Générateur de phrase de passe

Le générateur de mot de passe compose un mot de passe aléatoire à partir d'un jeu de caractères que vous choisissez, en tirant chaque caractère de la source aléatoire cryptographique du navigateur (crypto.getRandomValues) et non de Math.random. Réglez la longueur de 4 à 128 avec le curseur — 16 par défaut — et activez majuscules, minuscules, chiffres et symboles ; le jeu de symboles est fixe : !@#$%^&*()-_=+[]{};:,.<>?. Une indication approximative Faible / Moyenne / Forte réagit à la longueur et au nombre de types de caractères activés, mais elle n'examine ni les motifs ni les dictionnaires. Rien n'est transmis ni enregistré : un mot de passe généré n'existe que jusqu'au suivant ou jusqu'à ce que vous quittiez la page, copiez-le donc directement dans un gestionnaire. L'outil ne compare pas le résultat à des listes de fuites connues et n'estime pas le temps nécessaire pour le casser.

Le Décodeur et inspecteur JWT lit un JSON Web Token compact dans votre navigateur et vous montre ce qu'il contient. Un JWT compact comporte trois parties séparées par des points — un en-tête, une charge utile et une signature — et chacune des deux premières est un objet JSON encodé en base64url. Cet outil découpe le jeton, décode l'en-tête et la charge utile, les affiche en JSON indenté, et liste les claims enregistrés définis par la RFC 7519 : iss (émetteur), sub (sujet), aud (audience), exp (date d'expiration), nbf (pas valide avant), iat (émis le) et jti (identifiant du JWT), ainsi que les claims personnalisés du jeton. Les trois claims temporels exp, nbf et iat sont aussi convertis depuis leurs secondes NumericDate en une date UTC lisible et en heure locale, et une ligne de statut temporel indique si le jeton est expiré, pas encore valide, actuellement dans sa fenêtre déclarée, ou sans aucune date d'expiration. Ces contrôles utilisent l'horloge de votre appareil. La signature est affichée sous sa forme base64url d'origine et, lorsqu'elle se décode, sa longueur en octets, mais elle n'est jamais contrôlée : cette version ne fait aucune vérification de signature et ne demande jamais de secret ni de clé. Lire un jeton n'est pas la même chose que le vérifier — le décodage montre ce qu'un jeton affirme, pas qui l'a émis ni s'il est digne de confiance, et un jeton qui déclare alg=none ne porte tout simplement aucune signature. Rappel : la charge utile d'un JWT signé standard est encodée, pas chiffrée, donc quiconque détient le jeton peut lire les mêmes claims que vous ici. Tout s'exécute localement : le jeton que vous collez n'est jamais envoyé, journalisé ni stocké où que ce soit. Contrairement au Générateur de mot de passe, qui crée des mots de passe, au Générateur de token sécurisé, qui produit des secrets aléatoires, ou au Générateur d'empreinte SHA et aux outils Base64, qui transforment des données quelconques, cet outil ne fait qu'analyser la structure d'un jeton qui existe déjà.

Le Générateur HMAC calcule un code d'authentification de message à clé (keyed-hash message authentication code) dans votre navigateur. Vous fournissez un message et une clé secrète partagée, choisissez HMAC-SHA-256, HMAC-SHA-384 ou HMAC-SHA-512, et l'outil renvoie le code d'authentification sous deux formes à la fois : hexadécimal minuscule et Base64 standard. Le message comme la clé sont lus en texte UTF-8, donc les accents, les écritures non latines et les emoji sont gérés correctement. Le résultat est déterministe : le même message, la même clé et le même algorithme produisent toujours le même code, et changer un seul caractère de l'une des entrées change tout le résultat. Le HMAC repose sur une fonction de hachage mais, contrairement à un hachage simple, il y mêle une clé secrète — il permet donc à une personne qui détient le même secret de vérifier qu'un message a été créé ou approuvé par une partie qui le détient aussi, et qu'il n'a pas été altéré en transit. Un message vide est accepté (il a un HMAC valide) ; une clé vide ne l'est pas, car la clé est l'essentiel. Un HMAC ne chiffre pas le message : le texte du message n'est jamais masqué ni transformé, seulement résumé en un code de longueur fixe. Un HMAC identique montre seulement une équivalence relative à la clé et au message utilisés ; sa signification dépend entièrement de la façon dont le secret partagé est généré, distribué et stocké. Tout s'exécute localement via l'API Web Crypto du navigateur — le message, la clé et le code ne sont jamais envoyés, journalisés ni stockés où que ce soit. Contrairement au Générateur d'empreinte SHA, qui hache du texte sans clé, au Générateur de token sécurisé, qui produit des secrets aléatoires, ou au Décodeur JWT, qui inspecte un jeton existant, cet outil prend un message et une clé et renvoie un authentificateur à clé.

Le Générateur et testeur de codes TOTP est un outil local de diagnostic pour les mots de passe à usage unique basés sur le temps, les codes à six ou huit chiffres utilisés en authentification à deux facteurs. Il implémente la RFC 6238 (TOTP) au-dessus de la RFC 4226 (HOTP) : vous collez un secret Base32, choisissez l'algorithme de hachage (SHA-1, SHA-256 ou SHA-512), le nombre de chiffres (6 ou 8) et la période (30 ou 60 secondes), et l'outil affiche le code courant avec un compte à rebours vers le suivant. SHA-1 est proposé parce que la RFC 6238 le référence encore largement pour la compatibilité TOTP, pas comme recommandation de hachage générale. Chaque code est obtenu en calculant un HMAC du compteur de temps courant — floor(temps unix / période) — avec votre secret, puis en appliquant l'étape de troncature dynamique de la RFC 4226. Les codes sont calculés entièrement dans votre navigateur via l'API Web Crypto et l'horloge de votre appareil ; l'outil ne synchronise pas l'heure, un code peut donc différer de celui de votre application d'authentification si les deux horloges divergent. Cet outil sert à tester et diagnostiquer des configurations TOTP. Ce n'est pas un remplacement d'application d'authentification, pas une sauvegarde de vos secrets 2FA et pas un endroit où stocker des identifiants de compte : le secret ne vit que dans la page ouverte et n'est jamais envoyé, journalisé ni stocké. Toute personne détenant le même secret TOTP peut générer les mêmes codes, il faut donc traiter le secret avec soin. Contrairement au Générateur HMAC, qui renvoie un authentificateur à clé statique unique pour un message, au Générateur de token sécurisé, qui produit des octets aléatoires, au Décodeur JWT, qui inspecte un jeton existant, ou aux générateurs de mot de passe et de phrase de passe, qui créent de nouveaux identifiants, cet outil transforme un secret partagé basé sur le temps en un code numérique changeant attendu par un vérificateur 2FA.