Entropie mot de passe
Un mot de passe de 12 caractères tirés au hasard parmi 95 caractères imprimables porte environ 78,84 bits, jugé fort. Indiquez la taille du jeu et la longueur d’une règle pour comparer des politiques en bits, sans saisir de vrai mot de passe. Gratuit dans votre navigateur.
- Gratuit
- Fonctionne dans votre navigateur
- Sans inscription
- Vos données restent sur votre appareil
Lancer gratuitement
Exemple résolu
- Longueur
- 12
- Taille du jeu de caractères
- 95
- Bits par caractère
- 6,569856
- Bits d'entropie
- 78,838267
- Intensité
- strong
L'entropie d'un mot de passe est la mesure théorique du nombre de bits d'imprévisibilité que porte un secret tiré au hasard. Ce calculateur ne vous demande pas de coller le mot de passe. Il prend deux chiffres de politique : la taille de l'alphabet d'où le secret est tiré, et la longueur en caractères. L'entropie de Shannon vaut alors H = L × log2(N) bits. L'outil renvoie cette valeur avec une étiquette de robustesse, de très faible à très forte.
Entropie de Shannon, taille du charset et pourquoi la longueur l'emporte
L'entropie de Shannon traite le mot de passe comme une chaîne de longueur L tirée de façon indépendante et uniforme dans un alphabet de N symboles. Chaque caractère contribue alors log2(N) bits, si bien que le secret entier porte H = L × log2(N) bits. La taille du jeu de caractères n'est pas le nombre de glyphes distincts qui apparaissent dans un mot de passe donné : c'est la taille du vivier que le générateur a le droit d'utiliser.
L'alphabet anglais en minuscules vaut 26. Minuscules et majuscules, 52. Lettres plus chiffres, 62.
ASCII imprimable, en pratique 95. Un octet complet, 256. Les listes de type Diceware prennent la longueur de la liste comme N et le nombre de mots comme L.
Comme le modèle suppose des tirages indépendants et uniformes, il s'agit d'une borne supérieure : une phrase mémorable, une promenade sur le clavier ou un mot de passe fuité ont bien moins d'entropie que ne le suggère la formule pour la même longueur et le même charset apparent. Les concepteurs de politiques s'en tiennent à H parce que cela répond à une autre question qu'un score de robustesse : pour une règle de génération donnée, quelle est la taille de l'espace de recherche ?
Doubler la longueur ajoute un bloc entier de log2(N) bits ; doubler l'alphabet n'ajoute qu'un bit de plus par caractère lorsque N double. C'est pourquoi un secret ASCII imprimable de douze caractères distance un mot de passe de huit à casse mixte, même si les deux paraissent complexes.
Cas d’usage
Conception de politique de mot de passe
Comparez des règles de génération (longueur et taille de charset) en bits avant de publier une politique de composition ou un format de code de récupération.
Laboratoires et notes de conformité
Offrez aux étudiants et aux auditeurs un oracle déterministe H = L × log2(N) qui refuse une longueur non positive au lieu de renvoyer zéro en silence.
Questions fréquentes
Comment calcule-t-on l'entropie d'un mot de passe à partir du charset et de la longueur ?
L'entropie de Shannon vaut H = L × log2(N) bits, où L est la longueur et N la taille du jeu de caractères. Le mot de passe lui-même n'est jamais envoyé.
Quelles tailles de jeu de caractères devez-vous utiliser ?
Utilisez le vivier dans lequel le générateur a le droit de piocher : 10 pour les chiffres, 26 minuscules, 52 minuscules et majuscules, 62 alphanumérique, 95 ASCII imprimable, 256 pour un octet complet. Les listes de mots prennent la longueur de la liste comme N et le nombre de mots comme L.
Que se passe-t-il si length n'est pas un entier positif ?
Zéro, négatifs, fractions, valeurs vides et length manquant sont tous rejetés.
Comment l'étiquette de robustesse se mappe-t-elle sur les bits ?
Sous 28 bits : very weak ; 28–36 : weak ; 36–60 : fair ; 60–128 : strong ; 128 bits ou plus : very strong. Ces bandes décrivent des secrets uniformément aléatoires ; un mot de passe choisi à la main peut être plus faible.
Pourquoi la longueur compte-t-elle plus que l’ajout de types de caractères ?
Chaque caractère supplémentaire ajoute log2(N) bits entiers, alors que doubler le jeu n’ajoute qu’un bit par caractère. Voilà pourquoi un mot de passe de douze caractères imprimables dépasse un mot de passe de huit en majuscules et minuscules.
Outils associés
Pour les développeurs — accès API
Tout sur cette page est disponible par programmation. Cette section s'adresse aux équipes qui veulent l'intégrer à leurs systèmes ; les autres peuvent simplement utiliser l'outil ci-dessus.
Endpoint
Authentification par jeton Bearer : un seul POST met la tâche en file d’attente, et le résultat vous parvient par webhook ou lien signé.
