Générateur de phrase de passe
Créez en un clic une phrase de passe faite de mots aléatoires. Elle est générée dans votre navigateur et n’est ni envoyée ni enregistrée. Choisissez la langue et le nombre de mots et voyez le temps qu’il faudrait pour la deviner.
Votre phrase de passe
La phrase de passe est générée dans votre navigateur et n’est ni envoyée ni enregistrée. Seuls vos réglages (langue des mots, nombre de mots, séparateur) restent dans ce navigateur.
Robustesse
66 bits
Bits d’entropie : la phrase a été tirée au hasard parmi 2 puissance ce nombre de possibilités, et chaque bit de plus double les essais dont un attaquant a besoin. Cela ne vaut que pour une phrase créée par ce générateur, pas pour une phrase que vous avez inventée.
Temps pour le deviner
- Connexion en ligne10 essais par seconde (exemple)
- plus d’un milliard d’années
- Base de données volée, hachage lentbcrypt, une RTX 5090
- 4 600 000 ans
- Base de données volée, hachage rapideMD5, une RTX 5090
- 5 ans
Le temps moyen pour trouver le mot de passe en essayant les possibilités les unes après les autres (en moyenne la moitié). Les vitesses sont des mesures publiées d’une carte graphique, voir la méthode et les sources plus bas ; un attaquant peut disposer de nombreuses cartes.
Une estimation à titre informatif uniquement, pas un conseil financier, fiscal ou technique. Comment c'est calculé et d'où viennent les données
Comment fonctionne une phrase de passe
Une phrase de passe est faite de plusieurs mots tirés au hasard, par exemple dans une liste de quelques milliers. Sa robustesse vient du nombre de mots et de la taille de la liste, pas de caractères étranges : chaque mot multiplie le nombre de possibilités par la taille de la liste.
Elle convient à ce qu’il faut retenir : le mot de passe principal d’un gestionnaire de mots de passe ou celui qui déverrouille votre ordinateur ou votre téléphone. Des mots se retiennent et se saisissent mieux qu’une suite de caractères aléatoires. Pour tout le reste, laissez un gestionnaire conserver de longs mots de passe aléatoires.
Les mots doivent être choisis par le hasard, pas par vous. Un vers de chanson, une citation ou une phrase de votre cru sont bien plus faibles, car les attaquants essaient justement cela. Si les mots ne vous plaisent pas, tirez une nouvelle phrase plutôt que de modifier des mots à la main.
Les recommandations officielles s’accordent sur la longueur et le caractère aléatoire. Le NIST demande aux services d’accepter des mots de passe d’au moins 64 caractères et de ne pas imposer de règles sur les types de caractères, et un mot de passe qui est le seul moyen de connexion doit compter au moins 15 caractères. Une phrase de passe de plusieurs mots y satisfait aisément.
Questions fréquentes
Est-il sûr de créer une phrase de passe sur un site web ?
Ce générateur la crée dans votre navigateur avec la source d’aléa du navigateur lui-même. La phrase n’est ni envoyée à un serveur ni enregistrée ; seuls vos réglages restent dans le navigateur. Vous pouvez le vérifier dans le panneau réseau du navigateur, ou charger la page puis couper internet.
Combien de mots utiliser ?
Six mots aléatoires se situent déjà dans la tranche « bon » de ce générateur (66 bits avec les listes de 2 048 mots, 78 bits avec l’anglaise). La tranche la plus haute, 100 bits, demande huit mots de la liste anglaise ou dix des autres. Plus vous pouvez retenir et saisir de mots, mieux c’est.
Pourquoi seulement quelques langues ?
Une liste doit être libre d’utilisation et vérifiée, pour ne pas contenir de mots choquants ou faciles à confondre. Nous avons de telles listes pour l’anglais, le tchèque, l’espagnol et le français. Une liste que nous ne pourrions pas vérifier dégraderait le générateur au lieu de l’améliorer ; les autres langues attendent donc une bonne source.
Dois-je ajouter des symboles ou remplacer des lettres ?
Ce n’est pas nécessaire. C’est la longueur qui décide : un mot de plus apporte bien plus qu’un symbole. Si un site exige une majuscule ou un chiffre, activez ces options ; elles ne rendent pas la phrase plus solide, elles satisfont seulement la règle.
Articles liés
- Comparatif
Mot de passe ou phrase de passe : lequel est le plus sûr ?
Combien de mots aléatoires valent combien de caractères, le temps pour deviner une phrase, pourquoi une phrase inventée ne suffit pas et quand choisir laquelle.
- Guide
Comment créer un mot de passe solide : longueur, gestionnaire de mots de passe et double authentification
Pourquoi la longueur compte plus que la complexité, en combien de temps on devine un mot de passe selon des mesures publiées, ce que recommandent la CNIL et le NIST et que faire dès aujourd’hui.
- Guide
Se connecter avec Google, Apple ou Facebook : fonctionnement, avantages et risques
Comment fonctionne le bouton « Se connecter avec Google », ce que le site apprend sur vous, où sont les avantages et les risques et comment l’utiliser en sécurité.
