Un mot de passe ne vaut pas sa longueur.
Il vaut le nombre d'essais qu'il impose.

La page découpe votre mot de passe en morceaux et cherche le découpage le moins cher — celui qu'un attaquant trouverait en premier. Chaque morceau est reconnu comme un mot de passe très répandu, un mot de dictionnaire, une suite de clavier, une répétition, une date, ou rien d'identifiable. Un morceau que rien n'explique est compté caractère par caractère, ce qui est le cas favorable.

Les déguisements ne trompent pas le calcul : P@ssw0rd est lu comme password, et cela ne coûte que quelques essais de plus. « 1 » est testé comme un « l » et comme un « i », sinon « Ju1llet » passerait pour du hasard.

L'estimation est volontairement pessimiste. Elle suppose que l'attaquant connaît tous les motifs affichés ici et commence par eux. Dans la réalité il mettra souvent plus de temps, rarement moins. Un outil qui vous flatte ne vous protège pas.

Parce qu'un mot de passe ne se fait pas attaquer de la même façon partout. Les trois lignes du tableau sont des hypothèses de calcul, affichées pour que vous voyiez de quoi dépend le résultat :

• Service qui limite les tentatives — un site qui bloque après quelques essais ratés. Le cas d'un compte en ligne correctement protégé.
• Base volée, rangement lent — le site s'est fait voler sa base, mais il rangeait les mots de passe avec une fonction lente, prévue pour ça.
• Base volée, rangement rapide — même vol, avec une fonction rapide, inadaptée aux mots de passe. C'est le pire cas courant.

La vitesse réelle dépend du matériel de l'attaquant et de la façon dont le site range les mots de passe. Vous ne pouvez connaître ni l'un ni l'autre depuis l'extérieur — c'est pourquoi ces vitesses sont présentées comme des hypothèses, et non comme des mesures. Choisissez la ligne du bas si vous voulez la réponse prudente.

Il ne vérifie pas si votre mot de passe a fuité dans une brèche connue : cela demanderait d'interroger un service extérieur, donc d'envoyer quelque chose. Cette page n'envoie rien. Il ne le conserve pas non plus, et ne peut pas le retrouver : il n'existe que le temps de votre frappe.

Il ne remplace pas un gestionnaire de mots de passe. Le risque numéro un n'est pas qu'on devine votre mot de passe, c'est que vous l'utilisiez sur plusieurs sites — le jour où l'un d'eux se fait voler sa base, tous les autres tombent avec, quelle que soit la force du mot de passe.

Les phrases sont tirées dans une liste de — mots français sans accent, de quatre à neuf lettres, pour qu'une phrase se retape sans hésitation. L'entropie affichée est calculée à partir de la taille réelle de cette liste, jamais écrite d'avance.

La détection s'appuie en plus sur — suites très répandues — mots de passe classiques, prénoms courants, rangées de clavier. Cette liste ne prétend pas être un classement officiel : c'est un échantillon de ce que tout outil d'attaque essaie d'emblée. Un mot qui y manque fait surestimer votre mot de passe, jamais l'inverse.

Non, et cette page le montre sur vos propres saisies. Tapez Ju1lle : rien de reconnaissable, le calcul compte chaque caractère séparément. Ajoutez un t — Ju1llet — et le coût de l'attaque chute, parce que le mot devient un mois du calendrier, écrit avec une substitution que tous les outils d'attaque essaient.

Une lettre de plus a rendu le mot de passe plus faible. C'est contre-intuitif, c'est vérifiable ici en dix secondes, et c'est la raison pour laquelle compter les caractères ne veut rien dire.

Quinze caractères, une majuscule, des chiffres, un caractère spécial : il coche toutes les cases qu'un site d'inscription vérifie. Ces cases mesurent la forme, pas la difficulté. Un attaquant n'essaie pas les caractères un par un : il essaie d'abord les mots, les dates et les suites de clavier, exactement ce dont ce mot de passe est fait.

Collez-le dans le champ plus haut : la page découpe les morceaux devinables et nomme chacun d'eux.