Combien de temps faut-il pour craquer un mot de passe de 16 caractères ?
Un mot de passe véritablement aléatoire de 16 caractères issu du jeu complet de 95 caractères ASCII imprimables détient environ 105 bits d’entropie. Le forcer par force brute hors ligne à un milliard d’essais par seconde prendrait bien plus longtemps que l’âge de l’univers — et même un attaquant quantique, qui ne bénéficie que de l’accélération en racine carrée de Grover, fait toujours face à une recherche d’environ 52 bits. Le mot aléatoire fait tout le travail.
Les chiffres derrière « 16 caractères »
Le temps de craquage dépend de la taille du jeu de caractères et, surtout, du fait que le mot de passe soit véritablement aléatoire ou une phrase mémorisable que le modèle d’un attaquant peut prédire.
| Jeu de caractères | Taille du pool | Entropie de 16 caractères | Force brute classique @ 1e9/s | Après Grover (√, @ même débit de 1e9/s) |
|---|---|---|---|---|
| Minuscules uniquement | 26 | ~75 bits | ~10^6 siècles | ~minutes |
| Minuscules + majuscules + chiffres | 62 | ~95 bits | ~10^9 siècles | ~jours |
| ASCII imprimable complet | 95 | ~105 bits | ~10^12 siècles | ~semaines-mois |
Les chiffres sont des ordres de grandeur. La colonne Grover applique l’accélération √ au même débit hypothétique de 1e9/s : temps ≈ 2^(bits/2) ÷ 1e9. Pour 105 bits, cela fait 2^52,5 ÷ 1e9 ≈ 74 jours ; pour 95 bits, 2^47,5 ÷ 1e9 ≈ 2,3 jours ; pour 75 bits, 2^37,5 ÷ 1e9 ≈ 3 minutes.
Notez que la colonne Grover n’atteint jamais « instantané » — mais elle n’est pas non plus le tableau réel. Diviser 105 bits par deux laisse environ 52 bits de travail effectif — faible selon les normes modernes de clés, et comme le montre le tableau, si un ordinateur quantique pouvait exécuter l’oracle de Grover à un milliard d’itérations classiques par seconde, même 16 caractères aléatoires tomberaient en quelques semaines. Il ne le peut pas. Les vitesses réelles de portes/horloge quantiques, plus l’énorme surcoût de correction d’erreurs par opération logique, rendent chaque itération de Grover largement plus lente qu’une devinette de GPU. C’est cette lenteur pratique — et non les mathématiques de l’accélération √ — qui garde réellement en sécurité un mot de passe long et aléatoire.
Le piège : c’est l’entropie, pas la longueur, qui vous protège
Seize caractères de Summer2026!!!!!! ne font pas 105 bits. Les estimateurs de mots de passe comme zxcvbn — le moteur derrière notre vérificateur — comptent les devinettes qu’un attaquant fait réellement, en modélisant les mots du dictionnaire, les dates, les parcours au clavier et le remplissage. Un mot de passe long mais prévisible peut s’effondrer à une recherche de 30 bits qui tombe en quelques secondes.
Pour obtenir une entropie réelle :
- Utilisez un générateur, pas votre imagination. Les humains sont de piètres sources d’aléa.
- Privilégiez la longueur aux symboles exotiques une fois que vous êtes aléatoire — chaque caractère supplémentaire l’emporte sur un alphabet plus sophistiqué.
- Ne le réutilisez jamais. Vérifiez l’exposition sur Have I Been Pwned ; un mot de passe compromis a une entropie effectivement nulle.
Où le quantique s’inscrit
La menace quantique pesant sur un mot de passe robuste et aléatoire de 16 caractères est réelle mais modeste : Grover divise l’exposant par deux, il ne l’élimine pas. Le mécanisme est couvert dans L’algorithme de Grover contre votre mot de passe. Si vous laissez un gestionnaire de mots de passe générer et stocker ces chaînes, vous obtenez gratuitement une entropie complète.