Générateur et testeur de codes TOTP

Le générateur de mot de passe compose un mot de passe aléatoire à partir d'un jeu de caractères que vous choisissez, en tirant chaque caractère de la source aléatoire cryptographique du navigateur (crypto.getRandomValues) et non de Math.random. Réglez la longueur de 4 à 128 avec le curseur — 16 par défaut — et activez majuscules, minuscules, chiffres et symboles ; le jeu de symboles est fixe : !@#$%^&*()-_=+[]{};:,.<>?. Une indication approximative Faible / Moyenne / Forte réagit à la longueur et au nombre de types de caractères activés, mais elle n'examine ni les motifs ni les dictionnaires. Rien n'est transmis ni enregistré : un mot de passe généré n'existe que jusqu'au suivant ou jusqu'à ce que vous quittiez la page, copiez-le donc directement dans un gestionnaire. L'outil ne compare pas le résultat à des listes de fuites connues et n'estime pas le temps nécessaire pour le casser.

Le Décodeur et inspecteur JWT lit un JSON Web Token compact dans votre navigateur et vous montre ce qu'il contient. Un JWT compact comporte trois parties séparées par des points — un en-tête, une charge utile et une signature — et chacune des deux premières est un objet JSON encodé en base64url. Cet outil découpe le jeton, décode l'en-tête et la charge utile, les affiche en JSON indenté, et liste les claims enregistrés définis par la RFC 7519 : iss (émetteur), sub (sujet), aud (audience), exp (date d'expiration), nbf (pas valide avant), iat (émis le) et jti (identifiant du JWT), ainsi que les claims personnalisés du jeton. Les trois claims temporels exp, nbf et iat sont aussi convertis depuis leurs secondes NumericDate en une date UTC lisible et en heure locale, et une ligne de statut temporel indique si le jeton est expiré, pas encore valide, actuellement dans sa fenêtre déclarée, ou sans aucune date d'expiration. Ces contrôles utilisent l'horloge de votre appareil. La signature est affichée sous sa forme base64url d'origine et, lorsqu'elle se décode, sa longueur en octets, mais elle n'est jamais contrôlée : cette version ne fait aucune vérification de signature et ne demande jamais de secret ni de clé. Lire un jeton n'est pas la même chose que le vérifier — le décodage montre ce qu'un jeton affirme, pas qui l'a émis ni s'il est digne de confiance, et un jeton qui déclare alg=none ne porte tout simplement aucune signature. Rappel : la charge utile d'un JWT signé standard est encodée, pas chiffrée, donc quiconque détient le jeton peut lire les mêmes claims que vous ici. Tout s'exécute localement : le jeton que vous collez n'est jamais envoyé, journalisé ni stocké où que ce soit. Contrairement au Générateur de mot de passe, qui crée des mots de passe, au Générateur de token sécurisé, qui produit des secrets aléatoires, ou au Générateur d'empreinte SHA et aux outils Base64, qui transforment des données quelconques, cet outil ne fait qu'analyser la structure d'un jeton qui existe déjà.

Le Générateur HMAC calcule un code d'authentification de message à clé (keyed-hash message authentication code) dans votre navigateur. Vous fournissez un message et une clé secrète partagée, choisissez HMAC-SHA-256, HMAC-SHA-384 ou HMAC-SHA-512, et l'outil renvoie le code d'authentification sous deux formes à la fois : hexadécimal minuscule et Base64 standard. Le message comme la clé sont lus en texte UTF-8, donc les accents, les écritures non latines et les emoji sont gérés correctement. Le résultat est déterministe : le même message, la même clé et le même algorithme produisent toujours le même code, et changer un seul caractère de l'une des entrées change tout le résultat. Le HMAC repose sur une fonction de hachage mais, contrairement à un hachage simple, il y mêle une clé secrète — il permet donc à une personne qui détient le même secret de vérifier qu'un message a été créé ou approuvé par une partie qui le détient aussi, et qu'il n'a pas été altéré en transit. Un message vide est accepté (il a un HMAC valide) ; une clé vide ne l'est pas, car la clé est l'essentiel. Un HMAC ne chiffre pas le message : le texte du message n'est jamais masqué ni transformé, seulement résumé en un code de longueur fixe. Un HMAC identique montre seulement une équivalence relative à la clé et au message utilisés ; sa signification dépend entièrement de la façon dont le secret partagé est généré, distribué et stocké. Tout s'exécute localement via l'API Web Crypto du navigateur — le message, la clé et le code ne sont jamais envoyés, journalisés ni stockés où que ce soit. Contrairement au Générateur d'empreinte SHA, qui hache du texte sans clé, au Générateur de token sécurisé, qui produit des secrets aléatoires, ou au Décodeur JWT, qui inspecte un jeton existant, cet outil prend un message et une clé et renvoie un authentificateur à clé.

Le Générateur de phrase de passe construit une phrase de passe façon Diceware dans votre navigateur : une courte suite de mots courants tirés au hasard, en général plus facile à mémoriser et à saisir qu'une chaîne de caractères aléatoires. Il puise dans l'EFF Large Wordlist, une liste fixe de 7 776 mots anglais publiée par l'Electronic Frontier Foundation et utilisée ici sous licence CC BY 3.0. Vous choisissez le nombre de mots (4 à 10, 6 par défaut), le séparateur entre eux (trait d'union, espace, tiret bas ou point) et si chaque mot reste en minuscules ou prend une capitale initiale. Chaque mot est sélectionné indépendamment à l'aide du générateur de nombres aléatoires cryptographiquement sûr du navigateur, avec remise — un même mot peut donc apparaître deux fois, exactement comme le permet le Diceware classique, et la liste n'est jamais dédupliquée au moment de l'exécution. L'outil affiche une estimation factuelle de l'entropie de sélection aléatoire, calculée comme le nombre de mots multiplié par le logarithme en base 2 de la taille de la liste (environ 12,9 bits par mot pour 7 776 mots, soit à peu près 77,5 bits pour six mots). Ce chiffre décrit seulement la taille de l'espace des tirages uniformes et indépendants dans cette liste ; ce n'est pas un temps de cassage, il ne dit rien de la façon dont vous stockez ou réutilisez la phrase de passe, et une phrase de passe n'est pas automatiquement sûre parce qu'elle compte plus de mots. Rien n'est envoyé nulle part : la liste de mots est intégrée à la page, la génération se fait entièrement dans votre navigateur, et la phrase de passe, les options et le chiffre d'entropie ne sont jamais envoyés, journalisés ni stockés. Contrairement au Générateur de mot de passe, qui construit une chaîne de caractères aléatoires, au Générateur de token sécurisé, qui produit des octets aléatoires pour des secrets techniques, au Décodeur JWT, qui inspecte un jeton existant, ou au Générateur HMAC, qui authentifie un message avec une clé, cet outil assemble des mots de dictionnaire choisis indépendamment.