréquentes
Mon mot de passe est-il envoyé quelque part ?
Non. L'analyse se fait entièrement dans la page, par votre navigateur : aucune requête n'est envoyée, rien n'est enregistré, et le mot de passe n'apparaît jamais dans l'adresse. Le champ se vide quand vous quittez la page. Par prudence, vous pouvez tester un mot de passe construit de la même façon plutôt que le vrai.
Qu'est-ce qu'un mot de passe robuste ?
Pour la CNIL, un mot de passe utilisé seul doit atteindre 80 bits d'entropie, 50 bits si le site limite les essais. Cybermalveillance.gouv.fr recommande au moins 12 signes mélangeant majuscules, minuscules, chiffres et caractères spéciaux, sans information personnelle ni suite simple.
Pourquoi deux entropies, théorique et estimée ?
L'entropie théorique suppose que chaque caractère a été tiré au hasard. L'estimée tient compte des motifs qu'un attaquant essaie en premier : un mot courant, une suite comme 123 ou azerty, une date. « Soleil1985 » vaut 59,2 bits en théorie, mais seulement 15,4 bits une fois ces motifs repérés.
Les temps d'attaque sont-ils fiables ?
Ce sont des ordres de grandeur. Ils reposent sur trois vitesses d'essai que nous avons choisies comme hypothèses, affichées sous chaque ligne, et comptent le temps pour essayer toutes les combinaisons. Un attaquant réel peut être plus lent ou plus rapide, et tomber juste avant la fin.
Faut-il changer régulièrement de mot de passe ?
La CNIL indique que forcer un changement à intervalle régulier n'est pas une mesure réellement efficace pour les comptes ordinaires. Changez-le en revanche aussitôt s'il a pu être volé, et n'utilisez jamais le même pour deux services.
Vérifié le 11 octobre 2026 sur cybermalveillance.gouv.fr et CNIL.
Une erreur ? Signalez-la, nous la corrigeons.