Les conseils ci-dessous suivent NIST SP 800-63B(qui a abandonné les règles de composition obligatoires et a forcé la rotation en faveur de la longueur et du filtrage des mots de passe violés.
Quelque part autour de 2020, pendant mes années WP Adminify, j'ai passé un très long mardi à nettoyer un client' ; s Site WordPress qui servait tranquillement le spam pharma à Googlebot depuis trois semaines Le point d'entrée était' ; pas une vulnérabilité de plugin C'était' ; pas un zero-day C'était le compte admin - nom d'utilisateur admin, mot de passe Sumon1985@. Le prénom et l'année de naissance du propriétaire du site avec un @ @ @ @@@@@@@@@@@@@@@@@@@@@@@@@special (special character). Un bot bourrant d'informations d'identification est entré dans les wp-login.php. Les journaux d'accès ont montré 11 000 tentatives de connexion sur quatre jours avant qu'une seule n'atterrait. Nettoyage du code injecté des fichiers de thème et des wp_options La table m'a pris la majeure partie d'un week-end.
Ce travail a changé ma façon de penser les mots de passe Non pas parce que l'attaque était sophistiquée - c'était le contraire de sophistiquée C'était un script martelant un formulaire de connexion avec une liste de mots, et un mot de passe inventé par l'homme se trouvait exactement là où la liste de mots s'attendait Les humains sont terribles au hasard Nous pensons P@ssw0rd2024! est intelligent. Chaque dictionnaire de craquage sur Terre a ce modèle dans ses quelques milliers d'entrées, avec les substitutions de Leetspeak et le suffixe de l'année.
J'admettrai mes propres péchés ici aussi. Pour une période embarrassante de mes jours à Laravel, j'ai réutilisé le même mot de passe sur trois serveurs de transfert, car "ils ne sont que des mises en scène, personne ne s'en soucie." Puis l'un de ces boîtiers de mise en scène a été obtenu avec une copie des données de production pour une session de débogage, et j'ai réalisé que je protégeais des enregistrements d'utilisateurs réels avec un mot de passe que j'avais également saisi dans une session TeamViewer partagée. Rien de mal ne s'est produit C'était de la chance, pas de la compétence. J'ai arrêté d'inventer des mots de passe entièrement après cela.
J'ai donc construit un générateur de mot de passe dans Toolz.dev, et il fait la seule chose qui compte : il sort l'humain de la boucle Ce guide traite de la façon d'utiliser un générateur de mot de passe en ligne correctement, le calcul d'entropie qui sépare un mot de passe fort d'un mot de passe décoratif, et quand une chaîne aléatoire bat une phrase secrète - avec des nombres réels, pas des vibrations.
tl;dr : Arrêtez d'inventer des mots de passe - les humains sont, comme on pouvait s'y attendre, mauvais. Utilisez le Générateur de mots de passe Toolz.dev Pour créer des mots de passe aléatoires de plus de 16 caractères avec un RNG sécurisé cryptographique, entièrement dans votre navigateur. Rien de ce que vous générez ne quitte jamais votre appareil, et la longueur compte bien plus que la gymnastique de symboles.
Principales caractéristiques
cryptographie sécuriser le hasard
C'est la caractéristique qui compte le plus et celle que personne ne regarde. Le générateur utilise l'API Web Crypto crypto.getRandomValues() - un générateur de nombres pseudo-aléatoires (CSPRNG) cryptographiquement sécurisé, ensemencé par votre système d'exploitation et le pool d'entropie n°39 ; au lieu de JavaScript' ;s Math.random(). Cette distinction n'est pas académique. Math.random() est construit pour le timing d'animation et les démos de roulis de dés, sa sortie peut être prédite si un attaquant observe suffisamment de valeurs, car l'algorithme sous-jacent (XorShift128+ dans V8) n'a jamais été conçu pour résister à la prédiction. Un CSPRNG est. Lorsque tout le point d'un mot de passe est que personne ne peut le deviner, la source d'aléatoire est le fondement de tout le reste. J'ai vu des "extraits de mots de passe" sur "le débordement de la pile" Math.random() Avec des centaines de votes positifs. Ne les copiez pas.
