« Est-il sûr de générer un mot de passe sur un site web quelconque ? » est une question légitime — vous demandez à un outil que vous ne contrôlez pas de produire un secret que vous êtes sur le point de confier à vos comptes. La réponse honnête est : cela dépend entièrement de la façon dont l'outil fonctionne, et vous n'avez pas à prendre la parole d'un site pour argent comptant. Cet article explique ce que vous pouvez vérifier vous-même.

En bref

Le vrai risque n'est pas le mot de passe lui-même — c'est de savoir si le site transmet ce qu'il génère à un serveur, où cela pourrait être enregistré.
Vous pouvez le vérifier vous-même : ouvrez les outils de développement de votre navigateur, allez dans l'onglet Réseau, générez un mot de passe, et observez si une requête se déclenche.
Un générateur véritablement côté client ne produit aucune activité réseau lors de la génération d'un mot de passe — le JavaScript s'exécute entièrement dans votre navigateur.
Privilégiez les outils qui déclarent explicitement utiliser la Web Crypto API (crypto.getRandomValues()) plutôt que ceux qui ne révèlent pas du tout leur source d'aléa.

Réponse courte

Un générateur de mots de passe en ligne est sûr à utiliser si — et seulement si — il génère le mot de passe entièrement dans votre navigateur et ne le transmet jamais nulle part. PassGenerate fonctionne ainsi : la génération se fait localement via la Web Crypto API, et vous pouvez le vérifier vous-même en moins d'une minute grâce aux outils de développement intégrés à votre navigateur, sans avoir à faire confiance à une affirmation sur un site.

Comment vérifier vous-même un générateur

Pas besoin d'être développeur pour faire cette vérification :

Ouvrez le site du générateur de mots de passe.
Ouvrez les outils de développement de votre navigateur (F12, ou clic droit → Inspecter, sur la plupart des navigateurs).
Cliquez sur l'onglet Réseau.
Générez un mot de passe sur la page.
Observez l'onglet Réseau. S'il s'agit d'un outil véritablement côté client, vous verrez qu'aucune nouvelle requête ne se déclenche lors de la génération du mot de passe — rien n'est envoyé nulle part. Si vous voyez une requête partir vers un serveur juste au moment où vous cliquez sur générer, cela mérite d'être approfondi : vérifiez quelles données sont envoyées dans le corps de la requête.

Cela fonctionne parce que le JavaScript exécuté dans votre navigateur peut soit faire tout le travail localement (calculer le mot de passe aléatoire et l'afficher, un point c'est tout), soit envoyer des données à un serveur et attendre une réponse. L'onglet Réseau vous montre ce qui se passe réellement — ce n'est pas quelque chose qu'un site peut simuler sans que vous le remarquiez, puisque vous inspectez le trafic réel envoyé par votre navigateur.

Ce que « génération côté client » signifie techniquement

Un générateur de mots de passe véritablement côté client utilise la Web Crypto API propre au navigateur, en particulier crypto.getRandomValues(), pour produire des octets aléatoires cryptographiquement sûrs, puis convertit ces octets vers le jeu de caractères choisi, entièrement en JavaScript s'exécutant sur votre appareil. Rien dans ce processus ne nécessite — ni ne bénéficie d' — une requête réseau. Si un outil a besoin que votre navigateur communique avec un serveur pour « générer » un mot de passe, cela n'est architecturalement pas nécessaire pour cette tâche, ce qui mérite en soi d'être questionné.

