Quelle longueur choisir ?
Une attaque « par force brute » essaie toutes les combinaisons possibles jusqu'à trouver la bonne. Pour la rendre vaine, cybermalveillance.gouv.fr indique qu'un bon mot de passe doit comporter au minimum 12 signes mélangeant des majuscules, des minuscules, des chiffres et des caractères spéciaux.
La CNIL raisonne plutôt en entropie, la quantité de hasard, et fixe des seuils selon l'usage :
| Entropie | Usage | Condition |
|---|---|---|
| 80 bits | Mot de passe seul | Forum, blog : aucune autre protection. |
| 50 bits | Avec restriction d'accès | E-commerce, webmail : le site limite les essais (temporisation, blocage, captcha). |
Le générateur affiche l'entropie de chaque réglage et la compare à ces deux seuils. Par défaut, il propose 16 caractères des quatre jeux, soit plus de 100 bits.
Comment se calcule l'entropie
Chaque caractère est tiré au hasard parmi tous ceux des jeux choisis : 26 minuscules, 26 majuscules, 10 chiffres et 28 symboles (!#$%&()*+,-./:;<=>?@[]^_{|}~), soit 90 caractères. Le nombre de mots de passe possibles est alors 90 puissance la longueur, et l'entropie son logarithme en base 2.
longueur × log2(caractères possibles)mots × log2(taille de la liste)L'outil garantit au moins un caractère de chaque jeu choisi : il recommence le tirage tant qu'un jeu manque, et retire ces mots de passe du calcul. L'entropie affichée est donc un peu inférieure à la formule simple.
12 × log2(26) = 56,4 bits : assez seulement si le site bloque les essais répétés.
12 × log2(90) = 77,9 bits, ramenés à 77,4 bits par l'obligation d'avoir chaque jeu : juste sous les 80 bits. À 13 caractères, on passe à 83,9 bits.
103,6 bits : largement au-dessus du seuil de la CNIL.
La phrase de passe, plus facile à retenir
Une phrase de passe enchaîne des mots tirés au hasard. Elle est plus longue qu'un mot de passe, mais se retient bien mieux. La CNIL donne en exemple une phrase d'au moins 7 mots comme équivalente à ses autres politiques.
Les mots viennent d'une liste de 1 925 mots français courants, sans accents pour se taper sur n'importe quel clavier : chaque mot apporte 10,9 bits.
8 × log2(1925) = 87,2 bits. Avec 7 mots, on obtient 76,3 bits, d'où le choix de 8.
Ce sont les mots tirés au hasard qui font la force de la phrase. Une citation, un vers ou une phrase que vous inventez vous-même suit des règles de la langue et se devine bien plus vite.
L'erreur à ne pas faire
Le premier conseil de cybermalveillance.gouv.fr est d'utiliser un mot de passe différent pour chaque service : en cas de vol d'un mot de passe, seul le service concerné est exposé. Un gestionnaire de mots de passe les retient à votre place ; il ne reste qu'un seul mot de passe à mémoriser, celui qui l'ouvre.
Questions fréquentes
Quelle longueur pour un mot de passe sûr ?
Cybermalveillance.gouv.fr retient au minimum 12 signes mélangeant majuscules, minuscules, chiffres et caractères spéciaux. La CNIL raisonne en entropie : 80 bits pour un mot de passe seul. Avec les quatre jeux de caractères de l'outil, il faut 13 caractères pour dépasser 80 bits ; la longueur proposée par défaut, 16, en donne plus de 100.
Le mot de passe généré est-il envoyé ou enregistré ?
Non. Il est tiré dans votre navigateur par son générateur cryptographique, n'est envoyé à aucun serveur et n'apparaît jamais dans l'adresse de la page. Fermez l'onglet et il n'en reste rien.
Qu'est-ce qu'une phrase de passe ?
Une suite de mots tirés au hasard, comme « falaise-cerise-moulin-tango-ocre-rivage-pivoine-ecrin ». Plus longue qu'un mot de passe, elle se retient mieux. Sa force vient du nombre de mots et de la taille de la liste où ils sont tirés, pas de leur complexité.
Pourquoi exclure les caractères ambigus ?
0 et O, 1, l et I ou la barre verticale se confondent à la lecture. Les exclure aide quand le mot de passe doit être recopié à la main, au prix d'un peu d'entropie, que l'outil recalcule.
Que veut dire « entropie » ?
C'est la quantité de hasard du mot de passe, en bits : avec n bits, un attaquant doit essayer jusqu'à 2 puissance n combinaisons. Chaque bit de plus double le travail.
Vérifié le 11 octobre 2026 sur cybermalveillance.gouv.fr et CNIL.
Une erreur ? Signalez-la, nous la corrigeons.