Test de mot de passe

Votre mot de passe ne quitte jamais votre appareil. Comment il reste confidentiel

Mot de passe à vérifier

Essayez :

Découvrez combien de temps il faudrait pour le craquer et s’il a été divulgué.

Test de mot de passe gratuit : vérifiez sa robustesse

Ce test de mot de passe vous permet de savoir si votre mot de passe est sûr. Saisissez-le ou collez-le ci-dessus pour connaître sa robustesse, le temps qu’il faudrait pour le trouver et savoir s’il fait partie du million de mots de passe les plus souvent compromis. Tout se passe dans votre navigateur pendant la saisie, et votre mot de passe ne quitte jamais cet appareil.

Lorsque vous arrêtez de saisir votre mot de passe, l’outil le recherche aussi dans la liste Pwned Passwords de Have I Been Pwned, en envoyant seulement 5 caractères d’une empreinte cryptographique brouillée, jamais le mot de passe. Voir exactement ce qui est envoyé.

Aller à : Comprendre le résultat · Ce qui est envoyé · Si votre mot de passe est faible · Questions

Ce que signifie le résultat

La plupart des mots de passe ne sont pas cassés par quelqu’un qui essaie différentes combinaisons sur une page de connexion. Un site subit une fuite de données, les mots de passe qu’il stocke sont volés, puis les pirates tentent de les retrouver sur leurs propres ordinateurs, aussi vite que leur matériel le permet. Le temps indiqué par le test de mot de passe correspond à 1 000 cartes graphiques testant des combinaisons à pleine vitesse. C’est ce temps qui détermine le niveau :

Très fort: Un million d’années ou plus; Suffisamment robuste pour tout ce que ce test peut évaluer, s’il est aléatoire et unique
Fort: Moins d’un million d’années; Convient à la plupart des comptes, s’il est unique
Moyen: Moins de 100 ans; Remplacez-le lors de votre prochaine connexion
Faible: Moins d’un an; Changez-le maintenant, partout où vous l’utilisez

Solide en apparence seulement

La plupart des outils de test de mot de passe comptent les caractères et leurs différents types : un mot de passe comme P@ssw0rd2024! leur plaît donc beaucoup. Les outils de piratage ne comptent pas : ils essaient les combinaisons que les gens utilisent, et commencent par les plus courantes. Voici ce que cet outil de test de mot de passe indique pour quelques mots de passe qui semblent convenir :

P@ssw0rd2024!CompromisUn mot, des substitutions de caractères, une année et un symbole : retrouvé environ 500 fois dans des fuites de données
Password123!CompromisRetrouvé dans des fuites de données environ 300 000 fois
Liverpool1892CompromisUne équipe et son année de fondation : environ 27 000 fois
k7#Rq!9vT$2m@LxTrès fortAléatoire : 31 millions d’années pour le casser

Un mot de passe présent dans une fuite de données n’est pas sûr, quelle que soit sa robustesse, car les pirates essaient les mots de passe divulgués avant toute autre chose. Un test de mot de passe peut montrer qu’un mot de passe est faible ; il ne peut pas prouver qu’il est sûr.

Sources : Tests de performance des cartes graphiques (hashcat), zxcvbn (USENIX Security), Recommandations du NIST sur les mots de passe, Le NIST sur l’informatique quantique. Listes de mots issues de FrequencyWords par Hermit Dave, sous licence CC BY-SA 4.0.

Ce qui est envoyé quand vous vérifiez les fuites de données

Rien n’est envoyé à chaque caractère saisi. Quand vous arrêtez de saisir votre mot de passe ou que vous en collez un, voici ce qui se passe une seule fois, avec le mot de passe password comme exemple :

Vous saisissez le mot de passepasswordreste sur votre appareil
Votre navigateur le transforme en empreinte SHA-15BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8reste sur votre appareil
Seuls les 5 premiers caractères sont envoyés à Have I Been Pwned5BAA6envoyés
Le service renvoie toutes les empreintes de mots de passe compromis qui commencent de la même façon, soit environ 2 000, mêlées à des empreintes fictivesvotre navigateur cherche une correspondance

Le service ne voit jamais le mot de passe ni son empreinte complète : il ne peut donc pas savoir laquelle de ces 2 000 empreintes vous avez vérifiée.

La vérification rapide des fuites se fait sur votre appareil. La page télécharge une seule fois une liste compacte d’empreintes du million de mots de passe les plus souvent compromis. La vérification pendant la saisie ne nécessite donc aucune requête. Le risque de fausse correspondance est d’environ un sur un million.
Une seule requête par mot de passe, jamais une par frappe. La vérification attend que vous arrêtiez la saisie. Si le mot de passe figure déjà dans la liste sur votre appareil, rien n’est envoyé. Les petites modifications d’un mot de passe (une faute corrigée, quelques caractères ajoutés) donnent lieu à deux vérifications au maximum : comparer des vérifications presque identiques pourrait révéler le mot de passe. Certains outils envoient une requête à chaque frappe ; mises bout à bout, ces requêtes révèlent le mot de passe caractère par caractère.
Rien n’est conservé. Le mot de passe n’est jamais enregistré, n’apparaît jamais dans la barre d’adresse et disparaît quand vous quittez la page.
Vérifiez par vous-même. Ouvrez l’onglet Réseau des outils de développement de votre navigateur et saisissez du texte : rien n’est envoyé tant que vous ne vous arrêtez pas. Vous verrez alors une seule requête vers api.pwnedpasswords.com, dont l’adresse se termine par les 5 caractères affichés dans cette section. Ou déconnectez-vous d’Internet : tout continue de fonctionner, sauf la vérification complète des fuites.

