# Générateur de mot de passe

> La force d’un mot de passe aléatoire se calcule : longueur × bits apportés par chaque caractère. Avec majuscules, minuscules, chiffres et les 14 symboles de l’outil, chaque caractère est tiré parmi 76 et vaut environ 6,25 bits ; les 16 caractères proposés par défaut donnent près de 100 bits, bien au-delà des 80 bits que la CNIL demande pour un mot de passe utilisé seul. Le générateur couvre de 4 à 128 caractères et mène à 16 préréglages par longueur et par usage.

## Un point de départ réglable

Il n’existe pas un bon mot de passe pour tout. La clé Wi-Fi que vos invités tapent sur la télévision, le code PIN d’un téléphone et le mot de passe d’une base de données collé dans un fichier de configuration n’ont pas les mêmes contraintes. Cette page est l’outil général : vous fixez vous-même la longueur et les types de caractères. Si vous savez déjà à quoi servira le mot de passe, l’un des préréglages plus bas fixe des valeurs adaptées et explique les limites propres à cet usage.

Le générateur propose ces réglages :

- **Longueur** de 4 à 128 caractères, 16 au départ, avec un curseur et une case numérique qui restent synchronisés.
- **Types de caractères** : majuscules A–Z, minuscules a–z, chiffres 0–9 et symboles. Les symboles sont exactement `! # $ % & * + - = ? @ ^ _ ~`, soit 14 caractères. Les guillemets, barres obliques, crochets, virgules et espaces sont exclus, car ce sont eux qui posent le plus de problèmes dans les formulaires, les terminaux et les fichiers de configuration.
- **Exclure les caractères qui se ressemblent** retire 0, O, o, 1, l, I et la barre verticale, pour qu’on puisse recopier le mot de passe depuis un papier ou un écran sans hésiter.
- **Au moins un caractère de chaque type choisi** est activé par défaut, pour les nombreux sites qui exigent encore « une majuscule, un chiffre, un caractère spécial ».

Ces symboles se tapent tous sur un clavier AZERTY, certains avec la touche Alt Gr. Seuls `^` et `~` demandent une attention : ce sont des touches mortes, qui n’affichent le caractère qu’après un appui sur Espace. Si vous devez saisir le mot de passe à la main sur un appareil inconnu, décochez les symboles et allongez un peu le mot de passe.

## Créer un mot de passe en cinq étapes

1. Réglez la longueur avec le curseur ou tapez un nombre entre 4 et 128.
2. Activez ou désactivez les types de caractères selon ce qu’accepte le site ou l’appareil.
3. Excluez les caractères qui se ressemblent si vous devrez un jour lire le mot de passe à voix haute ou le recopier à la main.
4. Appuyez sur **Générer à nouveau** et lisez l’entropie sous le résultat : les 16 caractères par défaut affichent 99,7 bits.
5. Copiez le mot de passe directement dans votre gestionnaire ou dans le formulaire d’inscription, et relancez si un site le refuse.

## D’où vient le chiffre d’entropie

L’entropie mesure combien de mots de passe également probables vos réglages peuvent produire, exprimé en puissance de deux. Un mot de passe choisi parmi 2⁸⁰ possibilités demande en moyenne 2⁷⁹ essais à quelqu’un qui les teste dans l’ordre. La formule tient en une ligne :

**entropie en bits = longueur × log2(nombre de caractères possibles)**

Le nombre de caractères possibles augmente avec chaque type autorisé :

| Caractères autorisés | Nombre | Bits par caractère |
|---|---|---|
| Chiffres seuls | 10 | 3,32 |
| Minuscules seules | 26 | 4,70 |
| Minuscules et chiffres | 36 | 5,17 |
| Majuscules, minuscules et chiffres | 62 | 5,95 |
| Les quatre types, sans caractères ressemblants | 70 | 6,13 |
| Les quatre types | 76 | 6,25 |

Deux précisions rendent ce chiffre honnête. D’abord, chaque caractère est tiré uniformément : la formule est exacte, ce n’est pas une estimation des habitudes humaines. Ensuite, quand « au moins un de chaque type » est activé, certaines combinaisons ne peuvent plus sortir, par exemple un mot de passe tout en minuscules ; le compteur affiche alors une valeur un peu plus basse, prudente, qui ne compte que les mots de passe contenant chaque type choisi. À 8 caractères avec les quatre types, seules 47,5 % des suites aléatoires contiennent les quatre, ce qui coûte environ 1,1 bit. À 20 caractères, la perte n’est plus que d’environ 0,1 bit.

