Anssi Calculateur Mot De Passe

Estimez la robustesse théorique d’un mot de passe selon sa longueur, les jeux de caractères utilisés et le scénario d’attaque. Ce calculateur s’inspire de la logique de complexité mise en avant par les bonnes pratiques de cybersécurité : plus l’espace de recherche est grand, plus le temps de cassage augmente.

Guide expert : comment utiliser un calculateur de mot de passe de type ANSSI

Un ANSSI calculateur mot de passe est un outil d’estimation destiné à répondre à une question simple : combien de temps un attaquant mettrait-il à retrouver un mot de passe par force brute, compte tenu de sa longueur, du nombre de caractères possibles et de la vitesse de test des combinaisons ? Ce type d’outil est très recherché parce qu’il transforme une notion abstraite, la “complexité”, en résultats concrets : nombre de combinaisons, bits d’entropie, temps moyen de cassage et niveau de risque. Dans un contexte professionnel comme personnel, ce calcul aide à décider si un secret mérite d’être renforcé ou remplacé par une passphrase plus longue.

Le sujet est particulièrement important en France car les recommandations de sécurité des mots de passe sont souvent associées à l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information. Même lorsqu’un calculateur n’est pas un outil officiel de l’agence, il reprend généralement une logique compatible avec les bonnes pratiques de cybersécurité : préférer les mots de passe longs, éviter les structures prévisibles, et comprendre qu’un secret réellement aléatoire n’a pas le même niveau de résistance qu’un mot de passe “complexe” mais construit à partir d’un schéma humain. Autrement dit, la longueur seule ne suffit pas, mais elle reste l’un des facteurs les plus puissants lorsqu’elle s’accompagne d’un choix non prévisible.

Ce que mesure réellement un calculateur de robustesse

Un calculateur sérieux s’appuie sur trois piliers. Le premier est la taille de l’alphabet utilisé : seulement des minuscules, des minuscules et majuscules, l’ajout de chiffres, puis l’ajout de symboles. Le deuxième est la longueur du mot de passe. Le troisième est l’hypothèse d’attaque : un service en ligne qui limite les tentatives n’a rien à voir avec une attaque hors ligne contre une base de données dérobée. Une fois ces paramètres fixés, on estime l’espace de recherche total. Si 62 caractères sont possibles et que le mot de passe contient 14 caractères, on obtient 62 puissance 14 possibilités. Pour passer de ce volume à une lecture plus simple, on convertit souvent cette valeur en bits d’entropie, via la formule :

Entropie théorique = longueur × log2(taille du jeu de caractères)

Cette formule est très utile, mais elle suppose un mot de passe réellement aléatoire. C’est le point que beaucoup d’utilisateurs sous-estiment. Un mot de passe du type “Paris2024!” utilise effectivement des majuscules, des chiffres et un symbole, pourtant il est construit selon un modèle banal : mot du dictionnaire + année + ponctuation. Dans la vraie vie, les attaquants ne testent pas toujours l’espace de recherche complet en ordre brut ; ils utilisent des dictionnaires, des règles de mutation, des fuites de mots de passe antérieures et des modèles statistiques. C’est pourquoi un calculateur de type ANSSI est excellent pour comparer des options, mais il faut l’interpréter avec rigueur.

Pourquoi la longueur bat souvent la complexité visuelle

La croyance la plus répandue consiste à penser qu’un mot de passe “court mais compliqué” suffit. En pratique, un secret long et mémorisable, surtout s’il est généré sans structure prévisible, est souvent bien meilleur. Ajouter un ou deux symboles sur une base trop courte n’apporte pas autant que passer de 8 à 14 ou 16 caractères. Cette réalité est cohérente avec les lignes directrices modernes : on valorise davantage la résistance réelle qu’une simple checklist de complexité. Les organismes de référence recommandent d’éviter les politiques trop rigides qui poussent les utilisateurs à choisir des secrets prévisibles.