Longueur jusqu'à 128 caractères
Le curseur passe de court-et-risky à 128 caractères de pur bruit de ligne Pour tout ce qu'un gestionnaire de mots de passe retiendra pour vous, je génère 24 à 32 caractères et ne le repense plus jamais Pour les systèmes avec des plafonds de longueur serrés - certaines banques plafonnent encore à 16 ou 20, ce qui vous dit quelque chose sur leur backend - vous le composez à tout ce que le champ accepte Chaque caractère que vous ajoutez multiplie l'attaquant' ; son travail par la taille de votre jeu de caractères Passer de 12 à 16 caractères avec un jeu de caractères complet ajoute environ 26 bits d'entropie, ce qui est la différence entre " qui se passe ; cher et la sécurité qui se passe ; peu cher et le sort ; le plus cher et le plus cher qui existe.
Bascules de jeu de caractères
Quatre commutateurs indépendants : majuscules, minuscules, chiffres, symboles. Mélanger et assortir par système cible. Cela semble insignifiant jusqu'à ce que vous atteigniez un système hérité qui rejette & Parce que la couche de désinfection de quelqu'un qui s'arrête en 2009 s'étouffe avec elle, ou un micrologiciel de routeur Wi-Fi qui tronque silencieusement les symboles. Une fois, j'ai brûlé une 40 minutes de débogage d'une "mauvaise mot de passe" en boucle sur le panneau d'hébergement d'un client avant de réaliser leur forme. < et > sur Soumettre mais pas lors de la création du compte. Maintenant, je désactive simplement les symboles pour les systèmes grincheux et j'ajoute quatre caractères de longueur pour compenser. Les mathématiques d'entropie fonctionnent à peu près au même endroit, et rien ne se casse.
exclure les caractères ambigus
le Il1| et O0o Problème. Si vous' ; lirez un jour un mot de passe sur un écran et le saisirez dans un autre - un téléviseur, une console serveur sur IPMI, une page de configuration de routeur, un collègue le lisant à haute voix lors d'un appel - les glyphes ambigus sont de la misère Est-ce qu'un I majuscule ou un l minuscule ou un tuyau ? Dépend de la police, et la police vous trahit toujours La bascule sans ambiguïté exclut fait tomber les suspects habituels du pool Vous perdez une petite quantité d'entropie par caractère - facilement récupérée en ajoutant un ou deux caractères de longueur - et vous gagnez à ne plus jamais avoir cet argument de police écrasante. Pour tout tapissé à la main, je.
Résultat de la force et de l'entropie en direct
Lorsque vous ajustez la longueur et les jeux de caractères, le compteur de force se met à jour instantanément avec une estimation d'entropie réelle - et non le naïf " ; a un symbole, doit être fort" ; noter que les notes P@ssw0rd! comme excellent. Le compteur reflète l'espace de clés réel : taille du jeu de caractères élevée à la longueur, exprimée en bits. Cela transforme les mathématiques abstraites en quelque chose que vous pouvez ressentir. Faites glisser le curseur de longueur et regardez les bits grimper ; désactivez les symboles et voyez exactement ce que cela coûte. Une fois que vous avez regardé 16 caractères aléatoires surpassés 10 caractères de complexité forcée, la leçon est meilleure que n'importe quel document de politique jamais géré.
Génération de masse
Besoin de 20 mots de passe pour un lot de comptes de service, une flotte de routeurs, ou seeding a team' ; s rotation des informations d'identification ? les générer en une seule passe et copier le lot Chacun est indépendamment tiré du CSPRNG - there' ; s'il n'y a pas de relation de séquence entre eux, donc savoir un ne vous dit rien sur le suivant J'utilise cela lors du provisionnement : un mot de passe par .env Secret, par utilisateur de base de données, par identifiant de travail par file d'attente, généré en une seule fois et collé directement dans le coffre-fort. Il bat l'alternative que j'ai regardée les gens faire, qui génère un bon mot de passe, puis "varie" à la main neuf fois. C'est un mot de passe avec neuf costumes.
