Ce qu'un gestionnaire de mots de passe ne peut pas mesurer

Le chiffre porte sur le tirage, pas sur la chaîne

L'entropie en bits, c'est log2 du nombre d'issues équiprobables. Pour un mot de passe, c'est la longueur multipliée par log2 de la taille de l'alphabet, et l'arithmétique est triviale : 12 caractères sur 62 symboles font 71,5 bits, 15 sur 95 font 98,5, 20 sur 76 font 125,0. Ce qui n'est pas trivial, c'est la condition attachée. Cette formule compte un espace de possibilités, et ce n'est l'entropie du mot de passe que si celui-ci a bien été produit par un tirage uniforme dans cet espace. L'entropie est une propriété du procédé qui a fabriqué la chaîne, pas de la chaîne que tu regardes.

C'est pour cela qu'un indicateur qui compte les classes est dangereux et pas seulement imprécis. Il mesure l'espace dans lequel tu aurais pu tirer, et l'annonce comme l'espace dans lequel tu as tiré. Un attaquant ne parcourt pas l'alphabet dans l'ordre : la recherche porte sur des candidats classés par fréquence, et une chaîne inventée par un humain se situe tout en haut de ce classement, quelles que soient les classes de caractères qu'elle satisfait. L'outil de cette page fait donc tout autre chose, et la différence mérite un coup d'œil avant de faire confiance au chiffre d'un indicateur quelconque.

Ce que l'outil renvoie pour P@ssw0rd! — et pourquoi la page affiche deux chiffres

P@ssw0rd! satisfait toutes les règles de composition jamais écrites : neuf caractères, majuscule, minuscule, chiffre, symbole. L'arithmétique par classes en fait 9 × log2(95) = 59,1 bits, que la plupart des indicateurs affichent en « fort ». Celui-ci renvoie 6,6 bits et un score de 4 sur 100. Il ne découpe même pas la chaîne : il trouve P@ssw0rd! entier dans sa liste classée de mots de passe courants, après avoir replié les substitutions leet @ vers a et 0 vers o, et facture 96 essais pour le tout. Les trois lignes de cassage affichent « instantané », y compris la ligne en ligne qui n'autorise que 100 tentatives par seconde. Password1! revient à 19,8 bits, Motdepasse123! à 26,6, Contrasena1! à 19,8, Passwort!2024 à 16,4. Aucun n'est sauvé par le symbole final.

Il y a une chose à savoir sur cette page, et l'outil ne te la dira pas : elle porte deux chiffres d'entropie différents. Le widget dans lequel tu tapes est l'estimateur par devinettes décrit plus haut. Les exemples générés en dessous utilisent longueur × log2(jeu) — la formule du tirage aléatoire — et sont d'ailleurs libellés comme la longueur d'un mot de passe tiré au hasard, précisément pour cela. Les deux ont raison sur des questions différentes. Le widget répond à « à quelle vitesse tombe une chaîne choisie par un humain » ; les exemples répondent à « quelle est la taille de l'espace dans lequel un générateur tire ». Lis-les comme deux instruments, et ne transporte jamais un chiffre de l'un vers l'autre.

Le plafond mesuré : 300 mots de passe aléatoires, 300 sous-évaluations

L'outil embarque son propre générateur, et ce générateur est sérieux : il utilise un tirage par rejet sur crypto.getRandomValues plutôt qu'un modulo, donc aucun caractère n'est favorisé. Prends 300 de ses sorties de 20 caractères sur le jeu complet de 95 symboles — 131,4 bits réels chacune — et repasse-les à l'indicateur de la même page. L'indicateur a sous-évalué les 300. La moyenne revient à 124,8 bits, le meilleur tirage à 130,7, et le pire à 102,5, soit 28,9 bits de moins. À 15 caractères l'écart moyen est de 5,0 bits ; à 24 caractères, de 7,3.

Ce n'est pas un bug, c'est la forme de l'instrument. Un estimateur par devinettes cherche la lecture la moins chère de la chaîne, et dans vingt caractères aléatoires il trouvera toujours une suite de trois lettres qui se trouve être un mot, ou deux caractères voisins qui se trouvent se répéter. Il facture la lecture la moins chère. L'estimation est donc une borne inférieure : elle peut prouver qu'un mot de passe est faible, jamais qu'il est fort. La règle pratique en découle directement. Ne colle pas un mot de passe généré dans un indicateur pour décider s'il est assez long — l'indicateur le sous-notera toujours. Décide la longueur au générateur, à partir de l'alphabet et du nombre, et ne lis l'indicateur que pour des chaînes inventées par un humain.

