Combien de temps pour cracker un mot de passe ?
Le temps de cassage dépend de la longueur, des caractères et du stockage par le site. Calculs de force brute, derniers tableaux et générateur gratuit.
Publié le · 6 min de lecture
Le temps nécessaire pour cracker un mot de passe dépend de trois choses : le nombre de mots de passe possibles (longueur et types de caractères), la vitesse à laquelle un attaquant peut tester ses essais, et le fait que le mot de passe soit vraiment aléatoire ou non. Un mot de passe aléatoire de 8 minuscules stocké avec un hachage lent peut tomber en deux semaines environ sur des cartes graphiques louées ; un mot de passe aléatoire de 16 caractères variés prendrait plus longtemps que l'âge de l'univers. Le générateur de mot de passe gratuit crée ce type de mot de passe long et aléatoire sur votre appareil.
Les fameux tableaux colorés qui circulent en ligne sont utiles, mais ils reposent sur des hypothèses. Connaître ces hypothèses vous dit ce qui protège vraiment un compte.
Ce que « cracker » veut vraiment dire
Quand vous vous inscrivez quelque part, un site bien géré ne stocke pas votre mot de passe. Il stocke un hash : une empreinte brouillée de celui-ci. Quand vous vous connectez, le site hache ce que vous tapez et compare les empreintes. Le générateur de hash gratuit illustre l'idée : tapez password123 et son hash MD5 est 482c811da5d5b4bc6d497ffa98491e38, à chaque fois, sur n'importe quel ordinateur.
Si la base de données d'un site est volée, les attaquants obtiennent les hashs, pas les mots de passe. Cracker consiste à deviner des mots de passe, hacher chaque essai et chercher une correspondance, hors ligne, aussi vite que leur matériel le permet. Aucun blocage de site ne les ralentit.
Deux choses déterminent donc le temps :
- Le nombre de possibilités que l'attaquant pourrait devoir essayer.
- La vitesse des essais, qui dépend fortement de la méthode de hachage utilisée par le site.
Les calculs de la force brute
Le nombre de mots de passe possibles est la taille du jeu de caractères élevée à la puissance de la longueur.
| Jeu de caractères | Caractères |
|---|---|
| Chiffres uniquement | 10 |
| Lettres minuscules | 26 |
| Minuscules + majuscules + chiffres | 62 |
| Les quatre types de notre générateur | 85 |
Un mot de passe de 8 minuscules offre 26^8, soit environ 209 milliards de possibilités. Avec les 85 caractères, 8 caractères en donnent environ 2,7 × 10^15. Chaque caractère supplémentaire multiplie le total par la taille du jeu : voilà pourquoi la longueur l'emporte sur tout le reste.
Ce que dit le dernier tableau
Selon le tableau 2026 de Hive Systems, une batterie de 16 cartes graphiques RTX 5090 attaquant des mots de passe stockés avec bcrypt (un hachage volontairement lent, au facteur de coût 10) atteignait environ 138 675 essais par seconde. À ce rythme, ils estiment qu'un mot de passe de 8 minuscules se casse en deux semaines environ, et un mot de passe de 8 caractères utilisant tous les types en environ 132 ans. Leurs durées sont des pires cas, où le bon mot de passe est le tout dernier essai.
Avec la même vitesse d'essai et le jeu de 85 caractères du générateur, voici le temps dans le pire des cas que nous calculons pour des mots de passe aléatoires :
| Longueur | Minuscules seules (26) | Les quatre types (85) |
|---|---|---|
| 6 | environ 37 minutes | environ 32 jours |
| 8 | environ 17 jours | environ 620 ans |
| 10 | environ 32 ans | environ 4,5 millions d'années |
| 12 | environ 22 000 ans | environ 32 milliards d'années |
| 16 | environ 10 milliards d'années | environ 1,7 × 10^18 années |
Notre chiffre pour 8 caractères ne correspond pas à celui de Hive, car les tableaux diffèrent par la taille du jeu de caractères, les réglages du hachage et la façon de compter les essais ; la leçon reste la même. En moyenne, le bon essai arrive à mi-parcours : divisez ces chiffres par deux pour un cas typique.
Pourquoi le tableau peut être bien trop optimiste
Le tableau suppose le meilleur cas pour vous, de deux façons.
