Chaque mot tiré dans la liste de 7 776 mots de l’EFF apporte log2(7 776), soit environ 12,9 bits. La phrase de six mots proposée par défaut est donc l’une de quelque 2,2 × 10²³ possibilités, soit 77,5 bits ; avec sept mots, on atteint 90,5 bits, ce qui dépasse le seuil de 80 bits retenu par la CNIL quand rien d’autre ne protège le compte. Une phrase de passe se retient et se tape plus facilement qu’une suite de caractères de même force.
Quand des mots valent mieux que des caractères
Certains mots de passe doivent tenir dans votre tête : celui qui ouvre votre gestionnaire de mots de passe, la session de votre ordinateur, la clé d’un disque chiffré. Vous les tapez de mémoire, parfois plusieurs fois par jour, et aucun gestionnaire ne peut les remplir à votre place. Une suite comme q7#Vd!2mZ se retient mal et se tape de travers. Six mots ordinaires, comme pester-parameter-removed-popular-dollhouse-brick, sont plus longs, mais la plupart des gens les apprennent en un jour ou deux.
Le secret, c’est que les mots doivent être choisis par le hasard, pas par vous. Les gens piochent des paroles de chanson, des citations, des expressions connues, et les outils de cassage de mots de passe contiennent d’énormes listes de ces phrases-là. Un mot tiré uniformément parmi 7 776 vaut toujours 12,9 bits, aussi banal qu’il paraisse.
La CNIL retient d’ailleurs la phrase de passe comme l’une des trois façons d’atteindre son niveau de référence : dans sa recommandation de 2022, son troisième exemple est une phrase d’au moins sept mots.
Pourquoi des mots anglais
La liste utilisée ici est la grande liste publiée par l’Electronic Frontier Foundation (EFF) en 2016 : 7 776 mots anglais courants, choisis pour être faciles à taper et à retenir. Elle a été débarrassée des mots vulgaires, des homophones et des mots difficiles à épeler, et aucun mot n’y est le début d’un autre. La sécurité ne dépend pas de la langue, seulement du nombre de mots possibles et du tirage au hasard. Si un mot vous est inconnu, ce n’est pas un défaut : il est juste moins facile à mémoriser. Dans ce cas, générez une nouvelle phrase plutôt que de remplacer le mot à la main.
Générer une phrase de passe
- Gardez 6 mots, ou choisissez un nombre entre 3 et 12 ; 7 mots si vous visez les 80 bits de la CNIL.
- Gardez le tiret comme séparateur, ou passez à l’espace, au point, au tiret bas, ou à rien.
- Activez la majuscule au début de chaque mot ou l’ajout d’un chiffre si un site les exige.
- Appuyez sur Générer à nouveau jusqu’à obtenir une phrase que vous arrivez à vous représenter.
- Rangez-la dans votre gestionnaire de mots de passe, ou notez-la sur papier et gardez ce papier en lieu sûr le temps de la connaître par cœur.
Les options et leur effet
| Option | Effet sur l’entropie | Pourquoi l’utiliser |
|---|---|---|
| Nombre de mots (3 à 12) | +12,9 bits par mot | Le vrai réglage de la force |
| Séparateur (tiret par défaut) | Aucun : c’est vous qui le choisissez | L’espace se lit naturellement ; le tiret résiste aux formulaires qui suppriment les espaces |
| Majuscule au début de chaque mot | Aucun : tous les mots en reçoivent une | Satisfait la règle « au moins une majuscule » |
| Ajouter un chiffre | log2(10 × nombre de mots) bits, environ 5,9 avec six mots | Satisfait la règle « au moins un chiffre » |
Majuscules et séparateurs s’appliquent à tous les mots de la même façon : ils n’ajoutent aucune imprévisibilité. Quelqu’un qui sait que vous avez utilisé cet outil sait aussi que ces options existent. Seuls les tirages au hasard comptent dans le chiffre affiché : les mots, et, si vous l’ajoutez, le chiffre et le mot qu’il suit. Le chiffre prend une valeur parmi dix, placée après un mot choisi au hasard : il apporte log2(10 × nombre de mots) bits, par exemple log2(60) ≈ 5,9 bits avec six mots. Six mots plus un chiffre donnent ainsi 83,4 bits.
L’option « Rien » comme séparateur ne coûte rien avec cette liste, puisqu’aucun mot n’est le début d’un autre : une fois collés, les mots ne se découpent que d’une seule façon. Quatre entrées contiennent leur propre tiret (drop-down, felt-tip, t-shirt, yo-yo) ; avec le tiret comme séparateur, l’effet est un peu étrange, mais la force ne change pas.
Combien de mots choisir ?