Appeler depuis votre stack
curl -X POST https://api.kit.forhosting.com/security/password-entropy \
-H "Authorization: Bearer $KIT_KEY" \
-H "Content-Type: application/json" \
-d '{"length":12,"charset_size":95}'const res = await fetch("https://api.kit.forhosting.com/security/password-entropy", {
method: "POST",
headers: {
"Authorization": `Bearer ${process.env.KIT_KEY}`,
"Content-Type": "application/json"
},
body: JSON.stringify({
"length": 12,
"charset_size": 95
})
});
const { task_id } = await res.json();import os, requests
res = requests.post(
"https://api.kit.forhosting.com/security/password-entropy",
headers={"Authorization": f"Bearer {os.environ['KIT_KEY']}"},
json={
"length": 12,
"charset_size": 95
},
)
task_id = res.json()["task_id"]<?php
$res = file_get_contents("https://api.kit.forhosting.com/security/password-entropy", false, stream_context_create([
"http" => [
"method" => "POST",
"header" => "Authorization: Bearer " . getenv("KIT_KEY") . "\r\nContent-Type: application/json",
"content" => '{"length":12,"charset_size":95}',
],
]));
$task = json_decode($res, true);body := bytes.NewBufferString(`{"length":12,"charset_size":95}`)
req, _ := http.NewRequest("POST", "https://api.kit.forhosting.com/security/password-entropy", body)
req.Header.Set("Authorization", "Bearer "+os.Getenv("KIT_KEY"))
req.Header.Set("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)Exemple de requête
{
"length": 12,
"charset_size": 95
}Exemple de réponse
{
"task_id": "tsk_a1b2c3d4e5f6a1b2c3d4e5f6",
"type": "security.password_entropy",
"status": "queued",
"_links": {
"result": "/tasks/tsk_…/result"
}
}L’API est asynchrone : chaque appel renvoie un task_id immédiatement, puis vous interrogez l’état à raison d’une requête par seconde.
Tarifs
Le prix est publié, sans tokens ni crédits. Une tâche qui échoue n’est pas facturée.
Erreurs
| HTTP | Code | Signification |
|---|---|---|
401 | unauthorized | Clé API absente ou invalide : vérifiez l’en-tête Authorization. |
402 | insufficient_balance | Solde insuffisant : rechargez votre compte pour lancer cette tâche. |
404 | unknown_type | Type de tâche inconnu : vérifiez le champ type de votre requête. |
429 | rate_limited | Trop de requêtes : ralentissez la cadence, puis réessayez. |
Notes techniques
Servez-vous-en pour concevoir des politiques de mot de passe, des longueurs de PIN, des codes de récupération ou des formats de clé API. Une longueur qui n'est pas un entier positif est rejetée avec invalid_input.
Entropie de Shannon, taille du charset et pourquoi la longueur l'emporte
Le calculateur indique bits_per_character comme log2(N) afin que vous voyiez la contribution par glyphe à côté du total.
Contrat d'entrée, étiquettes de robustesse et erreurs
Une longueur qui n'est pas un entier positif est le contrat annoncé par la page : la tâche n'est pas facturée. Les valeurs au-dessus d'un million sont rejetées comme hors plage pour un paramètre de politique. La robustesse suit les bandes habituelles de la théorie de l'information : sous 28 bits, very weak ; de 28 à 36, weak ; de 36 à 60, fair ; de 60 à 128, strong ; 128 bits ou plus, very strong. Un alphabet d'un caractère est mathématiquement licite et renvoie zéro bit avec l'étiquette very weak. Envoyez un corps JSON en POST avec deux entiers positifs obligatoires : length, la longueur du mot de passe en caractères, et charset_size, la taille de l'alphabet générateur. Les alias length, password_length et l sont acceptés pour le premier champ ; charset_size, charset, pool, alphabet_size et pool_size pour le second. Chaque valeur peut arriver comme entier JSON ou comme chaîne numérique de chiffres. Champs manquants, chaînes vides, booléens, objets, fractions telles que 12.5, zéro et négatifs échouent avec invalid_input en nommant le champ. En cas de succès, le corps répète length et charset_size, indique bits_per_character comme log2 du vivier, entropy_bits comme L fois cette quantité arrondie à six décimales pour des goldens stables, une étiquette de robustesse et la chaîne de formule H = L * log2(N). Exemple : length 12 et charset_size 95 (ASCII imprimable) donnent environ 78.84 bits et l'étiquette strong. Length 8 et charset_size 26 (minuscules seulement) donnent environ 37.60 bits et l'étiquette fair.
Où une API d'entropie de mot de passe justifie son existence
Les équipes de sécurité utilisent un calculateur d'entropie de mot de passe pour rédiger la politique de génération, non lorsqu'un utilisateur saisit un secret dans un formulaire de connexion. Les plateformes d'identité choisissent la longueur du PIN et le caractère uniquement numérique ou alphanumérique des codes de récupération en demandant combien de bits la règle produit vraiment. Une validation en échec ne consomme pas le solde. S'il vous faut noter un mot de passe concret qu'un utilisateur a déjà choisi, y compris listes de mots de passe courants et estimations de temps de cassage, c'est une autre intention de recherche et un autre outil. Les concepteurs de jetons matériels et de clés API comparent un secret base62 de 22 caractères à une chaîne hex de 16 octets sur une seule échelle. Les notes de conformité qui doivent citer des bits de Shannon à côté d'une règle de composition peuvent appeler cet endpoint au lieu de colporter une formule de tableur que quelqu'un copiera avec un logarithme népérien par erreur. Comme l'implémentation est parse de palier A, chaque appel réussi coûte le tarif de base publié $0.002, sans jetons de modèle et sans réseau sortant. Gardez les requêtes petites, figez entropy_bits arrondi dans les tests, et vous obtenez un oracle de politique reproductible pour manuels, laboratoires LMS et workers en bordure, sans dresser une bibliothèque cryptographique maison.
Cas d'intégration
Dimensionnement de PIN et de clés API
Dimensionnez PIN numériques, clés API en base62 et jetons hex sur une seule échelle de Shannon, au lieu de mêler comptes de chiffres et folklore sur la complexité.
Questions techniques
Combien coûte le calculateur d'entropie de mot de passe ?
L'outil dans le navigateur est gratuit. Les requêtes API utilisent un solde KIT prépayé à $0.002 par appel réussi ; une entrée invalide n'est pas facturée.