Des secrets, et des preuves
Les outils réunis ici semblent n’avoir aucun rapport entre eux jusqu’à ce qu’on remarque ce qu’ils partagent.
Le générateur de mots de passe fabrique un secret que personne ne peut deviner. Le vérificateur de tirage prouve qu’un résultat que personne ne pouvait prédire n’a pas non plus été discrètement choisi après coup. Chacun répond à une question sur le hasard — l’une porte sur le fait de le garder secret, l’autre sur la capacité à démontrer qu’il était réel.
Cette seconde question est celle que la plupart des sites esquivent. Un concours, une tombola, une répartition de créneaux : l’organisateur sait que le tirage était honnête, et tous les autres doivent le croire sur parole. Une graine plus une empreinte transforment ce « faites-moi confiance » en quelque chose qu’un participant peut vérifier lui-même.
Lequel choisir
Créer un identifiant — un mot de passe de connexion, une phrase de passe à taper de mémoire, un PIN numérique, ou une clé API pour un fichier de configuration. Ces quatre cas sortent du générateur de mots de passe, qui affiche aussi l’entropie et un temps de craquage estimé, pour que la longueur choisie soit un choix éclairé plutôt qu’un pari.
Vérifier un tirage effectué par quelqu’un d’autre — collez le certificat dans le vérificateur de tirage. Il recalcule le résultat à partir de la graine et compare l’empreinte. En cas de désaccord, les chiffres ont été modifiés après le tirage.
Pourquoi générer un mot de passe ici n’est pas contradictoire
Récupérer un mot de passe sur un site web semble être la pire façon possible de s’en procurer un. C’est généralement le cas : si la valeur est générée sur un serveur, elle a existé sur la machine de quelqu’un d’autre avant d’exister sur la vôtre, et vous n’avez aucun moyen de savoir ce qui lui est arrivé là-bas.
Rien n’est généré sur un serveur ici. Les caractères proviennent de
crypto.getRandomValues(), l’API du navigateur adossée à la réserve d’entropie
de votre système d’exploitation — la même source que votre navigateur utilise
pour négocier HTTPS. La page ne fait aucune requête réseau pendant que vous
l’utilisez. Vous pouvez le vérifier en ouvrant l’onglet réseau des outils de
développement, en générant un mot de passe, et en constatant qu’il ne se passe
rien. Si vous préférez ne même pas croire cela sur parole, déconnectez-vous du
réseau d’abord ; l’outil continue de fonctionner.
Ce que cette catégorie ne contient volontairement pas
Il n’y a pas de vérificateur de robustesse dans lequel coller un mot de passe existant. Taper un vrai mot de passe dans un formulaire web pour le faire « vérifier » reste une mauvaise habitude quoi que promette le site, et le générateur affiche déjà l’entropie des mots de passe qu’il crée.
Il n’y a pas de recherche de fuite de données, pas de gestionnaire de mots de passe et pas d’outil de hachage. Pour un gestionnaire, utilisez un outil dédié — Bitwarden, 1Password et KeePass résolvent tous les trois le problème que ce site ne peut pas résoudre, à savoir mémoriser les mots de passe à votre place. Pour vérifier une fuite, Have I Been Pwned est la référence.