Calculateur de temps de cassage d’un mot de passe
Rédigé par Thierno Sadou Diallo, formule vérifiée selon notre méthodologie • Mis à jour le 22/08/2026
Le temps d'exploration exhaustive se calcule avec (taille de l'alphabet ^ longueur) ÷ vitesse d'attaque. Un mot de passe de 12 caractères avec l'alphabet complet, attaqué à 10 milliards de tentatives par seconde, résiste environ 1,5 million d'années en exploration exhaustive.
Explication
Ce calculateur traduit en durée concrète l'entropie théorique d'un mot de passe (voir notre calculateur d'entropie d'un mot de passe, qui mesure cette robustesse en bits sans exprimer combien de temps elle représente face à une attaque réelle). Le nombre total de combinaisons possibles pour un mot de passe croît de façon exponentielle avec sa longueur (élever la taille de l'alphabet à la puissance du nombre de caractères) : c'est cette croissance exponentielle, et non linéaire, qui explique pourquoi ajouter ne serait-ce que quelques caractères supplémentaires renforce un mot de passe de façon spectaculairement plus efficace qu'ajouter des types de caractères variés à longueur égale — comparez le premier et le deuxième cas de test de ce calculateur : un alphabet quatre fois plus riche mais quatre caractères de moins donne un temps de cassage des milliers de milliards de fois plus court. La vitesse d'attaque est volontairement laissée à la saisie de l'utilisateur plutôt que fixée par ce calculateur, car elle varie de façon considérable selon l'algorithme de hachage utilisé par le service visé : un mot de passe stocké avec un algorithme rapide et non salé (certains anciens systèmes) peut être testé à plusieurs milliards de tentatives par seconde sur du matériel grand public, tandis qu'un algorithme volontairement lent et conçu pour résister au cassage (bcrypt, Argon2, scrypt) ramène cette vitesse à quelques centaines ou milliers de tentatives par seconde seulement, changeant le résultat de plusieurs ordres de grandeur. Le temps calculé ici correspond au pire cas (exploration exhaustive de tout l'espace des combinaisons) ; en pratique, un attaquant a en moyenne besoin de tester la moitié de cet espace avant de tomber sur le bon mot de passe, et peut aussi accélérer considérablement la recherche grâce à des dictionnaires de mots de passe courants plutôt qu'une recherche aveugle — ce qui rend un mot de passe prévisible (mot du dictionnaire, date de naissance) bien plus faible que ne le suggère son entropie théorique brute.
Exemple : mot de passe de 12 caractères avec alphabet complet
Données d'entrée
Longueur : 12 caractères. Caractères : minuscules + majuscules + chiffres + symboles (94 possibilités). Vitesse d’attaque : 10 milliards de tentatives/s.
Calcul
Combinaisons = 94¹² ≈ 4,76×10²³. Temps = 4,76×10²³ ÷ 10¹⁰ ≈ 4,76×10¹³ secondes ≈ 1,5 million d’années.
Résultat
Ce mot de passe résisterait environ 1,5 million d’années à une exploration exhaustive à cette vitesse d’attaque — largement suffisant pour un usage courant.
Questions fréquentes
Pourquoi la longueur compte-t-elle plus que la complexité des caractères ?
Parce que le nombre de combinaisons croît de façon EXPONENTIELLE avec la longueur (chaque caractère supplémentaire multiplie le nombre de combinaisons par la taille de l'alphabet), alors qu'élargir l'alphabet ne fait qu'augmenter la base de cette puissance. Un mot de passe long avec un alphabet simple peut ainsi être bien plus robuste qu'un mot de passe court avec un alphabet complexe — c'est pourquoi les recommandations récentes en cybersécurité privilégient des phrases de passe longues (plusieurs mots) plutôt que des mots de passe courts truffés de symboles difficiles à retenir.
Pourquoi bcrypt ou Argon2 ralentissent-ils tant une attaque par force brute ?
Ces algorithmes de hachage sont volontairement conçus pour être lents à calculer (généralement quelques dizaines à centaines de millisecondes par tentative, contre une fraction de microseconde pour un hachage rapide comme MD5 ou SHA1 non salé), ce qui ralentit proportionnellement toute tentative de cassage par force brute, sans gêner un utilisateur légitime qui ne se connecte que ponctuellement. C'est précisément pour cette raison que le stockage des mots de passe utilisateur avec un algorithme lent et salé est une recommandation de sécurité standard aujourd'hui.
Un mot de passe avec une entropie théorique élevée est-il toujours sûr en pratique ?
Pas nécessairement : ce calculateur suppose une recherche aveugle sur tout l'espace des combinaisons, alors qu'un attaquant commence généralement par tester des dictionnaires de mots de passe déjà compromis ou couramment utilisés, ainsi que des variantes prévisibles (dates, prénoms, motifs de clavier). Un mot de passe théoriquement complexe mais reconnaissable (comme une date suivie d'un symbole) peut donc être bien plus faible en pratique que ne le suggère son entropie ou son temps de cassage exhaustif théorique. Si vous développez ou administrez un site web, notre calculateur de ratio de contraste WCAG couvre un autre prérequis technique fréquemment vérifié en parallèle de la sécurité des mots de passe : l'accessibilité de l'interface.