Comment c'est calculé et d'où viennent les données
Comment le résultat est calculé
- Les mots sont tirés de la source d’aléa cryptographique de votre navigateur (crypto.getRandomValues). Chaque mot est choisi avec la même probabilité dans toute la liste, et un tirage qui avantagerait certains mots est écarté.
- Les mots sont tirés indépendamment, un mot peut donc sortir deux fois. Ainsi toutes les phrases sont équiprobables, et leur nombre est exactement la taille de la liste puissance le nombre de mots.
- La robustesse en bits est le logarithme en base 2 de ce nombre ; chaque mot ajoute donc autant de bits : log2 de la taille de la liste (11 bits pour 2 048 mots, environ 12,9 pour 7 776). Un chiffre tiré ajoute environ 3,3 bits. Le séparateur et les majuscules n’ajoutent rien, car ils sont identiques à chaque fois.
- Le temps pour deviner est la moitié de toutes les possibilités (la moyenne) divisée par le nombre d’essais par seconde dont un attaquant est capable, comme pour le générateur de mots de passe.
- Les paliers sont les nôtres, pas une norme : en dessous de 60 bits faible, de 60 à 100 bits bon, à partir de 100 bits très solide.
Hypothèses et limites
- La robustesse ne vaut que pour une phrase créée par ce générateur, pas pour une phrase choisie ou modifiée à la main, et suppose un attaquant qui connaît la liste et vos réglages.
- Nous n’utilisons que des listes de mots à la source publique et à la licence libre : l’anglais (EFF) et le tchèque, l’espagnol et le français (BIP-39). D’autres langues suivront lorsqu’il existera une liste que nous pourrons vérifier.
- Les vitesses sont des tests d’une seule carte graphique. Un attaquant peut en utiliser beaucoup, et un service peut recourir à un hachage plus lent ou limiter les essais ; le temps réel peut donc être bien plus court ou bien plus long.
- Le générateur ne sait pas si une phrase a fuité et ne connaît pas les règles d’un site particulier, comme une longueur maximale.
- Les attaques visant la personne (hameçonnage, logiciels malveillants) ne figurent pas dans les chiffres, et une phrase de passe solide ne protège pas contre elles.
La vitesse en ligne (10 essais par seconde) est notre exemple. Les vitesses hors ligne sont des tests publiés : MD5 215,8 GH/s et bcrypt 255,3 kH/s sur une NVIDIA RTX 5090 (hashcat v6.2.6). Les listes de mots sont la EFF Large Wordlist (anglais) et les listes BIP-39 (tchèque, espagnol, français).
Sources des données et période concernée
Chaque chiffre avec lequel un calculateur démarre ou à partir duquel il calcule provient de l'une des sources ci-dessous. Les noms des séries sont donnés tels que l'éditeur les nomme. Chaque ligne indique la période à laquelle les données se rapportent et, là où nous la consignons, le jour du téléchargement. Les données officielles peuvent avoir plusieurs mois lors de leur publication ; vérifiez donc la valeur actuelle avant de décider.
- Officiel
- Publié par une banque centrale, un institut de statistique, l'Union européenne ou un autre organisme public.
- Données académiques ou sectorielles
- Un jeu de données d'une université, d'un fournisseur d'indices, d'une association sectorielle ou d'un fournisseur de données.
- D'après la presse
- Un chiffre d'un organisme officiel que nous ne connaissons que par la presse et que nous n'avons pas vérifié à la source. Considérez-le comme approximatif.
- Exemple
- Un chiffre rond de notre part, pas une statistique. Remplacez-le par le vôtre.
Vitesses d’attaque sur les mots de passe et recommandations
Afficher les 4 sources
| Source | Période | Type |
|---|---|---|
hashcat forum, RTX 5090 benchmark threadNVIDIA GeForce RTX 5090, hashcat v6.2.6, tuned run, MD5 (mode 0): 215.8 GH/s (fast hash) | 2025-02téléchargé le 2026-10-07 | Données académiques ou sectorielles |
hashcat forum, RTX 5090 benchmark threadNVIDIA GeForce RTX 5090, hashcat v6.2.6, tuned run, bcrypt (mode 3200, 32 iterations): 255.3 kH/s (slow hash) | 2025-02téléchargé le 2026-10-07 | Données académiques ou sectorielles |
ExempleOnline guessing against a login that limits the attempts: 10 guesses per second | 2026 | Exemple |
NISTSP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, section 3.1.1.2 Passwords | 2025téléchargé le 2026-10-07 | Officiel |
Listes de mots pour phrases de passe
| Source | Période | Type |
|---|---|---|
Electronic Frontier FoundationEFF Large Wordlist for Random Passphrases, 7,776 English words (CC BY 3.0 US; the dice numbers removed) | 2016téléchargé le 2026-10-07 | Données académiques ou sectorielles |
Bitcoin Improvement ProposalsBIP-39 wordlists, 2,048 words each: Czech, Spanish, French (MIT licence; accents in the composed form) | en vigueurtéléchargé le 2026-10-07 | Données académiques ou sectorielles |
Texte de la méthodologie vérifié pour la dernière fois le 2026-10-06. Données téléchargées pour la dernière fois le 2026-10-07. Comment nous travaillons avec les données et les sources