100 % côté client - Rien ne quitte jamais votre navigateur
Tout tourne dans votre navigateur Le mot de passe est généré par JavaScript sur votre machine, affiché sur votre machine, et copié depuis votre machine Aucun appel API, aucun événement d'analyse portant la valeur, aucun serveur qui pourrait l'enregistrer Don' ; ne me croyez pas sur parole - ouvrez DevTools, regardez l'onglet Réseau, et martelez le bouton générer Rien ne s'allume C'est le même principe d'architecture derrière chaque outil sur Toolz.dev, et I' ; a écrit sur pourquoi il' ; s non négociable dans Mon article sur la confidentialité des données dans les outils en ligne. Un générateur de mots de passe en ligne qui fait un aller-retour sur votre mot de passe via un serveur n'est pas un outil de sécurité. C'est un point de collecte.
Comment utiliser le générateur de mots de passe
Étape 1 : Ouvrir l'outil
dirigez-vous vers le générateur de mots de passe. Pas de compte, pas de mur d'inscription, pas de labyrinthe de consentement aux cookies avant de pouvoir cliquer sur un bouton Il se charge, il fonctionne Si vous' ; êtes sur une machine que vous faites et#39 ; pas entièrement confiance - centre d'affaires de l'hôtel, ordinateur portable emprunté - rappelez-vous que le navigateur lui-même est votre limite de confiance : l'outil won' ; ne transmettez rien, mais un enregistreur de frappe sur l'hôte does' ; peu importe dont JavaScript a généré la chaîne.
Étape 2 : Définissez votre longueur
La valeur par défaut est un point de départ sain d'esprit, mais faites-le glisser à au moins 16 pour tout ce qui compte et à 24+ pour tout ce qu'un gestionnaire de mots de passe stocke La longueur est le plus gros levier que vous ayez Si le système cible applique un maximum, utilisez tous les caractères qu'il permet - il n'y a pas de prix pour laisser l'entropie sur la table.
Étape 3 : Choisissez des jeux de caractères
Laissez les quatre ensembles allumés à moins que le système cible ne s'y oppose. Désactivez les symboles pour les formulaires existants et les micrologiciels qui les gèrent mal ; activez l'option d'exclusion ambiguë si un humain transcrit un jour le mot de passe à la main. Regardez le compteur de force pendant que vous basculez - il vous montre exactement ce que coûte ou achète chaque choix en bits.
Étape 4 : Générer, copier, stocker
Cliquez sur générer, cliquez sur copier, collez-le directement dans votre gestionnaire de mots de passe - pas dans un fichier texte, pas dans un Slack DM pour vous-même, pas sur une note collante qui survivra à votre civilisation Régénérez autant de fois que vous le souhaitez ; chaque clic est un nouveau tirage indépendant Si vous avez besoin d'un lot, utilisez le mode en vrac et stockez chacun contre son compte immédiatement, avant d'oublier lequel. I' ; ont fait cette erreur Une fois.
Qu'est-ce qui rend un mot de passe vraiment fort ? Les mathématiques d'entropie
La force n'est pas d'avoir l'air brouillée. C'est à peu près la taille de la botte de foin qu'un attaquant doit rechercher, et nous mesurons cette meule de foin dans des morceaux d'entropie.
La formule est simple. Si votre mot de passe est length Caractères dessinés uniformément au hasard à partir d'un jeu de caractères de taille charset, le nombre de mots de passe possibles est charset^length, et l'entropie en bits est :
entropy = log2(charset^length) = length × log2(charset)
Chaque bit supplémentaire double l'espace de recherche. Exemples d'opérations :
- 12 lettres minuscules : Jeu de caractères 26, log2(26) ≈ 4,70, donc 12 × 4,70 ≈ 56 bits. Environ 7,2 × 10 ^ 16 possibilités. Inconfortable contre les plates-formes GPU modernes qui craquent rapidement.
- 16 caractères, caractère complet (26 + 26 + 10 + ~ 10 symboles ≈ 94, mais appelez-le 95 ASCII imprimable): log2(94) ≈ 6,55, donc 16 × 6,55 ≈ 105 bits. That' ;s environ 3,7 × 10^31 possibilités - un demi-quintillion multiplié par l'espace de 56 bits.
- 24 caractères, ensemble de caractères complet : ≈ 157 bits. À ce stade, le facteur limitant est le hachage du service, pas votre mot de passe.
Remarquez ce que la formule récompense : la longueur multiplie, la complexité ne fait que pousser le terme de journal. Passer de minuscule uniquement à complet jeu de caractères lève log2 (jeu de caractères) de 4,70 à 6,55 - sympa, environ 39 % de bits en plus par caractère Mais doubler la longueur double carrément les bits C'est pourquoi un mot de passe minuscule de 20 caractères (94 bits) bat un mot de passe tout-soup de 12 caractères (79 bits).La longueur gagne I' ; mourra sur cette colline.