## Les repères de la CNIL, traduits en réglages

En 2022, la CNIL a fixé un niveau de référence de 80 bits d’entropie pour un mot de passe utilisé sans mesure complémentaire, et donné trois exemples équivalents. Voici ce qu’ils deviennent avec cet outil :

| Exemple de la CNIL | Avec ce générateur |
|---|---|
| 12 caractères, quatre types, symboles choisis dans une liste d’au moins 37 | Avec 14 symboles seulement, 12 caractères donnent 74,5 bits ; il en faut 13 pour atteindre 80,8 bits |
| 14 caractères, majuscules, minuscules et chiffres, sans caractère spécial | 14 caractères sans symboles donnent 83,2 bits |
| Phrase de passe d’au moins 7 mots | Voir le [générateur de phrase de passe](/fr/generateur-phrase-de-passe/) : 7 mots de la liste de l’EFF font 90,5 bits |

L’écart du premier exemple vient de la taille de la liste de symboles : l’outil n’en propose que 14, choisis pour passer partout, là où l’exemple de la CNIL en suppose 37 ou plus. Plus de longueur compense largement : à 16 caractères, vous êtes à 99,7 bits.

Ces 80 bits concernent un mot de passe qui protège seul un compte. Quand le service freine les tentatives (temporisation, captcha, blocage après 10 échecs), la CNIL se contente de 50 bits, et de 13 bits, soit 4 chiffres, pour un code lié à un matériel que vous détenez, comme une carte SIM bloquée après 3 échecs. Vous ne savez pas toujours quelles protections un site applique : viser 80 bits évite d’avoir à le deviner.

## Préréglages par longueur et par usage

Les pages ci-dessous, en anglais, fixent une longueur ou une règle tout en gardant l’outil réglable, et l’interface suit votre langue. Chacune donne l’entropie de ce réglage, les durées de cassage et les normes ou systèmes qui citent cette longueur :

- **par longueur** : [8](/password-generator/8-character/), [10](/password-generator/10-character/), [12](/password-generator/12-character/), [14](/password-generator/14-character/), [15](/password-generator/15-character/), [16](/password-generator/16-character/), [20](/password-generator/20-character/), [24](/password-generator/24-character/), [32](/password-generator/32-character/) et [64](/password-generator/64-character/) caractères ;
- **[mémorisable](/password-generator/memorable/)** : trois mots anglais avec majuscule, reliés par des tirets, plus deux chiffres ;
- **[Wi-Fi](/password-generator/wifi/)** : 20 lettres et chiffres faciles à saisir avec une télécommande ;
- **[code PIN](/password-generator/pin/)** : 6 chiffres aléatoires, réglables de 4 à 12 ;
- **[sans symboles](/password-generator/no-symbols/)** : 16 lettres et chiffres pour les sites qui refusent la ponctuation ;
- **[prononçable](/password-generator/pronounceable/)** : six syllabes consonne-voyelle et deux chiffres, faciles à épeler ;
- **[facile à taper](/password-generator/easy-to-type/)** : minuscules et chiffres en groupes de quatre séparés par des tirets.

Vous avez déjà un mot de passe et voulez savoir ce qu’il vaut ? Passez-le au [testeur de solidité](/password-strength-checker/) (en anglais, interface en français).

## Quelle longueur suffit ?

Tout dépend de la façon dont le mot de passe peut être attaqué. Un site qui bloque le compte après quelques erreurs subit une attaque en ligne, quelques essais à la fois. Une base de données volée, un échange d’authentification Wi-Fi capturé ou un fichier chiffré peuvent être attaqués hors ligne, à des milliards d’essais par seconde quand le hachage est rapide. Les recommandations en tiennent compte : la révision 2025 du NIST américain demande au moins 15 caractères pour un mot de passe utilisé seul et accepte 8 quand un second facteur est exigé. Pour tout ce qui peut subir une attaque hors ligne, 16 caractères aléatoires ou plus constituent un plancher confortable.