Le site utilise peut-être un hachage rapide. bcrypt est conçu pour être lent. Les systèmes anciens ou négligés utilisent des hachages rapides comme MD5 ou SHA-1 seul, qu'une seule carte graphique peut tester des milliards de fois par seconde. Face à eux, les durées ci-dessus sont divisées par un million ou plus. Vous ne pouvez pas savoir comment un site stocke votre mot de passe : partez du pire. Le guide MD5 ou SHA-256 explique la différence.
Votre mot de passe n'est peut-être pas aléatoire. La force brute est l'attaque la plus lente. Un vrai cassage commence par des listes de mots de passe divulgués, des mots du dictionnaire, des noms, des dates et des schémas courants comme Password123! (majuscule au début, chiffre et symbole à la fin). Un mot de passe construit ainsi est trouvé en quelques secondes, quel que soit le nombre de types de caractères, car les attaquants essaient ces schémas en premier.
Il a peut-être déjà fuité. Si vous réutilisez un mot de passe et qu'un des sites où vous l'avez utilisé est piraté, les attaquants n'ont rien à cracker. Ils essaient simplement la même adresse e-mail et le même mot de passe sur d'autres sites.
Ce qui vous protège vraiment
- La longueur et le hasard. Un mot de passe aléatoire de 16 caractères ou plus est hors de portée de la force brute pour tout attaquant réaliste. Selon la norme SP 800-63B du NIST (révision 4, 2025), les services qui reposent sur un mot de passe seul devraient exiger au moins 15 caractères, sans imposer de règles de composition ni de changements réguliers.
- Un mot de passe unique pour chaque site. Cela neutralise complètement les attaques par réutilisation.
- Un gestionnaire de mots de passe. Il retient des dizaines de longs mots de passe aléatoires à votre place. La longueur ne vous coûte alors plus rien.
- L'authentification à deux facteurs. Même si un mot de passe est cracké, l'attaquant a encore besoin de votre téléphone ou de votre clé de sécurité. Activez-la d'abord pour la messagerie, la banque et les réseaux sociaux.
S'il vous faut un mot de passe à retenir et à taper, comme le mot de passe principal de votre gestionnaire, une longue phrase de passe faite de mots aléatoires convient bien. Voir phrase de passe ou mot de passe.
Créez-en un qui ne sera pas cracké
Ouvrez le générateur de mot de passe gratuit, réglez la Longueur sur 16 ou plus (elle démarre à 20), gardez Minuscules, Majuscules, Chiffres et Symboles cochés, appuyez sur Générer puis sur Copier. Le mot de passe est créé sur votre appareil et n'est jamais envoyé nulle part. Pour en savoir plus sur les réglages, voir comment créer un mot de passe fort.
Questions fréquentes
- Combien de temps faut-il pour cracker un mot de passe de 8 caractères ?
- Cela dépend des caractères et du mode de stockage. Selon le tableau 2026 de Hive Systems, environ deux semaines pour des minuscules aléatoires et environ 132 ans avec tous les types de caractères, face à bcrypt. Face à un hachage rapide comme MD5, les deux tombent bien plus vite.
- Un mot de passe de 12 caractères est-il assez fort ?
- Un mot de passe aléatoire de 12 caractères avec tous les types est hors de portée de la force brute. Pour les comptes importants, 16 ou plus reste un meilleur choix par défaut, puisque cela ne coûte rien avec un gestionnaire de mots de passe.
- Les symboles rendent-ils un mot de passe plus fort ?
- Ils aident un peu par caractère, mais ajouter de la longueur aide davantage. Un mot de passe aléatoire de 16 caractères sans symboles est plus fort qu'un mot de passe aléatoire de 10 caractères avec symboles.
- Les pirates peuvent-ils finir par cracker n'importe quel mot de passe ?
- En théorie, oui ; en pratique, un mot de passe aléatoire de 16 caractères prendrait bien plus longtemps qu'aucun attaquant ne peut attendre. Ce sont les mots de passe faibles, courants ou réutilisés qui tombent vite.
- Est-il sûr de tester la force de mon mot de passe sur un site web ?
- Ne tapez pas un vrai mot de passe dans un testeur de force en ligne. Générez plutôt un nouveau mot de passe aléatoire ; notre générateur le crée sur votre appareil.
Générateurs
Essayez Générateur de mot de passe
Gratuit, sans inscription, fonctionne dans votre navigateur. Créez un mot de passe fort et aléatoire en un clic : choisissez une longueur de 8 à 128 caractères et les types à utiliser parmi minuscules, majuscules, chiffres et symboles, puis copiez-le.