Testeur de robustesse de mot de passe
Password Strength Meter
Estime le temps qu’il faudrait pour casser un mot de passe et nomme les motifs qui l’affaiblissent.
Un indicateur qui compte les classes de caractères note `P@ssw0rd1` robuste et `mineral cobbler thrift` faible, et il se trompe dans les deux sens : mettre une majuscule à la première lettre, remplacer a par @ et ajouter un 1 à la fin sont les premières règles qu’essaie un casseur, pas les dernières. Celui-ci estime les tentatives comme les compterait un attaquant : en cherchant le jeu de motifs le moins coûteux qui reconstruit le mot de passe.
Le mot de passe est mesuré dans cet onglet et nulle part ailleurs. Il n’est pas envoyé, pas haché, pas conservé, et il n’est comparé à aucune liste de fuites : le faire reviendrait à confier une partie de lui au serveur de quelqu’un d’autre.
Comment c’est mesuré
Pas en comptant les classes de caractères. On cherche ici les motifs pour lesquels un outil de cassage a une règle bon marché — mots du dictionnaire, mots à l’envers, substitutions par des caractères ressemblants, suites de touches, répétitions, séquences, dates — puis on facture la façon la moins chère d’assembler votre mot de passe avec eux. C’est une implémentation indépendante du modèle zxcvbn (Wheeler, USENIX Security 2016), comparée à 222 mots de passe courants, 353 mots anglais, 99 prénoms et la liste de 7 776 mots de l’EFF.
Les listes d’un vrai attaquant sont plus grandes que celles-ci. Un mot de passe que cette page ne reconnaît pas peut tout de même s’y trouver : ceci est une borne inférieure de la difficulté à le deviner, et c’est le seul sens dans lequel une estimation de robustesse peut honnêtement se tromper.
Besoin d’un mot de passe qui s’en sorte bien ? Générez une phrase de passe ou un mot de passe aléatoire.
Comment s’en servir
Tapez ou collez le mot de passe
Rien n’est haché, conservé ni envoyé. L’analyse tourne sur la chaîne dans l’onglet, et c’est pourquoi aucune base de fuites n’est consultée ici : c’est un outil séparé.
Lisez la décomposition en motifs, pas seulement le score
L’outil nomme chaque segment qu’il a reconnu — un mot du dictionnaire, une suite au clavier, une date, une répétition — et ce que ce segment coûte à un attaquant. Le segment bon marché est celui qu’il faut changer.
Comparez les deux vitesses d’attaque
Le même nombre de tentatives fait des années contre une connexion lente sur un serveur et des minutes contre une attaque hors ligne sur une empreinte fuitée. Jugez d’après le cas qui s’applique là où vit le mot de passe.
Questions fréquentes
Est-ce zxcvbn ?
Il suit l’algorithme publié (Wheeler, USENIX Security 2016) mais c’est une implémentation indépendante avec les dictionnaires propres à ce projet, bien plus petits. Les nombres ont la même forme que ceux de zxcvbn, ils ne leur sont pas identiques.
Il dit que mon mot de passe est robuste. Est-il sûr ?
Cela veut dire que cet outil n’y a trouvé aucun motif bon marché. Une liste de mots que possède un attaquant et que cet outil n’a pas le casse quand même, et un mot de passe réutilisé sur un site déjà touché par une fuite est cassé quel que soit son score. Vérifiez-le aussi avec l’outil de fuites.
Pourquoi ajouter un symbole à la fin n’aide-t-il presque pas ?
Parce que c’est une règle, et que les règles coûtent peu. Une passe de cassage ajoute d’office chaque symbole à chaque mot du dictionnaire, donc un symbole multiplie le travail par quelques dizaines et non par la taille de l’alphabet. Ajouter des mots le multiplie bien davantage.
Le mot de passe quitte-t-il l’onglet ?
Non. Il n’y a dans cet outil aucune requête réseau — pas même un préfixe d’empreinte, et c’est pourquoi la recherche dans les fuites est délibérément gardée à part.
À alimenter depuis
Vérificateur bcrypt et argon2
bcrypt & argon2 Checker
Hache un mot de passe avec bcrypt au coût choisi et vérifie un mot de passe contre une empreinte bcrypt existante. Reconnaît argon2 mais ne le calcule pas.
Générateur de mots de passe
Password Generator
Produit des mots de passe aléatoires avec longueur, jeu de caractères et exclusion des caractères ambigus au choix, en série si besoin.
Générateur de phrase secrète
Passphrase Generator
Compose une phrase secrète de type diceware à partir d’une liste de mots, en affichant l’entropie en bits.
Vérifier une fuite de mot de passe
Breach Check
Regarde si un mot de passe figure dans les fuites recensées par Have I Been Pwned, en n’envoyant depuis le navigateur que les cinq premiers caractères de son empreinte SHA-1 (k-anonymat).
Ensuite
Ces outils acceptent ce que celui-ci produit : le résultat peut y aller directement.
Vérifier une fuite de mot de passe
Breach Check
Regarde si un mot de passe figure dans les fuites recensées par Have I Been Pwned, en n’envoyant depuis le navigateur que les cinq premiers caractères de son empreinte SHA-1 (k-anonymat).
Mesure d’entropie
Entropy Meter
Mesure l’entropie de Shannon d’une chaîne ou d’un fichier et affiche un histogramme des octets, utile pour repérer une clé.
Générateur de phrase secrète
Passphrase Generator
Compose une phrase secrète de type diceware à partir d’une liste de mots, en affichant l’entropie en bits.
Générateur de mots de passe
Password Generator
Produit des mots de passe aléatoires avec longueur, jeu de caractères et exclusion des caractères ambigus au choix, en série si besoin.
Testeur CORS
CORS Tester
Envoie la requête préalable qu’un navigateur enverrait depuis l’origine que vous indiquez, plus un GET portant cette origine, et explique selon les règles du standard Fetch quel en-tête a bloqué la requête.
Convertisseur de devises
Currency Converter
Convertit entre une trentaine de devises aux cours de référence quotidiens de la BCE, croisés via l’euro, ou au taux que vous saisissez vous-même.