À ce titre, la documentation du NIST SP 800-63B est devenue une référence mondiale pour la gestion des secrets et l’authentification. Pour la sensibilisation opérationnelle et les conseils de base sur les mots de passe et la MFA, la CISA fournit aussi des ressources très pédagogiques. Enfin, pour comprendre les travaux académiques sur les comportements utilisateurs et les attaques par dictionnaire, on peut consulter certaines ressources universitaires, par exemple liées à la recherche en sécurité à la Carnegie Mellon University.

Tableau comparatif : taille du jeu de caractères et entropie par caractère

Le tableau suivant présente des valeurs calculées à partir de la formule d’entropie théorique. Il ne s’agit pas de promesses de sécurité absolue, mais d’indicateurs comparatifs très utiles.

Jeu de caractères	Taille	Entropie par caractère	Exemple d’usage
Minuscules seulement	26	4,70 bits	Passphrases simples, risques élevés si basées sur des mots connus
Minuscules + majuscules	52	5,70 bits	Gain réel, mais dépend encore fortement de la longueur
Minuscules + majuscules + chiffres	62	5,95 bits	Configuration fréquente sur les sites web
Minuscules + majuscules + chiffres + symboles	95	6,57 bits	Très bon niveau théorique si le secret est généré aléatoirement

On voit immédiatement qu’ajouter des symboles ne double pas l’entropie par caractère. Le gain existe, mais il reste progressif. En revanche, chaque caractère supplémentaire multiplie directement l’espace de recherche. C’est pour cette raison qu’une augmentation de longueur produit souvent un effet spectaculaire sur le temps de cassage.

Tableau comparatif : exemples chiffrés de résistance théorique

Le tableau ci-dessous illustre des estimations basées sur des mots de passe aléatoires et une attaque à 1 milliard d’essais par seconde, avec un temps moyen de découverte égal à la moitié de l’espace de recherche. Les chiffres sont des ordres de grandeur.

Longueur	Jeu utilisé	Espace de recherche	Entropie	Temps moyen estimé
8	62 caractères	2,18 × 10^14	47,6 bits	Environ 1,3 jour
10	62 caractères	8,39 × 10^17	59,5 bits	Environ 13,3 ans
12	62 caractères	3,23 × 10^21	71,5 bits	Environ 51 000 ans
14	95 caractères	4,88 × 10^27	92,0 bits	Environ 77 milliards d’années

Ce tableau montre bien pourquoi les recommandations modernes mettent l’accent sur la longueur et l’unicité. Toutefois, il faut rappeler une nuance importante : ces durées sont valables dans un modèle purement mathématique. Dans un environnement réel, un mot de passe peut être compromis sans être “cassé” au sens cryptographique. Le phishing, la réutilisation entre services, les malwares de type infostealer, les mots de passe enregistrés dans un navigateur infecté ou une base de données de hachages mal protégée changent complètement le risque.

Comment interpréter les résultats du calculateur

• Moins de 40 bits : robustesse faible, souvent insuffisante face à une attaque moderne hors ligne.
• 40 à 60 bits : zone moyenne, acceptable dans certains contextes à faible risque, mais insuffisante pour des comptes critiques.
• 60 à 80 bits : niveau déjà solide pour de nombreux usages si le mot de passe est unique et correctement stocké côté service.
• 80 bits et plus : très bon niveau théorique pour un mot de passe aléatoire ou une passphrase longue bien conçue.

Dans le calculateur ci-dessus, le menu “modèle de choix” sert justement à rappeler que l’humain réduit souvent la qualité théorique d’un secret. Un mot de passe qui semble contenir 95 caractères possibles à chaque position n’explore en réalité qu’une fraction de cet espace si l’utilisateur suit des habitudes connues : première lettre en majuscule, mot courant, suffixe numérique, symbole final. La sécurité perçue et la sécurité réelle ne sont donc pas équivalentes.