Une mise en garde cruciale : la formule ne vaut que si les caractères sont dessinés uniformément au hasard. Un mot de passe choisi par l'homme a beaucoup moins d'entropie que sa longueur ne le suggère, car les humains choisissent parmi un sous-ensemble minuscule et prévisible - mots de dictionnaire, promenades au clavier, dates, noms. Les crackers ne forcent pas l'espace de touches complet ; ils parcourent des listes de mots ordonnées par probabilité avec des règles mutilantes. Sumon1985@ N'est-ce pas un problème de recherche de 10 caractères. C'est un problème de recherche de prénom plus année, et cet espace est minuscule.
Le hasard uniforme est là où le RNG compte. Voici la mauvaise façon et la bonne manière en JavaScript :
// WRONG — predictable PRNG, never for secrets
const bad = chars[Math.floor(Math.random() * chars.length)];
// RIGHT — CSPRNG via Web Crypto
const buf = new Uint32Array(1);
crypto.getRandomValues(buf);
const good = chars[buf[0] % chars.length];
Math.random() est un Prng statistique : amende pour mélanger une liste de lecture, catastrophique pour les secrets, car son état interne peut être récupéré à partir des sorties observées. crypto.getRandomValues() Tire du pool d'entropie du système d'exploitation et est conçu pour être imprévisible même pour un observateur qui voit d'autres sorties.
Même l'exemple "droit" ci-dessus a un défaut subtil qui vaut la peine d'être connu : Biais modulable. Si la taille de votre jeu de caractères ne divise pas uniformément 2^32, buf[0] % chars.length rend les caractères à faible indice légèrement plus probables Pour un ensemble de 94 caractères, le biais est minuscule, mais une implémentation minutieuse utilise un échantillonnage de rejet - écartez les valeurs au-dessus du plus grand multiple de la taille du jeu de caractères et dessinez à nouveau - donc chaque caractère est exactement aussi probable. It' ; est un correctif à deux lignes, et it' ; est le genre de détail qui sépare un générateur réel d'un extrait copié.
Enfin, les normes sont en accord avec les calculs. NIST SP 800-63B, la directive fédérale américaine sur l'identité numérique, affirme que les vérificateurs devraient privilégier la longueur des règles de composition (celles "une majuscule, un symbole "pousser manifestement les utilisateurs vers des modèles prévisibles), devrait non Forcer une rotation périodique des mots de passe sans preuve de compromis et devrait enregistrer de nouveaux mots de passe par rapport aux listes de mots de passe enfreints connus. le Feuille de triche d'authentification OWASP Pointe la même direction : prend en charge les mots de passe longs, autorisez tous les caractères imprimables, y compris les espaces, vérifiez les corpus de violation et associez les mots de passe MFA et limiter la fréquence plutôt que le théâtre de complexité. Lorsque les organismes de normalisation et l'arithmétique disent tous deux "la rendre longue et aléatoire", le débat est terminé.
Cas d'utilisation courants
Nouvelles inscriptions de services
Chaque nouveau compte obtient un mot de passe aléatoire frais et unique - that' ; est toute la discipline en une phrase. Credential stuffing, l'attaque qui a obtenu mon client' ; s Site WordPress, ne fonctionne que parce que les gens réutilisent les mots de passe : une brèche sur un forum oublié devient une clé de votre e-mail Si chaque inscription obtient sa propre chaîne aléatoire de plus de 20 caractères du générateur, une brèche n'importe où y est contenue Le flux de travail prend dix secondes : générer sur Toolz.dev/tools/mot de passe-générateur[TRADUCTION], collez dans le formulaire d'inscription, enregistrez dans le gestionnaire de mots de passe Le travail de password' ;s doit être immémorable Cela me semblait être un bug It' ; est la fonctionnalité - tout ce dont vous vous souvenez, une liste de mots peut le prédire.
