TL;DRUn générateur de mot de passe crée en un clic une suite de caractères tirée au hasard, longue et sans lien avec votre vie. C'est le moyen le plus simple d'éviter le mot de passe faible qui ouvre la porte de votre site ou de votre boutique. Notre générateur de mot de passe gratuit, juste au-dessus, fonctionne entièrement dans votre navigateur : rien n'est envoyé, rien n'est enregistré.
Un prénom suivi d'une année, le nom de la boutique avec un point d'exclamation : ce sont souvent ces mots de passe-là qui protègent l'administration d'un site.
La réponse courte : comment créer un mot de passe fort#
Un mot de passe fort est long, tiré au hasard et utilisé pour un seul compte. Visez au moins 15 caractères, mélangez lettres, chiffres et symboles quand le site l'accepte, et ne réutilisez jamais le même. Pour les accès d'administration, montez à 20 caractères ou plus et ajoutez une double authentification.
La CNIL donne l'exemple de 12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux. Le guide américain NIST SP 800-63B-4, publié en juillet 2025, demande 15 caractères minimum quand le mot de passe est le seul moyen de se connecter.
Comment utiliser le générateur de mot de passe, réglage par réglage#
Pour générer un mot de passe sécurisé, choisissez la longueur avec le curseur, de 8 à 64 caractères, cochez les types de caractères voulus, puis cliquez sur Générer. L'outil affiche une estimation de la force en bits et un bouton Copier. Collez ensuite le mot de passe dans votre gestionnaire et dans le formulaire du site.
- Longueur : la longueur du mot de passe est le réglage qui pèse le plus. Gardez 20 caractères, sauf si un site impose une limite.
- Minuscules, majuscules, chiffres, symboles : plus il y a de familles cochées, plus chaque caractère a de valeurs possibles.
- Exclure les caractères ambigus : retire 0, O, 1, l et I, pratique si vous devez taper le mot de passe à la main.
- Indicateur de force : il estime l'entropie en bits, c'est-à-dire le nombre de combinaisons possibles exprimé en puissance de 2. Pour repère, la CNIL retient 80 bits pour un mot de passe utilisé sans autre protection.
Longueur ou complexité : ce qui compte le plus#
La longueur compte plus que la complexité. Chaque caractère ajouté multiplie le nombre de combinaisons possibles, alors qu'un symbole de plus dans un mot de passe court change peu de chose. Un mot de passe aléatoire de 20 caractères sans symbole reste plus solide qu'un mot de passe complexe de 8 caractères.
Le NIST va dans ce sens : il interdit aux sites d'imposer des règles de composition, comme un symbole obligatoire, et leur demande d'accepter au moins 64 caractères.
Les erreurs courantes qui affaiblissent un mot de passe#
L'erreur la plus fréquente est la réutilisation : un même mot de passe sur plusieurs comptes. Si un seul de ces sites se fait voler sa base, tous vos comptes deviennent accessibles. Viennent ensuite les mots de passe construits à partir de votre vie : dates, prénoms, nom de l'entreprise, ou variantes d'un ancien mot de passe.
Exemples volontairement mauvais :
- Une date ou un prénom : Marie1985.
- Le nom de la boutique : MaBoutique2024!
- Une variante de l'ancien : MotDePasse1 devenu MotDePasse2. La CNIL relève que la majorité des gens modifient à peine leur mot de passe quand on les oblige à en changer.
- Une suite clavier : azerty, 123456.
Un générateur de mot de passe en ligne est-il sûr ?#
Un générateur en ligne est sûr si le mot de passe est créé dans votre navigateur et jamais envoyé à un serveur. C'est le cas du nôtre : il utilise le générateur aléatoire cryptographique intégré au navigateur, prévu pour la sécurité, et n'enregistre rien. Vous pouvez le vérifier vous-même en deux minutes.
- Connexion coupée : chargez la page, coupez le Wi-Fi, puis cliquez sur Générer. Si un mot de passe s'affiche, le calcul se fait bien sur votre appareil.