Où se situe le seuil, et ce que la norme demande réellement

La NIST SP 800-63B-4 est devenue définitive en juillet 2025, et elle mérite d'être lue pour ce qu'elle a cessé de demander. Les vérificateurs DOIVENT exiger au minimum 15 caractères quand le mot de passe est l'unique facteur, et PEUVENT en autoriser 8 quand il s'insère dans une authentification multifacteur. Ils DEVRAIENT permettre au moins 64 caractères, et DEVRAIENT accepter tout caractère ASCII imprimable, l'espace et l'Unicode. Ils NE DOIVENT PAS imposer de règles de composition — pas de mélange obligatoire de types de caractères. Ils NE DOIVENT PAS exiger de changement périodique, seulement un changement forcé s'il y a preuve de compromission. Et ils DOIVENT confronter un nouveau mot de passe à une liste de valeurs connues, courantes ou compromises.

Relis cette liste et remarque que l'entropie n'y figure pas. La longueur, si. Une liste de valeurs compromises, aussi. C'est la norme qui te dit où se situe le seuil et ce qui remplace le chiffre au-delà. Quinze caractères aléatoires font 89,3 bits sur les lettres et chiffres, 98,5 bits sur le jeu imprimable complet. Avec le modèle de cassage que l'outil applique lui-même — la moitié de l'espace en moyenne, dix milliards d'essais par seconde sur une empreinte rapide — 98,5 bits représentent de l'ordre de 10 puissance 11 années. Passer de 98,5 à 131 bits transforme un nombre hors d'atteinte en un nombre hors d'atteinte plus grand. Cela n'achète rien de dépensable.

Les trois choses que l'entropie ne voit pas

Un : la réutilisation. Un mot de passe de 130 bits d'entropie que tu as aussi utilisé sur un forum ayant fuité en 2021 vaut zéro bit face à quiconque détient ce dump. L'attaquant ne le devine pas, il le consulte. L'entropie n'a aucun terme pour le nombre d'endroits où la chaîne existe par ailleurs, et c'est précisément pour cela que la norme ajoute une exigence distincte de liste noire au lieu d'augmenter le nombre de bits. Un mot de passe à usage unique de 15 caractères aléatoires bat un mot de passe magnifique utilisé deux fois.

Deux : ce que l'autre bout en fait. L'entropie chiffre une attaque hors ligne contre une empreinte volée, et le coût de cette attaque dépend autant du choix de dérivation de clé du site que de tes bits. Le même mot de passe vaut six ordres de grandeur de travail en plus face à une dérivation lente et salée que face à une simple empreinte rapide, et ne vaut rien du tout face à un site qui l'a stocké en clair. Tu ne peux pas voir auquel tu as affaire, tu ne peux pas le changer, et aucun indicateur d'aucune page n'en sait rien non plus. Trois : tout ce qui ne passe jamais par la devinette — une page de connexion convaincante, un agent de support qui réinitialise le compte, un logiciel malveillant sur ta propre machine, ou un jeton de session volé qui saute purement et simplement l'authentification. Un mot de passe de 130 bits se livre aussi volontiers qu'un de 30 bits par quelqu'un qui croit être sur le vrai site.

La décision, dans l'ordre

Génère, n'invente pas. Tout mot de passe que tu composes toi-même est un candidat dans le classement de quelqu'un, et l'indicateur ci-dessus te dira à quelle profondeur. Quinze caractères issus d'un générateur franchissent le plancher monofacteur de la norme ; vingt est le défaut raisonnable quand rien n'est à taper à la main. Unique par site, sans exception, parce que c'est la seule variable qui transforme une fuite en un problème plutôt qu'en tous. Ensuite un second facteur partout où il est proposé, en préférant une application ou une clé matérielle au SMS. Ensuite, confronte les comptes qui comptent à un corpus de fuites et ne change que ce qui y apparaît — pas au calendrier, ce que la norme interdit désormais pour la raison qu'on devine : la rotation programmée pousse les gens à choisir de plus mauvais mots de passe.