Identifiants d'administration et de base de données WordPress
Celui-ci est personnel. Après ce nettoyage Pharma-Spam, ma liste de contrôle WordPress pour le renforcement commence par des informations d'identification, pas des plugins : un mot de passe administrateur aléatoire de plus de 24 caractères, un mot de passe aléatoire différent pour chaque utilisateur administrateur supplémentaire, un DB_PASSWORD à wp-config.phpet les sels aléatoires. Le mot de passe de la base de données en particulier - I' ; sur les sites audités où il s'agissait du nom du site plus " ;123" ;, assis dans une sauvegarde lisible par tous wp-config.php. Les sites WordPress sont touchés par une automatisation stupide et implacable ; wp-login.php et xmlrpc.php Consultez les tentatives de connexion dans les heures suivant la mise en ligne d'un site. L'automatisation stupide est vaincue par une chose : des mots de passe qui ne sont pas dans une liste de mots. Les chaînes aléatoires, par construction, ne sont pas.
Clés API, secrets et fichiers .env
Lorsque I' ; m échafaudage un projet Laravel ou Express et besoin d'un secret de signature de webhook, d'un jeton de point de terminaison cron ou d'un secret partagé unique entre deux services, je génère une longue chaîne aléatoire - 32 à 64 caractères, parfois des symboles désactivés si elle & #39 ; vivra dans une URL - et déposez-le dans .env. Pour les identifiants, je dois être unique mais pas secret, c'est un outil différent : le Générateur UUID couvre ce travail. Et si vous vérifiez ce qui est réellement à l'intérieur d'un jeton, un service vous a été rendu, le Décodeur JWT Déballera le côté client. Plus d'informations sur tout ce flux de travail dans mon Guide des outils de codage. La règle que je suis : les secrets sont générés, jamais inventés et jamais réutilisés entre les environnements. Demandez-moi comment j'ai appris cela. (Serveurs de mise à l'échelle. trois d'entre eux.)
Gestionnaires de comptes d'équipe et de mots de passe partagés
Certains comptes doivent véritablement être partagés - la société Twitter, un registraire login, celui SaaS qui facture par siège comme celui-ci et le numéro 39 ; s l'impression d'argent Les informations d'identification partagées sont l'endroit où les mots de passe inventés par l'homme deviennent les plus mauvais, car ils optimisent pour " ; facile de dire à un collègue lors d'un appel." ; Le correctif est un mot de passe généré aléatoire stocké dans un coffre-fort partagé de gestion de mots de passe, donc personne n'a jamais besoin de parler, de taper ou de s'en souvenir. Lorsque quelqu'un quitte l'équipe, régénérez et mettez à jour l'entrée du coffre-fort 3 au lieu de vous avoir promis.
Passages de mots de passe Wi-Fi
La configuration du routeur est le scénario classique d'exclusion-ambigu : vous et #39 ; tapera ce mot de passe sur les claviers des téléphones, les téléviseurs intelligents avec un clavier à pavé directionnel et un ordinateur portable guest' ; s pendant qu'ils planent sur votre épaule Je génère plus de 20 caractères, symboles désactivés, caractères ambigus exclus - lettres et chiffres uniquement. Encore beaucoup plus fort que la plupart des réseaux domestiques fonctionnent, car les poignées de main WPA2 peuvent être capturées et piratées hors ligne là où les taux de tentatives sont énormes. Les mathématiques entropiques ne donnent pas et 39 ; juste des caractères Wi-Fi." 2 sont toujours ; Un type 5 (2 caractères est toujours 2)
Mots de passe aléatoires vs phrases de passe vs modèles humains
Trois façons dont les gens créent des mots de passe. Seuls deux d'entre eux sont défendables.
