Générateur de mot de passe

Le Décodeur et inspecteur JWT lit un JSON Web Token compact dans votre navigateur et vous montre ce qu'il contient. Un JWT compact comporte trois parties séparées par des points — un en-tête, une charge utile et une signature — et chacune des deux premières est un objet JSON encodé en base64url. Cet outil découpe le jeton, décode l'en-tête et la charge utile, les affiche en JSON indenté, et liste les claims enregistrés définis par la RFC 7519 : iss (émetteur), sub (sujet), aud (audience), exp (date d'expiration), nbf (pas valide avant), iat (émis le) et jti (identifiant du JWT), ainsi que les claims personnalisés du jeton. Les trois claims temporels exp, nbf et iat sont aussi convertis depuis leurs secondes NumericDate en une date UTC lisible et en heure locale, et une ligne de statut temporel indique si le jeton est expiré, pas encore valide, actuellement dans sa fenêtre déclarée, ou sans aucune date d'expiration. Ces contrôles utilisent l'horloge de votre appareil. La signature est affichée sous sa forme base64url d'origine et, lorsqu'elle se décode, sa longueur en octets, mais elle n'est jamais contrôlée : cette version ne fait aucune vérification de signature et ne demande jamais de secret ni de clé. Lire un jeton n'est pas la même chose que le vérifier — le décodage montre ce qu'un jeton affirme, pas qui l'a émis ni s'il est digne de confiance, et un jeton qui déclare alg=none ne porte tout simplement aucune signature. Rappel : la charge utile d'un JWT signé standard est encodée, pas chiffrée, donc quiconque détient le jeton peut lire les mêmes claims que vous ici. Tout s'exécute localement : le jeton que vous collez n'est jamais envoyé, journalisé ni stocké où que ce soit. Contrairement au Générateur de mot de passe, qui crée des mots de passe, au Générateur de token sécurisé, qui produit des secrets aléatoires, ou au Générateur d'empreinte SHA et aux outils Base64, qui transforment des données quelconques, cet outil ne fait qu'analyser la structure d'un jeton qui existe déjà.

Le Générateur HMAC calcule un code d'authentification de message à clé (keyed-hash message authentication code) dans votre navigateur. Vous fournissez un message et une clé secrète partagée, choisissez HMAC-SHA-256, HMAC-SHA-384 ou HMAC-SHA-512, et l'outil renvoie le code d'authentification sous deux formes à la fois : hexadécimal minuscule et Base64 standard. Le message comme la clé sont lus en texte UTF-8, donc les accents, les écritures non latines et les emoji sont gérés correctement. Le résultat est déterministe : le même message, la même clé et le même algorithme produisent toujours le même code, et changer un seul caractère de l'une des entrées change tout le résultat. Le HMAC repose sur une fonction de hachage mais, contrairement à un hachage simple, il y mêle une clé secrète — il permet donc à une personne qui détient le même secret de vérifier qu'un message a été créé ou approuvé par une partie qui le détient aussi, et qu'il n'a pas été altéré en transit. Un message vide est accepté (il a un HMAC valide) ; une clé vide ne l'est pas, car la clé est l'essentiel. Un HMAC ne chiffre pas le message : le texte du message n'est jamais masqué ni transformé, seulement résumé en un code de longueur fixe. Un HMAC identique montre seulement une équivalence relative à la clé et au message utilisés ; sa signification dépend entièrement de la façon dont le secret partagé est généré, distribué et stocké. Tout s'exécute localement via l'API Web Crypto du navigateur — le message, la clé et le code ne sont jamais envoyés, journalisés ni stockés où que ce soit. Contrairement au Générateur d'empreinte SHA, qui hache du texte sans clé, au Générateur de token sécurisé, qui produit des secrets aléatoires, ou au Décodeur JWT, qui inspecte un jeton existant, cet outil prend un message et une clé et renvoie un authentificateur à clé.

