La CNIL mesure la solidité d’un mot de passe en bits. Seul, sans autre protection, il en faut 80.
Indiquez la longueur de votre mot de passe et les caractères qu’il contient. L’outil calcule sa robustesse et le nombre de caractères à ajouter.
Outil pratique
Votre mot de passe est-il assez robuste ?
Indiquez la longueur et les types de caractères de votre mot de passe : l’outil calcule sa robustesse en bits et la compare aux seuils de la CNIL.
Robustesse théorique
80 bits
pour un mot de passe tiré au hasard
- Seuil CNIL pour un mot de passe seul
- 80 bits
- Seuil CNIL si le site limite les essais
- 50 bits
- Caractères à ajouter pour 80 bits
- 0 caractères
Un mot du dictionnaire, un prénom ou une date se devinent bien plus vite que ce calcul ne l’indique : les attaquants les testent en premier, avec leurs variantes.
Avec 80 bits, ce mot de passe atteint le niveau que la CNIL demande quand rien d’autre ne protège le compte.
Avec 80 bits, il suffit seulement si le service bloque ou ralentit les essais après plusieurs échecs.
Avec 80 bits, ce mot de passe reste en dessous des seuils de la CNIL, même avec une limitation des essais.
Répondez aux questions pour voir le résultat
3 / 3 réponses
Mot de passe robuste
Il atteint les 80 bits recommandés par la CNIL pour un mot de passe utilisé seul.
Mot de passe à renforcer
- Choisissez-le au hasard, avec un générateur ou un gestionnaire de mots de passe.
- Ajoutez 0 caractères ou des types de caractères pour atteindre 80 bits.
Une phrase de passe de 7 mots sans lien entre eux atteint aussi le niveau recommandé, et se retient plus facilement. Utilisez un mot de passe différent pour chaque compte.
À savoir sur ce calcul
- Seuils de la délibération CNIL n° 2022-100 du 21 juillet 2022 : 80 bits pour un mot de passe seul, 50 bits si le service limite les tentatives. Robustesse calculée comme la longueur multipliée par le logarithme en base 2 du nombre de caractères possibles (10, 26, 52, 62 ou 99 avec 37 caractères spéciaux).
- Le calcul suppose un mot de passe tiré au hasard. Il ne dit rien d’un mot de passe déjà divulgué lors d’une fuite de données.
01 / 04
Ce que mesurent les bits
La longueur compte plus que la complexité.
Chaque caractère tiré au hasard multiplie le nombre de combinaisons à essayer. Avec 26 minuscules, un caractère vaut environ 4,7 bits ; avec lettres, chiffres et 37 caractères spéciaux, environ 6,6 bits.
Ajouter quatre caractères fait souvent gagner davantage que d’imposer un symbole. Douze caractères de tous types et quatorze caractères sans symbole atteignent tous deux 80 bits.
02 / 04
Les trois seuils de la CNIL
Le niveau dépend des protections du service.
Un mot de passe utilisé seul doit atteindre 80 bits. Si le service ralentit ou bloque les essais après plusieurs échecs, 50 bits suffisent, soit 8 caractères mêlant trois types.
Un code qui déverrouille un appareil que vous détenez, comme une carte bancaire, se contente de 13 bits, soit 4 chiffres, parce que l’appareil se bloque après trois erreurs.
03 / 04
Un mot de passe par compte
La robustesse ne protège pas d’une fuite.
Un mot de passe solide mais réutilisé tombe partout dès qu’un seul site se fait voler sa base. La CNIL recommande un mot de passe différent pour chaque service.
Un gestionnaire de mots de passe les génère au hasard et les retient pour vous. Activez aussi la double authentification quand le service la propose.
04 / 04
Questions fréquentes
Outils