| s'approche | Entropie à longueur typique | mémorisation | Taper sur mobile | le mieux pour |
|---|---|---|---|---|
| Chaîne aléatoire (générateur, 16-24 caractères, ensemble complet) | ~105-157 bits | En fait zéro - ça' ; très bien | Douloureux, mais vous collez d'un responsable | Tout ce qu'un gestionnaire de mots de passe stocke : comptes, crédits DB, secrets d'API |
| Phrase de mot de passe (5 à 6 mots aléatoires) | ~64-77 bits (12,9 bits/mots d'une liste de 7 776 mots) | vraiment bien | Facile - mots réels, peu de symboles | La poignée que vous devez mémoriser : mot de passe principal du gestionnaire, connexion au système d'exploitation, cryptage de disque |
Modèle inventé par l'homme (Name+Year!, promenades au clavier) |
Cela ressemble à plus de 50 bits, se comporte comme 20 à 30 par rapport aux listes de mots | Bien, trompeusement | facile | Rien. Retirez-les. |
Ma position : Chaînes aléatoires pour tout ce que votre gestionnaire de mots de passe est stocké, une phrase de passe de Diceware pour les deux ou trois secrets qui doivent vivre dans votre tête et des modèles inventés par l'homme pour rien du tout. Le débat phrase secrète contre aléatoire s'évapore principalement une fois que vous remarquez qu'ils remplissent des tâches différentes Une chaîne aléatoire de 24 caractères à 157 bits est mathématiquement plus forte qu'une phrase secrète de 6 mots à 77 bits - mais vous et n°39 ; ne taperez jamais le aléatoire de mémoire, et vous et n°39 ; n'oublierez jamais la phrase secrète Utilisez donc chacun où il gagne La seule règle avec des phrases secrètes : les mots doivent être sélectionné au hasard À partir d'une liste de mots (dés ou CSPRNG), non choisie par vous. correct-horse-battery-staple Choisi parce que vous lisez la bande dessinée a une entropie presque nulle. Quatre mots lancés avec des dés réels ont 51,7 bits, exactement comme annoncé.
Questions fréquentes
Combien de temps un mot de passe doit-il être en 2026 ?
Au moins 16 caractères pour tout ce qui compte, et 24 ou plus lorsqu'un gestionnaire de mots de passe fait la mémoire. NIST SP 800-63B met l'accent sur la longueur des règles de composition, et les mathématiques d'entropie le soutiennent : un mot de passe aléatoire à caractère complet de 16 caractères contient environ 105 bits, confortablement au-delà de la force brute pratique. Si un site vous limite à plus court, utilisez chaque caractère qu'il autorise et y active l'authentification à deux facteurs.
Les générateurs de mots de passe en ligne sont-ils sûrs à utiliser ?
Ils' ; sont sûrs si - et seulement si - ils s'exécutent entièrement côté client avec un RNG cryptographiquement sécurisé Le générateur Toolz.dev crée des mots de passe dans votre navigateur avec l'API Web Crypto et ne les transmet jamais ; vous pouvez vérifier en regardant l'onglet Réseau tout en générant, là où aucune requête ne se déclenche Évitez tout générateur qui produit des mots de passe sur un serveur, car vous et n°39 ; feriez confiance à un inconnu&n°39 ; s enregistre vos secrets.
Une phrase secrète est-elle meilleure qu'un mot de passe aléatoire ?
Ils gagnent à différents emplois Une chaîne aléatoire de 24 caractères est mathématiquement plus forte, mais vous pouvez le mémoriser & #39 ; t - parfait pour le stockage du gestionnaire de mots de passe Une phrase secrète de 5 à 6 mots contient 64 à 77 bits et est véritablement mémorable - parfaite pour le mot de passe principal lui-même, la connexion de votre système d'exploitation et le cryptage du disque. Utilisez des chaînes aléatoires pour tout ce qui est stocké, une phrase secrète pour les quelques secrets qui doivent vivre dans votre tête.
Comment le générateur crée-t-il un caractère aléatoire ?
Il appelle crypto.getRandomValues() de l'API Web Crypto, un générateur de nombres pseudo-aléatoires cryptographiquement sécurisés, implanté par le pool d'entropie de votre système d'exploitation. Contrairement à math.random(), sa sortie ne peut pas être prédite à partir des valeurs précédemment observées, dont dépend fondamentalement le mot de passe. Les implémentations prudentes évitent également les biais moduleux, de sorte que chaque personnage de votre ensemble choisi est exactement aussi probable.
Dois-je changer mes mots de passe tous les 90 jours ?
Non - pas sur un planning Le NIST SP 800-63 B déconseille spécifiquement la rotation périodique obligatoire, car les changements forcés poussent les gens vers des modèles incrémentiels comme Password1, Password2 que les attaquants essaient en premier. Changer un mot de passe lorsque le & #39 ; est une raison réelle : le service a été violé, vous l'avez accidentellement exposé, vous l'avez tapé sur une machine non fiable ou quelqu'un avec un accès partagé quitte l'équipe.