Le mot de passe maître du gestionnaire lui-même est le seul endroit où le chiffre gagne encore son salaire, parce que c'est le seul mot de passe qu'aucune liste noire ne protège et qu'aucun second facteur ne remplace complètement. Fais-le long, fais-le aléatoire ou fais-en une phrase de passe de mots réellement tirés au hasard, et ne le réutilise nulle part. Tout ce qui est en dessous peut alors être vingt caractères dénués de sens que tu ne verras jamais, et c'est tout l'intérêt du dispositif : tu cesses d'optimiser un chiffre et tu commences à supprimer les modes de défaillance que ce chiffre ne mesurait pas.

Questions fréquentes

Combien de bits viser ?

Vise une longueur, pas un nombre de bits, parce que la longueur est ce que tu peux réellement régler. Quinze caractères aléatoires, c'est le plancher que la NIST SP 800-63B-4 exige d'un mot de passe employé seul, et cela fait 89,3 bits sur les lettres et chiffres ou 98,5 sur le jeu imprimable complet. Vingt caractères, ce que donne un gestionnaire par défaut, font 125 à 131 bits. Les deux dépassent le point où une attaque hors ligne est une menace réelle : les bits supplémentaires sont une assurance contre un futur que tu ne sais pas chiffrer, pas une défense contre quoi que ce soit aujourd'hui.

L'indicateur donne à mon mot de passe généré moins de bits que le calcul. Lequel a raison ?

Le calcul, si le mot de passe vient réellement d'un tirage uniforme. Un estimateur par devinettes est une borne inférieure par construction : il cherche la description la moins chère de la chaîne et la facture, donc tout mot ou toute répétition accidentelle à l'intérieur d'une chaîne aléatoire lui coûte des bits. Mesuré ici, il a sous-évalué 300 tirages de vingt caractères sur 300, de 6,6 bits en moyenne et jusqu'à 28,9. Utilise l'indicateur sur des chaînes inventées par une personne, et l'alphabet et la longueur du générateur sur les chaînes produites par une machine.

Un mot de passe jamais compromis mais réutilisé est-il quand même sûr ?

Non, et c'est la défaillance à laquelle l'entropie est la plus aveugle. Un mot de passe réutilisé ne vaut que le site le plus faible qui le détient, et tu ne peux pas auditer ces sites. Le jour où l'un d'eux fuit, la chaîne passe d'un espace de recherche à une table de correspondance, et son nombre de bits devient sans objet. La réutilisation transforme aussi une compromission unique en cascade sur tous les services qui partagent ce mot de passe. Le remède n'est pas plus de bits, c'est un mot de passe par site, ce qui ne reste praticable qu'avec un gestionnaire.

Les symboles et les chiffres aident-ils vraiment ?

Ils aident un générateur et n'aident presque pas une personne. Dans un tirage aléatoire, élargir l'alphabet de 62 à 95 symboles ajoute environ 0,6 bit par caractère — réel, mais un seul caractère de plus vaut davantage que tout l'élargissement à cette longueur. Ajoutés par un humain, ils n'aident quasiment pas : mesuré ici, Sommer2024! tombe à 28,8 bits et Password1! à 19,8, parce que l'estimateur facture le mot, puis l'année comme date, puis le symbole comme un caractère bon marché. C'est pour cela que la NIST SP 800-63B-4 interdit désormais purement et simplement les règles de composition.

Si l'entropie est si limitée, pourquoi garder le calculateur sur la page ?

Parce qu'il répond précisément à une question qui se pose encore : quelle est la taille de l'espace dans lequel un générateur tire, donc quelle longueur régler. Douze caractères sur 62 symboles font 71,5 bits, seize en font 95,3, vingt sur 95 en font 131,4 — voilà le calcul à faire avant d'appuyer sur « générer ». Ce qu'il ne sait pas faire, c'est juger une chaîne que tu as tapée, et il ne voit ni la réutilisation, ni le stockage, ni un second facteur. Garde-le pour dimensionner un tirage ; utilise l'analyseur au-dessus pour tout ce qu'une personne a inventé ; et n'accorde à aucun des deux le dernier mot sur la sécurité d'un compte.