Combien de temps votre mot de passe résisterait à une attaque, et ce qui le rend faible exactement
Runs in your browser. Only the lookup you start is sent to api.pwnedpasswords.com; nothing else leaves your device.La force ne tient pas aux symboles, mais au nombre d'essais dont un attaquant aurait besoin. Cet outil estime combien de temps le vôtre résisterait, nomme le motif qui l'affaiblit et montre ce que 4 caractères de plus apportent vraiment. Votre mot de passe est vérifié dans le navigateur.
Cette page a été traduite automatiquement à partir de l'original anglais. Aucune personne n’a encore relu la traduction : c’est la version anglaise qui fait foi. Lire l'original en anglais
Tapez ou collez le mot de passe dans Mot de passe à tester ; appuyez sur Afficher si vous voulez voir les caractères.
Lisez la jauge de force et la carte Temps pour le casser, qui estiment le temps dont un attaquant aurait besoin.
Ajoutez votre nom, votre e-mail ou le site dans Mots à pénaliser, pour que les mots de passe construits à partir d'eux obtiennent un score plus bas.
Appuyez sur Vérifier les fuites pour chercher dans la liste de Have I Been Pwned ; seuls 5 des 40 caractères du hachage sont envoyés.
Parcourez la liste À corriger, puis appuyez sur Copier le rapport pour garder le résultat.
Ce testeur note votre mot de passe de 0 à 4 et indique combien de temps il résisterait à quatre attaques réelles : des essais contre une connexion avec et sans limitation, et le cassage d'un hachage volé stocké avec un algorithme lent ou rapide. Il nomme les motifs qui affaiblissent un mot de passe, comme les mots du dictionnaire, les suites de touches, les dates et les répétitions, et dit quoi changer.
On s'en sert avant de choisir un mot de passe maître ou une clé Wi-Fi, ou pour montrer à un collègue pourquoi Summer2024! est une mauvaise idée alors qu'il coche toutes les cases d'un formulaire d'inscription. Il repère aussi des problèmes que les formulaires ignorent : des espaces en début ou en fin que certains sites suppriment, et des mots de passe de plus de 72 octets, que bcrypt tronque sans prévenir.
Le score utilise zxcvbn-ts avec des dictionnaires anglais et de mots de passe courants, et s'exécute dans votre navigateur. Le mot de passe n'est jamais enregistré, journalisé ni envoyé. Les mots que vous ajoutez à la liste de pénalité, comme votre nom, restent eux aussi sur la page.
La vérification facultative des fuites est la seule fonction de ce site qui fait un appel réseau avec quelque chose dérivé de ce que vous tapez ; elle reste donc désactivée tant que vous ne cliquez pas. Votre navigateur calcule le hachage SHA-1 du mot de passe et n'envoie que les cinq premiers de ses quarante caractères à Have I Been Pwned. Le service renvoie tous les hachages divulgués qui commencent par ces cinq caractères, plusieurs centaines, et la correspondance se fait ici. Ni le service ni quiconque observe la connexion n'apprend le mot de passe, ni même son hachage complet.
Un bon résultat n'autorise pas la réutilisation. Générez un mot de passe différent pour chaque site avec le Password Generator et conservez-les dans un gestionnaire de mots de passe.
Ici, oui. Le score est calculé dans votre navigateur et le mot de passe n'est jamais envoyé, enregistré ni journalisé. Seule la vérification facultative des fuites contacte un autre serveur, et elle n'envoie que cinq caractères d'un hachage à sens unique, jamais le mot de passe. Si vous préférez malgré tout ne pas le faire, testez un mot de passe construit de la même façon que le vôtre.
zxcvbn estime combien d'essais il faudrait à un attaquant qui connaît les mots de passe courants, les mots, les noms, les dates et les motifs de clavier. Ce nombre est divisé par quatre rythmes d'essai : 100 par heure pour une connexion limitée, 10 par seconde pour une connexion sans limite, 10 000 par seconde pour un hachage bcrypt volé et 10 milliards par seconde pour un hachage MD5 ou SHA-1 volé.
Elle repose sur le k-anonymat. Votre navigateur calcule le hachage SHA-1 du mot de passe et n'envoie que les 5 premiers des 40 caractères hexadécimaux à Have I Been Pwned. Le service répond avec tous les hachages divulgués qui commencent par ces caractères, en général 800 à 1 000, et cette page cherche le vôtre dans cette liste. La vérification reste désactivée tant que vous ne cliquez pas.
Parce que les attaquants essaient les substitutions que font les gens. P@ssw0rd2024! est un mot du dictionnaire avec des remplacements prévisibles, une année et un symbole à la fin, que les outils de cassage testent en quelques secondes. La longueur et l'imprévisibilité comptent bien plus que les symboles : quatre mots aléatoires battent un mot de passe court rempli de caractères spéciaux.
Un 4, très fort, pour votre messagerie, votre gestionnaire de mots de passe et votre banque, puisqu'ils donnent accès à tout le reste. Un 3 est acceptable pour les comptes qui limitent les tentatives de connexion. Tout ce qui obtient de 0 à 2 peut être deviné ou cassé rapidement dès qu'un site subit une fuite : changez-le et ne le réutilisez pas.
bcrypt, l'une des façons les plus courantes de stocker les mots de passe sur les sites web, ne lit que les 72 premiers octets. Tout ce qui suit est ignoré, donc un mot de passe plus long n'apporte rien sur ces sites. La plupart des caractères font un octet, mais les lettres accentuées en font deux et l'hindi ou les emoji trois ou quatre, si bien que la limite arrive plus tôt que ne le laisse penser le nombre de caractères.
Toujours bloqué ? Poser une question sur Testeur de force de mot de passe et toute personne qui connaît la réponse peut répondre. Aucun compte nécessaire.