Données sur les mots de passe compromis : Pwned Passwords de Have I Been Pwned, utilisées sous licence Creative Commons Attribution 4.0.

Si votre mot de passe est faible ou compromis

Changez-le sur tous les sites où vous l’utilisez, en commençant par votre messagerie, car elle permet de réinitialiser les mots de passe de vos autres comptes.
Créez un nouveau mot de passe plutôt que de modifier l’ancien. Ajouter un caractère ou remplacer 1 par 2 est la première chose que les pirates essaient. Créez un mot de passe aléatoire ou une phrase de passe.
Utilisez un gestionnaire de mots de passe, pour que chaque compte ait son propre mot de passe sans que vous ayez à les mémoriser.
Activez la validation en deux étapes partout où elle est proposée. Elle protège votre compte même si votre mot de passe est compromis.

Questions fréquentes

Quel est l’outil de test de mot de passe le plus sûr ?

Un outil qui n’envoie rien pendant la saisie et vous permet de le vérifier. Cette page évalue la robustesse de votre mot de passe et le compare au million de mots de passe les plus souvent divulgués, directement sur votre appareil. La vérification complète des fuites attend que vous arrêtiez la saisie et n’envoie que 5 caractères d’une empreinte cryptographique, une seule fois. Vous pouvez le constater dans l’onglet Réseau de votre navigateur, ou vous déconnecter d’Internet et voir que le test de mot de passe fonctionne toujours.

Comment vérifier si mon mot de passe a été divulgué ?

Saisissez-le ou collez-le ci-dessus. S’il fait partie du million de mots de passe les plus souvent divulgués, vous le voyez immédiatement. Lorsque vous arrêtez la saisie, l’outil vérifie aussi toutes les fuites connues. S’il apparaît dans une fuite, cessez de l’utiliser.

Peut-on utiliser Have I Been Pwned en toute sécurité ?

Oui, pour les mots de passe. Son système de vérification est conçu pour ne jamais recevoir votre mot de passe : votre navigateur n’envoie que les 5 premiers caractères de son empreinte numérique et effectue lui-même la comparaison finale. Cette page demande aussi l’ajout d’entrées factices dans la réponse, pour que même sa taille ne révèle rien.

Quel est le mot de passe le plus piraté ?

123456, retrouvé plus de 210 millions de fois dans des fuites de données, suivi de 123456789, 12345678, password et qwerty (chiffres de Have I Been Pwned). Tout ce qui vient rapidement à l’esprit figure déjà dans ces listes.

Pouvez-vous me donner un exemple de mot de passe fort ?

Un exemple publié n’est plus un mot de passe fort, car il figure désormais dans les listes. Même correcthorsebatterystaple, tiré de la bande dessinée xkcd, est apparu des milliers de fois dans des fuites de données. Un mot de passe fort est créé au hasard, rien que pour vous : utilisez le générateur de mots de passe ou le générateur de phrases de passe.

Combien de temps faudrait-il pour trouver mon mot de passe ?

Saisissez-le ci-dessus : le test de mot de passe indique le temps moyen nécessaire à 1 000 cartes graphiques testant des combinaisons à pleine vitesse à partir d’une liste de mots de passe volée. C’est le scénario auquel il vaut mieux se préparer. Un mot de passe aléatoire de 8 caractères est cassé en quelques secondes ; pour un mot de passe aléatoire de 16 caractères, il faut environ 3 milliards d’années.

Pourquoi les autres tests de mot de passe affichent-ils des temps plus longs ?

Chaque test de mot de passe doit partir d’une hypothèse sur les moyens du pirate, et la plupart ne précisent pas laquelle. Beaucoup supposent que le site stocke les mots de passe avec une méthode volontairement lente, ce qui ne permet que quelques milliers d’essais par seconde. Certains utilisent les performances de cartes graphiques d’il y a plusieurs années, et d’autres ne tiennent compte que de la longueur, sans repérer les éléments prévisibles comme les mots et les dates. Nous retenons un scénario plus sévère et nous le précisons : une liste de mots de passe volée, attaquée à pleine vitesse par 1 000 cartes graphiques. Sur de nombreux sites bien gérés, les mots de passe sont beaucoup plus longs à casser. Mais comme vous ne pouvez pas savoir quelle méthode un site utilise, considérez nos estimations comme le pire scénario auquel vous préparer.

Pourquoi un mot de passe long est-il quand même indiqué comme faible ?

Parce que les outils de cassage ne devinent pas une lettre à la fois. Ils essaient des mots entiers, des noms, des lieux, des dates et des mots de passe courants, puis les combinent et ajoutent des chiffres. LiverpoolFootball1892 compte 21 caractères, mais pour un outil de cassage, ce ne sont que deux mots courants et une année : environ cent millions d’essais, qu’une seule carte graphique effectue en moins d’une seconde. La longueur n’aide que si les caractères sont imprévisibles, comme dans un mot de passe aléatoire ou une phrase secrète composée de mots aléatoires.

Où puis-je voir lesquels de mes mots de passe enregistrés sont compromis ?

Votre gestionnaire de mots de passe peut tous les vérifier en une seule fois. Sur un iPhone ou un Mac, ouvrez l’application Mots de passe et consultez la rubrique Sécurité. Dans Chrome, le Gestionnaire de mots de passe de Google propose l'outil Check-up Mots de passe. NordPass, Bitwarden, 1Password et la plupart des autres gestionnaires proposent un rapport similaire.

Quelle longueur doit faire un mot de passe ?

Au moins 16 caractères aléatoires, ou sept mots aléatoires. Le NIST, un organisme américain de normalisation, recommande aux sites web d’accepter des mots de passe d’au moins 64 caractères et d’exiger un minimum de 15 caractères lorsque le mot de passe est le seul élément qui protège le compte.

Langue