Qu'est-ce qu'une phrase secrète ?
Un générateur de phrase secrète aide à réunir des mots sans lien, mais ne doit pas les choisir à partir d'informations personnelles. Une phrase secrète est un mot de passe composé de plusieurs mots. Elle peut contenir des espaces, des tirets ou un séparateur accepté par le service. Plutôt que d'utiliser une courte chaîne comme `P@ss2026`, on forme une suite longue de mots sans rapport. Elle est agréable à saisir, mais elle ne résiste que si les mots ne viennent pas d'une histoire évidente.
La longueur augmente le nombre d'essais nécessaires à un attaquant. Le choix aléatoire empêche de réduire cet ensemble avec des noms, des dates, des thèmes ou des phrases célèbres. N'incluez donc pas un animal, une équipe, une ville, un anniversaire ou une citation. Si vous pouvez expliquer pourquoi les mots vont ensemble, vous ajoutez peut-être de la prévisibilité.
Le mot ne désigne pas une technologie unique. Un générateur peut utiliser une liste, des dés ou la source aléatoire cryptographique du navigateur. Chaque mot doit être tiré d'une liste connue, la source doit convenir et le texte ne devrait pas quitter l'appareil. Cela reste un secret d'authentification : gardez-le unique et changez-le en cas de doute sur une exposition.
Phrase secrète ou mot de passe classique ?
Les deux formats peuvent être sûrs. Le choix dépend des règles du service, de la longueur maximale et de l'endroit où le secret sera conservé. Comparez les caractéristiques avant de décider.
| Aspect | Phrase secrète | Mot de passe aléatoire |
|---|---|---|
| Lecture | Plusieurs mots séparés. | Lettres, chiffres et symboles mélangés. |
| Longueur | On ajoute des mots pour la rallonger. | Limitée par le champ du formulaire. |
| Mémoire | Pratique si les mots sont indépendants. | Généralement copiée depuis un gestionnaire. |
| Risque courant | Employer une phrase connue ou des mots liés. | Ajouter une modification prévisible comme 123. |
| Bon usage | Mot de passe maître, Wi-Fi et services acceptant les espaces. | Champs courts ou formulaires qui refusent les espaces. |
Comment fonctionne une sélection Diceware
Diceware est une méthode de sélection : une suite de résultats de dés pointe vers un mot d'une liste. Un générateur numérique doit reproduire cette logique avec une source cryptographiquement sûre, sans choisir les mots selon leur sens.
Définir le besoin
Décidez si la phrase sert à un compte courant, au Wi-Fi, à un mot de passe maître ou au chiffrement. Le contexte fixe la longueur et les règles à respecter.
Tirer chaque mot
Sélectionnez un mot à chaque tirage indépendant. Un générateur local peut utiliser `crypto.getRandomValues`; des dés physiques conviennent avec une liste et une procédure fiables.
Assembler sans corriger
Reliez les mots avec les espaces ou tirets acceptés. Ne remplacez pas un mot parce que le résultat paraît étrange : l'aléa diminuerait.
Copier et conserver
Vérifiez le résultat dans le formulaire officiel, copiez-le une fois et enregistrez-le dans un coffre. Évitez l'historique, les chats, les feuilles partagées et les captures.
Combien de mots faut-il ?
Il n'y a pas de nombre universel. Davantage de mots augmente généralement la marge contre les essais, mais un service peut limiter la longueur ou refuser les espaces. Utilisez ce tableau comme repère puis vérifiez les règles du site.
| Mots | Lecture sécurité | Exemple d'usage |
|---|---|---|
| 4 | Base utile pour un compte peu sensible si la liste est grande. | Compte secondaire acceptant une longue valeur. |
| 5–6 | Marge pratique pour la plupart des comptes et un mot maître protégé. | E-mail, coffre ou Wi-Fi personnel. |
| 7–8 | Longueur supplémentaire pour une donnée importante ou une clé de récupération. | Chiffrement de fichiers et accès administrateur. |
| 9 ou plus | Peut être inutile et difficile à saisir ; contrôlez la limite et le gestionnaire. | Cas précis avec conseil technique. |
Le tableau ne promet pas un délai exact de cassage. Le matériel, les limites d'essais, les fuites et le stockage du service changent la situation. La longueur et l'aléa sont des indices forts, pas un certificat.