- Onglet Réseau : ouvrez les outils de développement du navigateur (touche F12), onglet Réseau, puis cliquez sur Générer. Aucune nouvelle requête ne doit apparaître.
Où ranger ses mots de passe#
Le bon endroit pour ranger des dizaines de mots de passe aléatoires est un gestionnaire de mots de passe. Il les retient, les remplit sur les bons sites, et vous ne retenez plus qu'un seul mot de passe maître. La CNIL le cite parmi les bonnes pratiques.
Pour choisir un outil gratuit et l'installer, suivez notre guide complet des gestionnaires de mot de passe gratuits.
Les accès d'administration : WordPress, PrestaShop, serveur, base de données#
Les accès d'administration méritent les mots de passe les plus longs, car ils donnent la main sur tout le site. Utilisez un mot de passe unique et aléatoire pour chaque accès : back-office, FTP, base de données, hébergement. Et donnez à chaque personne son propre compte plutôt qu'un identifiant partagé.
- Back-office WordPress ou PrestaShop : un compte par personne, avec le minimum de droits. Sur WordPress, un htpasswd devant l'admin ajoute une seconde barrière.
- FTP et hébergement : souvent oubliés, alors qu'ils donnent accès aux fichiers du site.
- Serveur : pour SSH, la connexion à distance au serveur, préférez une clé SSH à un mot de passe.
- Base de données : personne n'a à taper son mot de passe, il peut donc être très long.
Mon retour d'expérience. En 2026, nous avons trouvé sur notre propre hébergement mutualisé des webshells, des fichiers cachés qui permettent de piloter un site à distance. En plus de la mise en quarantaine des fichiers, nous avons changé les accès FTP concernés. Le détail est dans notre étude de cas sécurité hébergement, et notre guide site WordPress piraté donne la marche à suivre si cela vous arrive.
La double authentification complète le mot de passe#
La double authentification demande une seconde preuve après le mot de passe, en général un code à 6 chiffres affiché par une application sur votre téléphone. Même avec votre mot de passe, un intrus ne peut pas se connecter sans ce code. La CNIL indique qu'elle offre davantage de sécurité que le mot de passe seul.
Activez-la en priorité sur votre messagerie, votre hébergement et le back-office de votre site. Nous l'avons mise en place sur l'espace client Websource : un code d'une application comme Google Authenticator est demandé après le mot de passe, avec des codes de secours en cas de perte du téléphone. Voir aussi notre article sur les failles d'authentification et de session.
Questions fréquentes#
Quelle longueur choisir pour un mot de passe ?#
Au moins 15 caractères pour un compte protégé uniquement par un mot de passe, c'est le minimum du NIST. Pour un accès d'administration, prenez 20 caractères ou plus : avec un gestionnaire, la longueur ne coûte rien.
Faut-il des symboles dans un mot de passe ?#
Ils aident sans être indispensables. Si un site les refuse, ajoutez quelques caractères : la longueur compense.
Comment retenir tous ces mots de passe ?#
Vous n'avez pas à les retenir. Un gestionnaire de mots de passe les garde et les remplit pour vous. Vous ne retenez que le mot de passe maître.
À quelle fréquence changer ses mots de passe ?#
Pour un compte classique, seulement s'il a pu être compromis : la CNIL a abandonné le changement périodique obligatoire et le NIST l'interdit. La CNIL le maintient en revanche pour les comptes d'administration. Un mot de passe qui a fuité se change immédiatement.
Le générateur garde-t-il une trace des mots de passe créés ?#
Non. Il est créé dans votre navigateur, n'est envoyé nulle part et disparaît quand vous rechargez la page.
Passez au mot de passe aléatoire dès aujourd'hui#
Un générateur de mot de passe règle le problème en quelques secondes : un mot de passe long, aléatoire et unique par compte, rangé dans un gestionnaire et doublé d'une double authentification sur les accès sensibles. Commencez par vos accès d'administration.
Vous voulez savoir si les accès de votre site WordPress, PrestaShop ou Symfony sont bien protégés ? Réservez un échange de 45 minutes pour un audit de sécurité de votre site.
