Générateur de mots de passe et de jetons
Mots de passe, phrases secrètes et jetons d’API, générés depuis la source aléatoire cryptographique de votre navigateur — crypto.getRandomValues, jamais Math.random — et n’existant que dans cet onglet. Le seul endroit où un mot de passe ne doit jamais être généré, c’est dans un chat IA journalisé, où la chaîne « aléatoire » est du texte prédit et où la conversation en garde une copie. Ici, l’aléatoire est réel et la copie n’appartient qu’à vous.
Mot de passe
Phrase secrète
Jeton d’API
Vérificateur de force
L’aléatoire est un mécanisme, pas une ambiance
Chaque secret de cette page vient de crypto.getRandomValues, l’interface du navigateur avec le réservoir d’entropie du système d’exploitation — la même source que celle de votre gestionnaire de mots de passe. La sélection se fait par échantillonnage de rejet, de sorte que chaque caractère et chaque mot sont également probables ; un modulo naïf d’un octet aléatoire favorise silencieusement certains caractères, et dans un générateur de mots de passe un biais silencieux est un vrai défaut. Math.random n’apparaît nulle part : c’est un générateur rapide et prévisible construit pour les animations, et sa sortie future peut être reconstruite depuis sa sortie passée. Les chiffres d’entropie imprimés à côté de chaque résultat sont calculés depuis les réservoirs réels — un mot de passe de 20 caractères issu des quatre ensembles vaut 20 × log₂(95) ≈ 131 bits ; une phrase de cinq mots de la liste de 560 mots vaut 5 × log₂(560) ≈ 45 bits — pour que vous puissiez comparer les formes honnêtement plutôt qu’à leur air compliqué. Et la règle opérationnelle qui motive toute la page mérite d’être répétée : un mot de passe généré dans une fenêtre de chat est un mot de passe stocké dans l’historique de ce chat, sur l’infrastructure de quelqu’un d’autre, sous un compte qui peut être compromis. L’article phare, ne laissez jamais un chatbot toucher à vos secrets, expose le cas complet ; l’identificateur de hash est le compagnon pour le jour où vous rencontrerez l’un de vos anciens mots de passe sous forme de condensat. Note : la liste de mots des phrases reste en anglais (ce sont les données de la phrase elle-même).
Questions fréquentes
Pourquoi ne pas simplement demander un mot de passe à un chatbot ?
Trois raisons, chacune suffisante. Le mot de passe « aléatoire » d’un chatbot est du texte prédit, pas de l’aléatoire échantillonné — les modèles ont des motifs favoris mesurables, et un mot de passe dont un attaquant peut prédire la forme est un mot de passe à moitié deviné. Le chat est journalisé : le mot de passe que l’on vient de vous remettre existe dans un historique de conversation sur les serveurs d’un tiers, attaché à votre compte. Et le modèle ne peut pas utiliser une vraie source aléatoire — il n’y a pas de crypto.getRandomValues derrière une réponse de chat. Ce générateur échantillonne directement la source aléatoire cryptographique du navigateur, et le résultat n’existe que dans cet onglet. L’argument complet est dans ne laissez jamais un chatbot toucher à vos secrets.
Mot de passe ou phrase secrète — que devrais-je utiliser ?
Les deux, pour des mains différentes. Les identifiants stockés par des machines (les entrées d’un gestionnaire de mots de passe, les jetons d’API) devraient être des mots de passe ou des jetons : entropie maximale par caractère, jamais saisis par un humain. Tout ce qu’un humain doit saisir ou mémoriser — le mot de passe maître du gestionnaire lui-même avant tout — devrait être une phrase secrète : cinq mots d’une liste de 560 portent environ 45 bits et peuvent vraiment être retenus, tandis que le mot de passe « astucieux » de 10 caractères qu’elle remplace en porte en général moins et s’oublie dès vendredi.
Que signifie réellement le nombre d’entropie ?
Le nombre de questions oui/non auxquelles un attaquant doit répondre, en moyenne la moitié de 2^bits essais, pour forcer le secret — en supposant qu’il sache exactement comment il a été généré, ce que les estimations honnêtes supposent toujours. 40 bits tombe devant un attaquant motivé avec des GPU louées ; 65 bits est hors de portée pratique des attaques de masse ; 100+ bits est hors de portée, point final, pour tout ce qui n’est pas casser les mathématiques elles-mêmes. Le chiffre du générateur est exact pour sa propre sortie, car le réservoir et la longueur sont connus ; celui du vérificateur de force est étiqueté estimation, parce que le vrai réservoir d’un mot de passe saisi est une supposition.
Le verdict du vérificateur de force est-il fiable ?
Comme plancher, pas comme promesse. Il modélise le réservoir que vos caractères impliquent, puis facture les motifs que les dictionnaires de cassage exploitent en premier — répétitions, séquences d’alphabet et de clavier, années, et purement et simplement les mots de passe les plus courants d’internet. Ce qu’il ne peut pas voir, c’est le sens : le nom d’un animal plus un anniversaire est « acceptable » selon les mathématiques et ne vaut rien face à quiconque vous connaît. Traitez un bon verdict comme nécessaire, pas suffisant — et préférez un secret généré à un secret noté chaque fois qu’une machine peut le stocker.
Les mots de passe générés sont-ils stockés ou envoyés quelque part ?
Non. La génération se fait dans cette page, depuis crypto.getRandomValues, et les résultats vivent dans la mémoire de l’onglet jusqu’à sa fermeture. Il n’y a ni compte, ni synchronisation, ni événement d’analyse transportant votre sortie. Le corollaire est pour vous : un mot de passe généré que vous ne rangez pas aussitôt dans un gestionnaire de mots de passe disparaît à la fermeture de l’onglet — ce qui est le bon mode d’échec, mais prévoyez-le.