Générateur de Texte Aléatoire

À Propos du Générateur de Mots de Passe et Chaînes

Cet outil génère des valeurs aléatoires cryptographiquement sûres entièrement dans votre navigateur en utilisant la Web Crypto API (crypto.getRandomValues), la même source d'entropie sécurisée que le navigateur expose pour les clés et les tokens — pas Math.random(). Il peut produire des mots de passe forts (avec majuscules, minuscules, chiffres et symboles sélectionnables), des chaînes aléatoires arbitraires, des séquences de nombres et de lettres, et des UUID version 4 conformes au RFC 4122 (également via le crypto.randomUUID natif lorsqu'il est disponible). Comme l'aléa est tiré du pool d'entropie sécurisé du système d'exploitation, chaque valeur ici convient à de vrais secrets : mots de passe, clés d'API, tokens de session, sels et codes à usage unique. Pour chaque mot de passe ou chaîne généré, l'outil affiche aussi l'entropie estimée en bits et un temps de cassage hors ligne estimé, calculé à partir de la taille réelle de l'alphabet et de la longueur, afin que les ingénieurs sécurité, administrateurs et auditeurs de conformité puissent vérifier une identité de connexion par rapport à la politique (NIST et OWASP citent couramment au moins 80 bits pour les secrets de grande valeur) au lieu de se fier à une vague étiquette 'Fort'.

L'aléa est-il cryptographiquement sûr — puis-je les utiliser pour de vrais mots de passe ?

Oui. Chaque mode (mot de passe, chaîne, nombres, lettres, mots et UUID) tire de crypto.getRandomValues(), le générateur de nombres pseudo-aléatoires cryptographiquement sûr de la Web Crypto API, ensemencé depuis le pool d'entropie du système d'exploitation (/dev/urandom sous Unix, CryptGenRandom/BCryptGenRandom sous Windows). Contrairement à Math.random(), sa sortie n'est pas prévisible à partir de valeurs observées, donc les valeurs générées conviennent aux mots de passe, clés d'API, tokens de session, sels et codes à usage unique. La sélection d'entiers utilise un échantillonnage par rejet pour éviter le biais de modulo, donc chaque caractère est équiprobable. Comme toujours, générez les secrets sur un appareil de confiance et stockez-les dans un gestionnaire de mots de passe — rien ici n'est transmis à un serveur.

Comment l'entropie en bits est-elle calculée et pourquoi est-ce important ?

L'entropie est calculée par bits = longueur × log2(taillePool), où taillePool est le nombre de caractères distincts dans l'alphabet actif et longueur est le nombre de caractères générés. Par exemple, un mot de passe de 16 caractères tiré du jeu complet de 94 symboles ASCII imprimables a environ 16 × log2(94) ≈ 105 bits, tandis que 8 chiffres (pool de 10) n'a qu'environ 8 × log2(10) ≈ 27 bits. Les bits d'entropie sont la mesure standard et défendable de la difficulté à deviner un secret : chaque bit supplémentaire double l'espace de recherche. C'est bien plus parlant qu'une barre colorée 'Fort/Faible' car cela permet de vérifier une identité de connexion par rapport à un seuil de politique explicite.

Que signifie 'Atteint la politique de 80 bits' ?

Les recommandations de sécurité comme NIST SP 800-63B et OWASP préconisent que les secrets de grande valeur portent assez d'entropie pour qu'une attaque par force brute hors ligne soit irréalisable ; 80 bits est un plancher couramment cité pour les identifiants importants, 112–128 bits étant préférés pour les clés à longue durée de vie. Quand un mot de passe ou une chaîne généré atteint au moins 80 bits, le badge de verdict devient vert ('Atteint la politique de 80 bits') ; en dessous il vous avertit ('Sous les 80 bits'). Pour augmenter l'entropie, accroissez la longueur ou activez plus de classes de caractères (majuscules, minuscules, chiffres, symboles), ce qui agrandit l'alphabet.

Comment le temps de cassage hors ligne est-il estimé ?

Le chiffre du temps de cassage suppose un attaquant hors ligne rapide effectuant environ 1×10¹² (mille milliards) d'essais par seconde — un ordre de grandeur raisonnable pour des fermes de GPU haut de gamme contre un hachage rapide ou non salé — et que le secret est trouvé en moyenne après avoir parcouru la moitié de l'espace de clés. Donc les secondes estimées ≈ 2^bits ÷ 1e12 ÷ 2. C'est un indicateur d'ordre de grandeur approximatif, pas une garantie : une KDF lente et salée comme Argon2 ou bcrypt rend le cassage nettement plus lent, tandis qu'un texte en clair divulgué ou un mot de passe réutilisé le rend instantané. Utilisez le chiffre en bits comme métrique principale et le temps comme intuition.

Combien de bits d'entropie a un UUID v4 ?

Un UUID version 4 a 128 bits au total, mais 6 d'entre eux sont fixés par la norme (4 bits pour le champ de version et 2 bits pour le champ de variante), laissant 122 bits d'aléa. C'est bien au-dessus du seuil de 80 bits, c'est pourquoi l'UUID v4 est largement utilisé pour des identifiants indevinables, des clés d'idempotence et des tokens. Cet outil produit des UUID v4 conformes au RFC 4122 en utilisant crypto.randomUUID() quand le navigateur le supporte, avec un repli sur crypto.getRandomValues() en positionnant correctement les bits de version et de variante.

Pourquoi proposer l'option 'Exclure les caractères ambigus' ?

Les glyphes ambigus comme 0/O et 1/l/I sont faciles à mal lire quand un identifiant est imprimé, écrit à la main, dicté au téléphone ou lu à l'écran avec une mauvaise police — provoquant des échecs de connexion et des tickets de support. Les exclure améliore la précision de transcription pour les secrets manipulés par des humains (clés Wi‑Fi, codes de bon, mots de passe initiaux). Le compromis est un alphabet un peu plus petit et donc un peu moins d'entropie par caractère ; la lecture d'entropie reflète automatiquement le pool réduit, vous pouvez donc rallonger la valeur pour compenser si besoin.

Que fait 'Pas de caractères répétitifs' et quelle est la limite de longueur ?

Lorsqu'activée, chaque caractère de la sortie est unique. Comme une chaîne sans répétitions ne peut être plus longue que son alphabet, la longueur demandée est automatiquement limitée à la taille de l'alphabet — par exemple vous obtenez au plus 10 caractères uniques parmi les chiffres 0–9, ou environ 16 symboles uniques depuis un pool de 16 caractères. L'outil construit la valeur à partir d'une copie mélangée de manière sûre de l'alphabet (Fisher–Yates avec le CSPRNG), donc le résultat est sans biais et ne contient pas de doublons. Notez qu'interdire les répétitions réduit légèrement l'entropie par rapport à les autoriser, donc pour une force maximale sur des secrets longs, laissez-la désactivée.