Robustesse des mots de passe et générateur

1. Repérer les motifs

Le mot de passe est comparé à des listes embarquées, écrites par Qorsec et volontairement modestes :

• 142 mots de passe très répandus (FR, EN, Maroc)
• 101 mots de darija translittérée, villes et clubs
• 93 prénoms courants
• 506 mots anglais fréquents dans les mots de passe
• 1963 mots français courants (aussi utilisés par le générateur)

Sont aussi détectés : majuscules, remplacements l33t (4→a, 3→e, 0→o, $→s…), mots écrits à l'envers, suites (abc, 123, 987), répétitions (aaa, abcabc), rangées de clavier AZERTY et QWERTY, dates et années, et le nom de l'organisation si vous le donnez.

2. Compter les essais

Chaque motif reçoit un nombre d’essais (rang du mot dans sa liste, taille de l’espace des dates, etc.) ; le reste est compté en force brute (taille des jeux de caractères présents : 26 minuscules, 26 majuscules, 10 chiffres, 33 symboles ASCII, forfait de 100 pour tout autre caractère ; puissance la longueur). L’outil retient le découpage le moins coûteux pour l’attaquant : essais = l! × produit des essais de chaque morceau + 10000^(l−1), où l est le nombre de morceaux. Méthode inspirée de l’estimateur zxcvbn (D. Wheeler, USENIX Security 2016), réécrite et simplifiée.

Deux entropies sont affichées : l'entropie théorique (longueur × log2 de la taille des jeux de caractères, ce qu'aurait un mot de passe tiré au hasard) et l'entropie estimée (log2 du nombre d'essais, qui tient compte des motifs). C'est la seconde qui compte.

Note : de 0 à 100, proportionnelle à l'entropie estimée entre 25 bits (0) et 80 bits (100) ; plafonnée à 5 si le mot de passe figure dans une fuite connue.

3. Convertir en temps : trois scénarios

Temps affiché = essais estimés ÷ débit de l'attaquant. C'est le temps pour épuiser l'estimation ; en moyenne, la moitié suffit. Les débits sont des hypothèses, choisies et sourcées ainsi :

4. Fuites connues (facultatif)

Empreinte SHA-1 calculée localement (password → 5BAA61E4C9…). Requête : GET https://api.pwnedpasswords.com/range/5BAA6 avec l’en-tête Add-Padding: true, qui fait ajouter de faux suffixes à la réponse pour que sa taille ne trahisse rien. Le suffixe est cherché dans la réponse, ici. Documentation : API Pwned Passwords.

Limites

C'est un ordre de grandeur, pas une garantie. Les attaquants disposent de listes de milliards de mots de passe réels et de règles de transformation bien plus riches que nos listes embarquées : un mot de passe jugé solide ici peut être faible s'il a déjà été utilisé ailleurs. À l'inverse, un mot de passe tiré au hasard par le générateur vaut exactement l'entropie affichée par le générateur.