Liste de contrôle pour créer une phrase
Faites ces vérifications avant d'accepter le résultat. Elles transforment une suite de mots en décision de sécurité révisable.
Vrai tirage
Les mots viennent-ils de tirages indépendants plutôt que de votre imagination ?
Règles compatibles
Le service accepte-t-il la longueur, les espaces et les séparateurs utilisés ?
Aucun contexte personnel
Aucun nom, lieu, date, loisir, parole ou indice facilement recherchable ?
Aucune réutilisation
La combinaison est-elle nouvelle pour ce service et non une petite variante d'un autre mot de passe ?
Couche supplémentaire
Le compte propose-t-il 2FA, passkey ou alertes de connexion ?
La conserver et l'utiliser correctement
Une phrase solide perd sa valeur si elle reste visible ou est réutilisée. Un gestionnaire évite la mémoire quotidienne, mais il faut protéger son mot maître et son appareil.
- Utiliser un coffre: Choisissez un gestionnaire avec verrouillage et synchronisation protégée. Évitez notes non chiffrées, photos et fichiers partagés.
- Vérifier le site: Ouvrez le domaine saisi ou un favori fiable. L'hameçonnage peut capturer une phrase parfaite.
- Activer un second facteur: Une application, une clé physique ou une passkey limite les dégâts si le secret est découvert.
- Suivre les alertes: Après une fuite ou une connexion étrange, fermez les sessions, remplacez le secret et cherchez les réutilisations.
Ce qu'un générateur ne peut pas garantir
Créer les mots dans le navigateur réduit l'exposition pendant la génération, mais ne règle pas tous les risques d'un compte. Sachez ce qui reste hors sujet.
L'outil ne peut pas prouver comment un service distant stocke le mot de passe, limite les essais ou protège la récupération.
Si quelqu'un a vu l'écran, l'historique ou le presse-papiers, la phrase n'est plus secrète. Effacez le champ et le presse-papiers.
Une liste de mots ne remplace pas les mises à jour, la lutte contre l'hameçonnage, les contrôles de session et des appareils.
Sources pour comprendre la méthode
Ces références présentent Diceware et l'aléa du navigateur. Elles ne servent pas à copier un mot de passe publié.
- Diceware.comPrésente les listes de mots, le nombre de mots et l'usage des dés pour chaque sélection.
- diceware sur GitHubExemple de générateur local utilisant crypto.getRandomValues sans envoyer la phrase au serveur.
- Web Crypto API sur MDNDocumentation de la source aléatoire cryptographique accessible au JavaScript du navigateur.
Questions sur les phrases secrètes
Une phrase est-elle plus sûre qu'un mot de passe avec symboles ?
Pas automatiquement. La longueur et le choix imprévisible comptent. Un mot de passe aléatoire long peut être excellent, tandis qu'une phrase courante avec des symboles prévisibles reste faible.
Combien de mots choisir ?
Commencez par cinq ou six mots tirés au hasard et adaptez-vous à la limite du service. Pour un mot maître ou du chiffrement, ajoutez des mots et laissez le gestionnaire saisir la valeur.
Puis-je inventer une phrase facile à retenir ?
Il vaut mieux éviter. Histoires personnelles, citations, titres et plaisanteries apparaissent dans les attaques par contexte. Préférez des mots indépendants tirés au sort.
Les espaces sont-ils acceptés partout ?
Non. Certains formulaires les retirent ou imposent une limite courte. Vérifiez les règles ; si l'espace est refusé, utilisez un séparateur accepté ou le générateur de mots de passe du site.
Le site enregistre-t-il la phrase créée ?
Ce guide recommande une génération locale, mais consultez la politique de chaque service. Un site public n'est pas un coffre et une vraie information d'accès ne doit pas servir de test.
Une phrase évite-t-elle le 2FA ?
Non. Le 2FA, les passkeys et les alertes ajoutent une barrière contre l'hameçonnage, la réutilisation et le vol de session. Activez-les lorsqu'ils sont proposés.
Puis-je utiliser l'exemple de l'article ?
Non. Tout contenu publié est public. Générez une nouvelle combinaison, rangez-la dans votre coffre et utilisez une phrase différente pour chaque compte important.