Générateur HMAC

Le générateur de mot de passe compose un mot de passe aléatoire à partir d'un jeu de caractères que vous choisissez, en tirant chaque caractère de la source aléatoire cryptographique du navigateur (crypto.getRandomValues) et non de Math.random. Réglez la longueur de 4 à 128 avec le curseur — 16 par défaut — et activez majuscules, minuscules, chiffres et symboles ; le jeu de symboles est fixe : !@#$%^&*()-_=+[]{};:,.<>?. Une indication approximative Faible / Moyenne / Forte réagit à la longueur et au nombre de types de caractères activés, mais elle n'examine ni les motifs ni les dictionnaires. Rien n'est transmis ni enregistré : un mot de passe généré n'existe que jusqu'au suivant ou jusqu'à ce que vous quittiez la page, copiez-le donc directement dans un gestionnaire. L'outil ne compare pas le résultat à des listes de fuites connues et n'estime pas le temps nécessaire pour le casser.

Le Décodeur et inspecteur JWT lit un JSON Web Token compact dans votre navigateur et vous montre ce qu'il contient. Un JWT compact comporte trois parties séparées par des points — un en-tête, une charge utile et une signature — et chacune des deux premières est un objet JSON encodé en base64url. Cet outil découpe le jeton, décode l'en-tête et la charge utile, les affiche en JSON indenté, et liste les claims enregistrés définis par la RFC 7519 : iss (émetteur), sub (sujet), aud (audience), exp (date d'expiration), nbf (pas valide avant), iat (émis le) et jti (identifiant du JWT), ainsi que les claims personnalisés du jeton. Les trois claims temporels exp, nbf et iat sont aussi convertis depuis leurs secondes NumericDate en une date UTC lisible et en heure locale, et une ligne de statut temporel indique si le jeton est expiré, pas encore valide, actuellement dans sa fenêtre déclarée, ou sans aucune date d'expiration. Ces contrôles utilisent l'horloge de votre appareil. La signature est affichée sous sa forme base64url d'origine et, lorsqu'elle se décode, sa longueur en octets, mais elle n'est jamais contrôlée : cette version ne fait aucune vérification de signature et ne demande jamais de secret ni de clé. Lire un jeton n'est pas la même chose que le vérifier — le décodage montre ce qu'un jeton affirme, pas qui l'a émis ni s'il est digne de confiance, et un jeton qui déclare alg=none ne porte tout simplement aucune signature. Rappel : la charge utile d'un JWT signé standard est encodée, pas chiffrée, donc quiconque détient le jeton peut lire les mêmes claims que vous ici. Tout s'exécute localement : le jeton que vous collez n'est jamais envoyé, journalisé ni stocké où que ce soit. Contrairement au Générateur de mot de passe, qui crée des mots de passe, au Générateur de token sécurisé, qui produit des secrets aléatoires, ou au Générateur d'empreinte SHA et aux outils Base64, qui transforment des données quelconques, cet outil ne fait qu'analyser la structure d'un jeton qui existe déjà.

Le Générateur de phrase de passe construit une phrase de passe façon Diceware dans votre navigateur : une courte suite de mots courants tirés au hasard, en général plus facile à mémoriser et à saisir qu'une chaîne de caractères aléatoires. Il puise dans l'EFF Large Wordlist, une liste fixe de 7 776 mots anglais publiée par l'Electronic Frontier Foundation et utilisée ici sous licence CC BY 3.0. Vous choisissez le nombre de mots (4 à 10, 6 par défaut), le séparateur entre eux (trait d'union, espace, tiret bas ou point) et si chaque mot reste en minuscules ou prend une capitale initiale. Chaque mot est sélectionné indépendamment à l'aide du générateur de nombres aléatoires cryptographiquement sûr du navigateur, avec remise — un même mot peut donc apparaître deux fois, exactement comme le permet le Diceware classique, et la liste n'est jamais dédupliquée au moment de l'exécution. L'outil affiche une estimation factuelle de l'entropie de sélection aléatoire, calculée comme le nombre de mots multiplié par le logarithme en base 2 de la taille de la liste (environ 12,9 bits par mot pour 7 776 mots, soit à peu près 77,5 bits pour six mots). Ce chiffre décrit seulement la taille de l'espace des tirages uniformes et indépendants dans cette liste ; ce n'est pas un temps de cassage, il ne dit rien de la façon dont vous stockez ou réutilisez la phrase de passe, et une phrase de passe n'est pas automatiquement sûre parce qu'elle compte plus de mots. Rien n'est envoyé nulle part : la liste de mots est intégrée à la page, la génération se fait entièrement dans votre navigateur, et la phrase de passe, les options et le chiffre d'entropie ne sont jamais envoyés, journalisés ni stockés. Contrairement au Générateur de mot de passe, qui construit une chaîne de caractères aléatoires, au Générateur de token sécurisé, qui produit des octets aléatoires pour des secrets techniques, au Décodeur JWT, qui inspecte un jeton existant, ou au Générateur HMAC, qui authentifie un message avec une clé, cet outil assemble des mots de dictionnaire choisis indépendamment.

Le Générateur et testeur de codes TOTP est un outil local de diagnostic pour les mots de passe à usage unique basés sur le temps, les codes à six ou huit chiffres utilisés en authentification à deux facteurs. Il implémente la RFC 6238 (TOTP) au-dessus de la RFC 4226 (HOTP) : vous collez un secret Base32, choisissez l'algorithme de hachage (SHA-1, SHA-256 ou SHA-512), le nombre de chiffres (6 ou 8) et la période (30 ou 60 secondes), et l'outil affiche le code courant avec un compte à rebours vers le suivant. SHA-1 est proposé parce que la RFC 6238 le référence encore largement pour la compatibilité TOTP, pas comme recommandation de hachage générale. Chaque code est obtenu en calculant un HMAC du compteur de temps courant — floor(temps unix / période) — avec votre secret, puis en appliquant l'étape de troncature dynamique de la RFC 4226. Les codes sont calculés entièrement dans votre navigateur via l'API Web Crypto et l'horloge de votre appareil ; l'outil ne synchronise pas l'heure, un code peut donc différer de celui de votre application d'authentification si les deux horloges divergent. Cet outil sert à tester et diagnostiquer des configurations TOTP. Ce n'est pas un remplacement d'application d'authentification, pas une sauvegarde de vos secrets 2FA et pas un endroit où stocker des identifiants de compte : le secret ne vit que dans la page ouverte et n'est jamais envoyé, journalisé ni stocké. Toute personne détenant le même secret TOTP peut générer les mêmes codes, il faut donc traiter le secret avec soin. Contrairement au Générateur HMAC, qui renvoie un authentificateur à clé statique unique pour un message, au Générateur de token sécurisé, qui produit des octets aléatoires, au Décodeur JWT, qui inspecte un jeton existant, ou aux générateurs de mot de passe et de phrase de passe, qui créent de nouveaux identifiants, cet outil transforme un secret partagé basé sur le temps en un code numérique changeant attendu par un vérificateur 2FA.