Vérificateur de robustesse de mot de passe

Un bon compteur de force ne compte pas seulement les types de caractères — il estime combien de tentatives un attaquant aurait besoin. UtiloKit utilise un modèle de type zxcvbn : il mesure l'entropie en bits et détecte les motifs prévisibles (mots du dictionnaire, noms, séquences clavier comme azerty, séquences comme 1234, répétitions et années), puis convertit le résultat en un score de 0 à 4 et un temps pour craquer. C'est pourquoi « P@ssw0rd1 » obtient une mauvaise note malgré l'utilisation de quatre types de caractères.

Cela dépend de l'entropie du mot de passe et de la vitesse à laquelle l'attaquant peut deviner. Face à une attaque GPU hors ligne rapide (environ 10 milliards de tentatives par seconde), un mot de passe de 8 caractères minuscules comme « singes123 » tombe en quelques secondes à minutes, tandis qu'un mot de passe aléatoire de 16 caractères prendrait des milliards d'années. L'outil affiche l'estimation à trois vitesses d'attaque.

Avec la plupart des vérificateurs en ligne, non — vous envoyez votre vrai mot de passe au serveur de quelqu'un d'autre. UtiloKit est différent : tous les calculs s'exécutent localement dans votre navigateur avec JavaScript, et votre mot de passe n'est jamais transmis, enregistré ou stocké. Vous pouvez le vérifier vous-même en regardant l'onglet réseau de votre navigateur pendant que vous tapez.

La longueur d'abord. Un long mot de passe de mots simples est bien plus fort qu'un court « complexe » : « brume-tracteur-violet-peigne » est beaucoup plus fort que « P@ss1! ». Visez 12–16+ caractères, évitez les mots du dictionnaire, les prénoms, les dates et les motifs clavier, et ne le réutilisez jamais sur différents sites.

L'entropie, mesurée en bits, indique à quel point un mot de passe est imprévisible — chaque bit supplémentaire double le nombre de tentatives nécessaires. Un mot de passe vraiment aléatoire tiré de 95 caractères imprimables gagne environ 6,6 bits par caractère, donc 12 caractères aléatoires représentent environ 79 bits. Mais l'entropie ne compte que si le mot de passe est véritablement aléatoire.

Parce que chaque caractère ajouté multiplie l'espace de recherche, tandis que remplacer une lettre par un symbole n'ajoute que peu. « Tr0ub4dor&3 » (11 caractères, les quatre types) est en réalité plus faible que « cestunephrasedepasse » (19 lettres minuscules), car les attaquants connaissent déjà les astuces courantes de substitution lettre-symbole.

Oui — c'est la plus grande amélioration pour votre sécurité. Un gestionnaire de mots de passe génère et stocke un mot de passe unique, aléatoire et à haute entropie pour chaque site, vous n'avez donc qu'à mémoriser une phrase secrète maîtresse forte. Cela élimine la réutilisation, qui est la vraie cause de la plupart des compromissions de comptes.