Le tableau suppose un attaquant qui connaît vos réglages et la liste, et qui essaie hors ligne, sur une copie volée de la base de mots de passe. Les durées correspondent à l’exploration de la moitié des phrases possibles, c’est-à-dire au cas moyen. Deux vitesses sont indiquées : 10¹⁰ essais par seconde, proche d’une seule carte graphique RTX 4090 contre du SHA-256 sans sel, et 10¹² par seconde, ce qu’atteignent quatre de ces cartes contre NTLM. Un site qui stocke les mots de passe avec un hachage lent comme bcrypt ou Argon2, ou qui bloque le compte après quelques erreurs, repousse ces durées de plusieurs ordres de grandeur.
| Mots | Bits | Une carte (10¹⁰ par seconde) | Quatre cartes (10¹² par seconde) |
|---|---|---|---|
| 3 | 38,8 | 24 secondes | moins d’une seconde |
| 4 | 51,7 | 2 jours | 30 minutes |
| 5 | 64,6 | 45 ans | 165 jours |
| 6 | 77,5 | 350 000 ans | 3 500 ans |
| 7 | 90,5 | 2,7 milliards d’années | 27 millions d’années |
| 8 | 103,4 | 2,1 × 10¹³ ans | 212 milliards d’années |
Six mots suffisent largement pour un compte protégé par un site sérieux. Sept ou huit conviennent à ce qui risque une attaque hors ligne : le coffre de votre gestionnaire de mots de passe, un disque ou une archive chiffrés. Trois ou quatre mots ne se justifient que si le système limite vraiment les tentatives.
Longueur en caractères
Les mots de la liste font de 3 à 9 lettres, 7 en moyenne. Une phrase de six mots avec tirets compte donc entre 23 et 59 caractères, 47 en général : n’importe quel minimum de longueur est atteint. C’est le maximum qui peut poser problème. Une phrase de huit mots avec séparateurs dépasse 64 caractères environ une fois sur trois, et certains sites s’arrêtent là. Le NIST américain demande seulement aux services d’accepter au moins 64 caractères ; testez une longue phrase en vous déconnectant puis en vous reconnectant.
Besoin d’une suite de caractères ?
Le second onglet de cette page fabrique un mot de passe aléatoire classique, avec les mêmes réglages que le générateur de mot de passe. Utilisez-le pour les comptes que votre gestionnaire remplit tout seul. Pour une version courte faite de trois mots et de deux chiffres, voyez le préréglage mémorisable ; pour tirer les mots avec de vrais dés, la page Diceware affiche les numéros de dés de chaque mot (pages en anglais, outil en français).
Votre phrase de passe reste ici
Les mots sont choisis dans votre navigateur, à partir d’une copie de la liste livrée avec la page. Rien de ce que vous générez n’est envoyé, journalisé ni enregistré, et la page ne garde pas les résultats précédents. Si vous fermez l’onglet sans avoir rangé votre phrase, elle est perdue pour de bon : notez-la avant.
Notes techniques
L’outil tire une position dans la liste pour chaque mot avec crypto.getRandomValues. Les nombres aléatoires bruts couvrent une plage qui n’est pas un multiple de 7 776 : les valeurs qui tombent dans la tranche du haut sont écartées et tirées à nouveau, pour que chaque mot garde exactement une chance sur 7 776. La liste est la grande liste de l’EFF, non modifiée, publiée sous licence Creative Commons Attribution ; voyez l’annonce de l’EFF et notre page des licences. Ouvrez l’onglet Réseau pendant la génération : aucune requête ne doit contenir la phrase générée. Les téléchargements de composants et les requêtes de mesure d’audience restent possibles ; la page de méthodologie explique comment vérifier.
Questions fréquentes
Une phrase de passe est-elle vraiment aussi solide qu’un mot de passe aléatoire ?
La force dépend du nombre de résultats également probables, pas de leur apparence. Six mots de l’EFF donnent 77,5 bits, à peu près autant qu’un mot de passe aléatoire de 12 ou 13 caractères mêlant lettres, chiffres et symboles. Ajoutez des mots pour aller plus loin.
Six mots respectent-ils la recommandation de la CNIL ?
Pour un compte que rien d’autre ne protège, la CNIL demande 80 bits. Six mots de cette liste donnent 77,5 bits, juste en dessous ; sept mots en donnent 90,5, et six mots plus un chiffre 83,4. Choisissez sept mots si vous voulez une marge nette.
Le fait que la liste soit publique est-il un problème ?
Non. Le calcul suppose déjà que l’attaquant possède la liste. La protection vient des quelque 2,2 × 10²³ combinaisons de six mots, pas du secret sur l’origine des mots.
Puis-je remplacer un mot qui ne me plaît pas ?
Mieux vaut générer une nouvelle phrase. Choisir soi-même un mot, même un seul, oriente le résultat vers des mots agréables, ce qu’un attaquant peut modéliser. Relancez jusqu’à ce qu’une phrase vous convienne.
Faut-il ajouter des symboles ou des chiffres aux mots ?
Seulement si un site l’exige. Remplacer des lettres par des chiffres qui leur ressemblent n’apporte presque rien, car les outils de cassage essaient ces substitutions automatiquement. Un mot de plus ajoute 12,9 bits et se retient mieux.
Pourquoi un site trouve-t-il ma phrase trop longue ?
Certains services plafonnent la longueur des mots de passe, parfois à 64 caractères ou moins. Retirez un mot, supprimez les séparateurs, ou voyez si le site propose un autre moyen de connexion.
Sources
Vérifié le 11 octobre 2026.
- EFF : nouvelles listes de mots pour des phrases de passe aléatoires (en anglais).
- Recommandation de la CNIL sur les mots de passe : seuil de 80 bits, exemple d’une phrase d’au moins 7 mots.
- NIST SP 800-63B-4 (en anglais), longueur maximale acceptée.
- Mesures hashcat 6.2.6 sur RTX 4090 (en anglais).
Dernière mise à jour :