Le Générateur de phrase de passe construit une phrase de passe façon Diceware dans votre navigateur : une courte suite de mots courants tirés au hasard, en général plus facile à mémoriser et à saisir qu'une chaîne de caractères aléatoires. Il puise dans l'EFF Large Wordlist, une liste fixe de 7 776 mots anglais publiée par l'Electronic Frontier Foundation et utilisée ici sous licence CC BY 3.0. Vous choisissez le nombre de mots (4 à 10, 6 par défaut), le séparateur entre eux (trait d'union, espace, tiret bas ou point) et si chaque mot reste en minuscules ou prend une capitale initiale. Chaque mot est sélectionné indépendamment à l'aide du générateur de nombres aléatoires cryptographiquement sûr du navigateur, avec remise — un même mot peut donc apparaître deux fois, exactement comme le permet le Diceware classique, et la liste n'est jamais dédupliquée au moment de l'exécution. L'outil affiche une estimation factuelle de l'entropie de sélection aléatoire, calculée comme le nombre de mots multiplié par le logarithme en base 2 de la taille de la liste (environ 12,9 bits par mot pour 7 776 mots, soit à peu près 77,5 bits pour six mots). Ce chiffre décrit seulement la taille de l'espace des tirages uniformes et indépendants dans cette liste ; ce n'est pas un temps de cassage, il ne dit rien de la façon dont vous stockez ou réutilisez la phrase de passe, et une phrase de passe n'est pas automatiquement sûre parce qu'elle compte plus de mots. Rien n'est envoyé nulle part : la liste de mots est intégrée à la page, la génération se fait entièrement dans votre navigateur, et la phrase de passe, les options et le chiffre d'entropie ne sont jamais envoyés, journalisés ni stockés. Contrairement au Générateur de mot de passe, qui construit une chaîne de caractères aléatoires, au Générateur de token sécurisé, qui produit des octets aléatoires pour des secrets techniques, au Décodeur JWT, qui inspecte un jeton existant, ou au Générateur HMAC, qui authentifie un message avec une clé, cet outil assemble des mots de dictionnaire choisis indépendamment.

Le Générateur et testeur de codes TOTP est un outil local de diagnostic pour les mots de passe à usage unique basés sur le temps, les codes à six ou huit chiffres utilisés en authentification à deux facteurs. Il implémente la RFC 6238 (TOTP) au-dessus de la RFC 4226 (HOTP) : vous collez un secret Base32, choisissez l'algorithme de hachage (SHA-1, SHA-256 ou SHA-512), le nombre de chiffres (6 ou 8) et la période (30 ou 60 secondes), et l'outil affiche le code courant avec un compte à rebours vers le suivant. SHA-1 est proposé parce que la RFC 6238 le référence encore largement pour la compatibilité TOTP, pas comme recommandation de hachage générale. Chaque code est obtenu en calculant un HMAC du compteur de temps courant — floor(temps unix / période) — avec votre secret, puis en appliquant l'étape de troncature dynamique de la RFC 4226. Les codes sont calculés entièrement dans votre navigateur via l'API Web Crypto et l'horloge de votre appareil ; l'outil ne synchronise pas l'heure, un code peut donc différer de celui de votre application d'authentification si les deux horloges divergent. Cet outil sert à tester et diagnostiquer des configurations TOTP. Ce n'est pas un remplacement d'application d'authentification, pas une sauvegarde de vos secrets 2FA et pas un endroit où stocker des identifiants de compte : le secret ne vit que dans la page ouverte et n'est jamais envoyé, journalisé ni stocké. Toute personne détenant le même secret TOTP peut générer les mêmes codes, il faut donc traiter le secret avec soin. Contrairement au Générateur HMAC, qui renvoie un authentificateur à clé statique unique pour un message, au Générateur de token sécurisé, qui produit des octets aléatoires, au Décodeur JWT, qui inspecte un jeton existant, ou aux générateurs de mot de passe et de phrase de passe, qui créent de nouveaux identifiants, cet outil transforme un secret partagé basé sur le temps en un code numérique changeant attendu par un vérificateur 2FA.