Vérificateur de mot de passe

Comment la robustesse est évaluée

Un mot de passe résiste par sa longueur avant tout, puis par sa variété. L'outil applique des règles simples et vous dit lesquelles ont joué.

La longueur

Trois paliers comptent : 8, 12 et 16 caractères. En dessous de 8, le mot de passe est signalé comme trop court.

La variété

Minuscules, majuscules, chiffres, autres caractères. Moins de trois de ces familles, et la variété est jugée faible.

Les motifs prévisibles

Un même caractère tapé trois fois de suite, ou l'une des six suites que l'outil reconnaît (0123, 1234, 2345, abcd, azer, qwer), font baisser la note. Les autres suites, par exemple 5678 ou 9876, ne sont pas repérées : l'absence d'alerte ne garantit pas que le mot de passe soit sans motif prévisible.

Les mots de passe courants

Une courte liste de 27 mots de passe parmi les plus répandus est consultée, avec leurs variantes maquillées : lettres remplacées par des chiffres ou des symboles, année ajoutée à la fin. En dehors de cette liste, l'outil ne reconnaît pas les mots du dictionnaire : un prénom ou un mot courant suivi d'une année peut obtenir une bonne note alors qu'il reste facile à deviner.

La recherche dans les fuites connues

Un mot de passe peut être long et pourtant compromis, s'il a déjà fuité lors du piratage d'un site. Sur votre demande, l'outil interroge la base publique Have I Been Pwned, qui recense les mots de passe apparus dans des fuites.

Votre mot de passe n'est pas envoyé. Le navigateur en calcule une empreinte, n'en transmet que les cinq premiers caractères, reçoit en retour la liste des empreintes qui commencent ainsi, puis fait la comparaison sur votre appareil. Le service ne peut donc pas savoir quel mot de passe vous testez.

Si le mot de passe apparaît dans une fuite, considérez-le comme public : changez-le partout où vous l'utilisez.

Ce que la note ne dit pas

Une bonne note ne protège pas un mot de passe réutilisé. Si vous employez le même sur dix sites, il suffit que l'un d'eux soit piraté pour que les neuf autres comptes soient ouverts, quelle que soit la robustesse du mot de passe.

Elle ne protège pas non plus contre l'hameçonnage. Le mot de passe le plus long du monde, saisi sur une fausse page, est aussitôt entre les mains du fraudeur.

Ce qui change vraiment la sécurité d'un compte

Trois habitudes pèsent plus lourd que n'importe quelle règle de composition : un mot de passe différent pour chaque service, assez long pour ne pas être deviné (une suite de plusieurs mots sans lien fonctionne bien), et la validation en deux étapes activée partout où elle est proposée, en commençant par votre messagerie. C'est elle qui permet de réinitialiser tous vos autres comptes.

Retenir des dizaines de mots de passe uniques n'est pas réaliste. Un gestionnaire de mots de passe les retient à votre place. Celui qui est intégré à votre navigateur ou à votre téléphone peut convenir si l'accès à vos mots de passe y est protégé par un mot de passe maître ; n'enregistrez jamais vos mots de passe dans le navigateur d'un ordinateur partagé.