Les limites d’un calculateur de mot de passe

Un calculateur de type ANSSI est utile, mais il ne remplace jamais une politique de sécurité complète. Ses principales limites sont les suivantes :

1. Il suppose souvent une génération uniforme, alors que les humains créent des motifs prévisibles.
2. Il ne modélise pas toujours les dictionnaires ciblés, les attaques hybrides ou les corpus issus de fuites massives.
3. Il ne connaît pas le contexte du service : limitation de tentatives, verrouillage, MFA, robustesse du hachage, surveillance des accès.
4. Il ne protège pas contre le facteur humain : hameçonnage, ingénierie sociale, partage de mots de passe, stockage non sécurisé.

C’est précisément pour cette raison que la sécurité moderne repose sur plusieurs couches. Un mot de passe robuste est indispensable, mais il doit être complété par l’authentification multifacteur, l’utilisation d’un gestionnaire de mots de passe, la surveillance des fuites, la révocation rapide des secrets compromis et des politiques de renouvellement raisonnables seulement lorsqu’un incident le justifie.

Bonnes pratiques pour créer un mot de passe réellement fort

• Utilisez un gestionnaire de mots de passe pour générer des secrets longs et uniques.
• Visez des longueurs de 14 à 20 caractères ou davantage pour les secrets critiques.
• Évitez les noms propres, saisons, années, suites de clavier, références personnelles et substitutions trop évidentes.
• Activez la MFA partout où elle est proposée, surtout pour les comptes email, bancaires et professionnels.
• Ne réutilisez jamais le même mot de passe sur plusieurs services.
• Remplacez immédiatement un mot de passe impliqué dans une fuite connue.

Mot de passe aléatoire ou passphrase ?

Les deux approches peuvent être excellentes si elles sont bien exécutées. Un mot de passe aléatoire du type généré par un gestionnaire offre généralement une forte entropie par caractère. Une passphrase longue, composée de plusieurs mots choisis de manière imprévisible, peut aussi fournir une très bonne résistance tout en restant plus facile à retenir. En revanche, une phrase célèbre, une citation, un slogan ou une combinaison de mots trop naturelle n’a pas le même niveau de sécurité qu’une vraie passphrase générée aléatoirement.

Dans les environnements professionnels, le meilleur compromis consiste souvent à déléguer la génération et le stockage à un coffre chiffré, puis à renforcer la protection avec la MFA. Cette méthode supprime une grande partie des faiblesses humaines. Un calculateur de robustesse devient alors un outil d’audit et de sensibilisation, plutôt qu’un simple gadget.

Pourquoi les recommandations évoluent

Les politiques anciennes imposaient parfois des changements fréquents et une complexité artificielle. Cela a souvent produit l’effet inverse : utilisateurs qui recyclent de vieux secrets, suffixes incrémentés, post-it, variantes faciles à deviner. Les approches modernes privilégient désormais des mots de passe plus longs, la détection des secrets compromis et l’authentification forte. Ce déplacement de doctrine est cohérent avec l’état réel des menaces et avec l’observation des comportements utilisateurs.

En résumé, un anssi calculateur mot de passe est particulièrement pertinent pour visualiser l’impact de la longueur, du jeu de caractères et de la vitesse d’attaque. Utilisé correctement, il aide à comprendre qu’un secret solide n’est pas seulement “compliqué”, mais surtout long, imprévisible, unique et soutenu par de bonnes pratiques globales. Si vous devez retenir une idée essentielle, c’est celle-ci : le meilleur mot de passe n’est pas celui qui a l’air sophistiqué, c’est celui qui résiste réellement aux modèles d’attaque modernes tout en restant gérable dans votre environnement.

Conseil final : utilisez ce calculateur pour comparer des scénarios, pas pour valider des mots de passe réels saisis en production. Pour des raisons de confidentialité, ne collez jamais vos secrets effectifs dans un outil public.