Signaux d'alerte à surveiller

Aucune source d'aléa déclarée. Si un site ne précise pas comment il génère l'aléa, vous ne pouvez pas vérifier qu'il utilise un CSPRNG plutôt qu'une méthode plus faible comme Math.random(), suffisamment prévisible dans certains moteurs pour être reconstruite à partir de quelques sorties observées — inadaptée à tout ce qui touche à la sécurité.
Activité réseau pendant la génération. Confirmée grâce à la vérification des outils de développement ci-dessus. Même si le site affirme ne rien enregistrer, s'il y a une requête, il existe une possibilité qu'elle soit enregistrée, que ce soit intentionnellement ou à cause d'un bug côté serveur.
Capture de compte ou d'e-mail avant de pouvoir utiliser l'outil. Un générateur de mots de passe n'a aucune raison légitime d'avoir besoin de votre adresse e-mail pour générer une chaîne aléatoire.
Scripts tiers excessifs. Une page chargée en outils publicitaires ou d'analyse alors qu'elle manipule des secrets augmente la surface d'attaque — plus il y a de code tiers exécuté sur la page, plus il y a d'occasions pour un script compromis d'intercepter ce qui s'y trouve, même si le générateur lui-même est côté client. Ce n'est pas une préoccupation hypothétique : en juin 2024, le CDN Polyfill.js, largement utilisé, a été compromis, et le code malveillant injecté a été servi aux visiteurs de plus de 490 000 sites web qui avaient simplement inclus ce script comme une dépendance de routine — aucun de ces sites n'a été individuellement ciblé ni n'a commis d'erreur au-delà de faire confiance à un script tiers. Le site web moyen charge désormais des dizaines de scripts, dont environ deux tiers proviennent de tiers, et la part des tiers dans les violations de sécurité a fortement augmenté d'année en année. Rien de tout cela ne signifie qu'une page avec des scripts tiers est automatiquement dangereuse — mais c'est une raison réelle de préférer un générateur avec une page légère et vérifiable plutôt qu'un outil chargé d'éléments sans rapport.

Pourquoi cela compte plus pour certains mots de passe que pour d'autres

L'enjeu d'utiliser un générateur peu fiable est proportionnel à ce que le mot de passe protège. Générer un mot de passe jetable pour une inscription ponctuelle à une newsletter comporte peu de risque, même avec un outil douteux. Générer votre mot de passe bancaire, votre mot de passe e-mail, ou le mot de passe maître de votre gestionnaire de mots de passe, est exactement là où vous devriez insister pour vérifier vous-même le comportement côté client plutôt que de faire confiance à une affirmation — car ce sont les mots de passe pour lesquels une copie en clair enregistrée aurait réellement des conséquences.

Points clés à retenir

La question de sécurité centrale pour tout générateur de mots de passe en ligne est de savoir s'il transmet le mot de passe quelque part — vérifiez-le vous-même via l'onglet Réseau plutôt que de faire confiance à une affirmation.
Une génération véritablement côté client produit zéro requête réseau lors de la génération d'un mot de passe.
Privilégiez les outils qui déclarent explicitement utiliser le CSPRNG de la Web Crypto API plutôt que ceux qui n'expliquent pas leur source d'aléa.
Appliquez un contrôle plus poussé aux générateurs pour les mots de passe à fort enjeu (banque, e-mail, mots de passe maîtres) que pour ceux à faible enjeu et jetables.

Pourquoi vous pouvez faire confiance à PassGenerate

Les mots de passe sont générés localement dans votre navigateur grâce à la Web Crypto API.
Aucun mot de passe n'est transmis à des serveurs.
Utilise un générateur de nombres pseudo-aléatoires cryptographiquement sûr (CSPRNG).
Suit les meilleures pratiques de sécurité modernes recommandées par le NIST et l'OWASP.

Références

Compromission de la chaîne d'approvisionnement du CDN Polyfill.js, juin 2024
Documentation de la Web Crypto API de MDN
Fiche de référence sur le stockage des mots de passe de l'OWASP
NIST SP 800-63B – Directives d'identité numérique

En résumé

Vous n'avez pas à prendre la parole d'un générateur de mots de passe en ligne pour argent comptant quant à son fonctionnement — une minute avec l'onglet Réseau de votre navigateur vous dit avec certitude s'il transmet ce qu'il génère. Privilégiez les outils qui utilisent le CSPRNG de la Web Crypto API, qui ne demandent rien d'autre que de générer le mot de passe, et dont vous avez personnellement confirmé qu'ils ne produisent aucune activité réseau — et réservez le contrôle le plus strict aux mots de passe qui compteraient le plus en cas de problème.

Est-il sûr d'utiliser des générateurs de mots de passe en ligne ? Comment vérifier soi-même