Mots de passe robustes et UUID

Longueur et caractère aléatoire

Un mot de passe est robuste lorsqu’un attaquant aurait besoin d’un trop grand nombre de tentatives pour le trouver. Deux éléments comptent le plus : sa longueur et la façon dont il a été choisi. Chaque caractère supplémentaire multiplie le nombre de possibilités : la longueur aide donc généralement davantage que l’ajout d’un type de symbole supplémentaire.

La façon dont un mot de passe est choisi compte tout autant. Les gens ont tendance à choisir des mots, des noms, des dates et des substitutions prévisibles comme « P@ssw0rd », et les attaquants essaient ces schémas en premier. Un mot de passe généré par une source aléatoire sûre évite ces schémas. Le générateur de LeedyBox utilise le générateur de nombres aléatoires Web Crypto du navigateur plutôt que Math.random(), qui n’est pas conçu pour la sécurité.

Ce guide fournit des informations générales et non un conseil professionnel en sécurité. Suivez les exigences de votre organisation ou du service auquel vous vous inscrivez.

Ce que signifient les bits d’entropie

L’entropie, mesurée en bits, estime le nombre de tentatives nécessaires pour trouver un mot de passe aléatoire. Pour un mot de passe de longueur L tiré uniformément parmi N caractères possibles, l’entropie vaut L × log₂(N). Chaque bit supplémentaire double l’espace de recherche.

Cette estimation a ses limites. Elle n’a de sens que si chaque caractère a été choisi au hasard. Un mot de passe que vous avez inventé, comme « Summer2026! », peut sembler compter beaucoup de bits selon cette formule, mais il est bien plus facile à deviner. L’entropie ne dit rien non plus de la façon dont un service stocke les mots de passe, ni de la réutilisation du mot de passe ou de son vol par hameçonnage.

Gestionnaires de mots de passe et mots de passe uniques

Les mots de passe aléatoires sont difficiles à retenir, et c’est là qu’un gestionnaire de mots de passe est utile : il génère, conserve et remplit un mot de passe différent pour chaque site. Utiliser un mot de passe unique partout est important, car les fuites de données arrivent, et un mot de passe réutilisé permet à un attaquant d’essayer les mêmes identifiants sur d’autres services. Pour les quelques mots de passe que vous devez retenir, comme le mot de passe principal du gestionnaire lui-même, une longue phrase de passe composée de plusieurs mots choisis au hasard est une approche courante.

Authentification à deux facteurs

Même un mot de passe robuste peut être volé par hameçonnage ou par un logiciel malveillant. L’authentification à deux facteurs (2FA) ajoute une seconde vérification, comme un code d’application d’authentification, une clé de sécurité matérielle ou une clé d’accès (passkey). L’activer pour la messagerie, la banque et les autres comptes importants limite les dégâts que peut causer un mot de passe volé. Conservez les codes de récupération en lieu sûr.

UUID v4 ou UUID v7

Un UUID (universally unique identifier, identifiant unique universel) est une valeur de 128 bits écrite sur 36 caractères, comme 550e8400-e29b-41d4-a716-446655440000. Le chiffre qui suit le deuxième tiret indique la version.

• UUID v4 est en grande partie aléatoire (122 de ses 128 bits). Il ne révèle rien sur le moment ni le lieu de sa création, et la probabilité que deux UUID entrent en collision est négligeable en pratique.
• UUID v7, défini dans la RFC 9562, commence par un horodatage Unix en millisecondes suivi de bits aléatoires. Les valeurs créées plus tard se trient après les précédentes, ce qui peut rendre les index de base de données plus efficaces qu’avec la v4. En contrepartie, toute personne qui voit un UUID v7 peut savoir approximativement quand il a été créé.

L’outil LeedyBox peut générer les deux versions, et son inspecteur d’UUID permet d’examiner un UUID que vous collez.

Les UUID sont des identifiants, pas des secrets

Un UUID est conçu pour être unique, pas secret. De nombreux UUID se retrouvent dans des URL, des journaux et des réponses d’API, et un UUID v7 contient sa date de création. N’utilisez pas un UUID à lui seul comme mot de passe, clé d’API ou jeton de réinitialisation de mot de passe ; utilisez un jeton aléatoire dédié issu d’un générateur sûr, associé à de véritables contrôles d’accès.

Questions fréquentes