## Où vit le mot de passe

Le mot de passe est créé par le code JavaScript qui tourne dans cet onglet. Il n’est envoyé à aucun serveur, ni enregistré dans le navigateur, ni conservé dans l’historique. Le copier le place dans votre presse-papiers comme n’importe quel texte ; certains systèmes gardent un historique du presse-papiers, à vider sur un ordinateur partagé. Recharger ou fermer la page efface tout.

## Sous le capot

Les valeurs aléatoires viennent de `crypto.getRandomValues`, le générateur aléatoire cryptographique du navigateur. Transformer un octet aléatoire en l’un des 76 caractères demande un peu de soin : 256 n’est pas un multiple de 76, et un simple reste de division rendrait les 28 premiers caractères légèrement plus fréquents. Le générateur utilise donc l’échantillonnage par rejet : il écarte les valeurs qui tombent dans la tranche inégale et tire à nouveau, pour que chaque caractère ait exactement la même chance. Pour vérifier que la génération n’envoie rien, ouvrez les outils de développement sur cette page ; la vérification pas à pas figure sur la [page de méthodologie](/fr/methodologie/).

## Vos questions

### Un mot de passe généré vaut-il mieux qu’un mot de passe inventé ?

Oui, face aux attaques par essais. Les gens reprennent les mêmes schémas, comme une majuscule au début, un mot, une année et un point d’exclamation, et les outils de cassage essaient ces schémas en premier. Un mot de passe généré n’a aucun schéma à exploiter, et son entropie se calcule exactement.

### Pourquoi l’entropie baisse-t-elle avec « au moins un de chaque type » ?

Parce que la règle retire toutes les combinaisons auxquelles il manque un type. Moins de mots de passe possibles, c’est moins de bits. La perte est d’environ un bit à 8 caractères et presque nulle au-delà de 16 : laissez la règle active quand un site exige des types mélangés.

### Exclure les caractères qui se ressemblent affaiblit-il le mot de passe ?

Le choix passe de 76 à 70 caractères, soit environ 0,12 bit de moins par caractère. Un mot de passe de 16 caractères passe d’environ 100 à environ 98 bits. Ajoutez un caractère pour compenser.

### Quelle est la longueur maximale acceptée par un site ?

Il n’y a pas de maximum universel. Le NIST demande aux services d’accepter au moins 64 caractères, et d’anciennes versions de la norme de vérification de l’OWASP conseillaient aux développeurs de refuser au-delà de 128. Certains systèmes plafonnent bien plus bas.

### Pourquoi un site a-t-il refusé le mot de passe généré ?

En général à cause d’une règle que le générateur ne pouvait pas connaître : longueur maximale, symbole interdit, obligation de commencer par une lettre. Ajustez la longueur ou les types et relancez ; un nouveau tirage ne coûte rien.

### Puis-je générer un mot de passe hors connexion ?

Oui. Une fois la page chargée, la génération n’a besoin d’aucune connexion, puisque tout se passe sur votre appareil.

## Sources

Vérifié le 11 octobre 2026.

- [CNIL : mots de passe, recommandations pour maîtriser sa sécurité](https://www.cnil.fr/fr/mots-de-passe-recommandations-pour-maitriser-sa-securite) : niveau de 80 bits et trois exemples équivalents.
- [CNIL : sécurité, authentifier les utilisateurs](https://www.cnil.fr/fr/securite-authentifier-les-utilisateurs) : 50 bits avec mesures complémentaires, 13 bits avec un matériel détenu par l’utilisateur.
- [NIST SP 800-63B-4](https://pages.nist.gov/800-63-4/sp800-63b.html) (en anglais).
- [OWASP ASVS 4.0.3, V2.1](https://github.com/OWASP/ASVS/blob/v4.0.3/4.0/en/0x11-V2-Authentication.md) (en anglais).

Last updated: 2026-10-17