Ai-je vraiment besoin de symboles dans mon mot de passe ?
Pas autant que les formulaires d'inscription insistent Les symboles augmentent l'entropie par caractère d'environ 5,95 bits (lettres plus chiffres) à environ 6,55 bits (ensemble entièrement imprimable) - utile, mais deux caractères supplémentaires de longueur achètent plus que les symboles Si un système ou un routeur existant gère mal les symboles, désactivez-les et ajoutez de la longueur Un mot de passe alphanumérique de 20 caractères bat un symbole de 14 caractères chargé à chaque fois.
Un mot de passe généré dans mon navigateur peut-il être intercepté ?
Pas par l'outil lui-même - un générateur côté client ne fait aucune requête réseau contenant le mot de passe, il n'y a donc rien en transit à intercepter Les risques réalistes vivent sur votre propre appareil : logiciels malveillants, enregistreurs de frappe, ou une extension de navigateur compromise avec accès à la page Gardez votre machine et vos extensions propres, collez les mots de passe générés directement dans un gestionnaire de mots de passe, et évitez de générer des informations d'identification sur les ordinateurs que vous faites et n°39 ; pas de contrôle.
Quel est le mot de passe le plus fort que je puisse créer ?
Pratiquement : la chaîne entièrement aléatoire la plus longue acceptée par le système cible, générée avec un CSPRNG utilisant les quatre jeux de caractères. À 32 caractères du jeu de caractères complet, vous et #39 ; dépassez les 200 bits, où le mot de passe cesse d'être entièrement le lien le plus faible - le hachage du service' ; le hachage, la gestion des sessions et la sécurité de votre appareil comptent davantage. Poursuivre les bits au-delà de cela est une décoration ; dépensez plutôt l'effort pour activer le MFA et les mots de passe uniques partout.
Est-il sûr de laisser mon navigateur sauvegarder mes mots de passe ?
Plus sûr que de réutiliser les mots de passe, moins capables qu'un gestionnaire dédié. Chrome, Firefox et Safari Encrypt ont enregistré les informations d'identification derrière votre OS et les synchronisent sur des canaux cryptés, ce qui bat confortablement une feuille de calcul ou un mot de passe répété. Un gestionnaire dédié ajoute les éléments que les navigateurs ignorent : accès multi-navigateurs, partage sécurisé avec une équipe, surveillance des violations et stockage pour les secrets de non-mot de passe tels que les codes de récupération et les clés API.
Quels sont les mots de passe les plus courants que les attaquants essaient en premier ?
Listes de mots de passe divulguées, pas force brute Les outils de craquage s'ouvrent avec les plus grands succès de chaque brèche - 123456, mot de passe, qwerty - puis marche au clavier, années, noms d'animaux et mots de dictionnaire avec un " ; 123 !" ; ou " ; @" ; swap. Chaque motif inventé par l'homme figure déjà dans ces listes de mots, c'est exactement pourquoi une chaîne générée aléatoirement, qui ne suit aucun modèle, contourne toute la première vague de toute attaque.
Générez-en un maintenant - puis n’y pensez plus jamais
Le meilleur flux de travail de mot de passe est ennuyeux. Ouvrez le générateur de mots de passe, faites glisser la longueur, générez, enregistrez dans votre responsable, passez à autre chose dans votre vie. Pas d'intelligence, pas de systèmes mnémotechniques, pas d'années de naissance portant un @ comme déguisement. Chaque mot de passe unique, chacun au hasard, aucun d'entre eux ne vit dans votre tête. Le mardi que j'ai passé à éliminer les spams pharmaceutiques des fichiers de thème d'un client était entièrement évitable par cette habitude de dix secondes.
Si vous sécurisez toute une pile, les voisins sont à un onglet : le générateur de hachage Pour les sommes de contrôle et la vérification de l'intégrité, la Générateur UUID Pour les identifiants qui ont besoin d'un caractère unique plutôt que d'un secret, et le Décodeur JWT pour inspecter des jetons sans les coller dans un site aléatoire et un backend n°39 ; Tout côté client, identique au générateur - le raisonnement derrière cette architecture est dans le Poste de confidentialité des données, et la visite plus large de la boîte à outils vit dans le Guide des outils de codage.
Une habitude, dix secondes, de vraies mathématiques derrière. C'est tout le terrain.
