Calculateur de sécurité OTP.
Configurez un système de mot de passe à usage unique (longueur, caractères, expiration et nombre de tentatives) et visualisez l'espace des combinaisons exact, l'entropie (en bits), la probabilité de succès, la résistance aux attaques par force brute et un indice de robustesse assorti de conseils concrets pour le renforcer. Les calculs sont précis et s'effectuent entièrement dans votre navigateur.
Nombre de chiffres ou de caractères dans le code (4–12).
Taille de l'alphabet: 10
Durée de validité du code avant son renouvellement ou son expiration.
Nombre de tentatives de vérification autorisées avant le verrouillage ou l'invalidation du code.
Taux de devinettes automatiques estimé. Utilisé uniquement pour estimer le temps de recherche par force brute ; laisser vide si inconnu.
La limite de tentatives plafonne un véritable attaquant à 5 — le verrouillage, et non le taux, est la contrainte contraignante.
- Très forte — 1 sur 1 000 000 ou mieux (conforme à la cible de référence du NIST)
- Solide — meilleur que 1 sur 100 000
- Passable — mieux que 1 sur 10 000
- Faible — pire que 1 sur 10 000
Cette évaluation (faible/moyen/fort/très fort) est propre à l'outil et ne repose pas sur une norme externe. Elle calcule la probabilité de trouver la bonne réponse dans la limite de tentatives autorisées, en fonction des seuils indiqués ci-dessous. L'espace des combinaisons, l'entropie et les probabilités sont calculés mathématiquement.
- Les codes OTP numériques sont la norme pour les SMS et sont faciles à utiliser, mais leur format court implique que la sécurité repose sur la limitation du nombre de requêtes et une courte durée de validité, et non sur le code lui-même. Veillez à ce que ces deux éléments soient concis.
- Imposer un verrouillage strict côté serveur après quelques tentatives infructueuses. Sans cela, la « probabilité dans la limite des tentatives » mentionnée plus haut n'a plus aucun sens et l'ensemble de l'espace devient vulnérable aux attaques par force brute.
- Réduisez la durée de validité. Un code valide pendant plusieurs minutes laisse à un attaquant beaucoup plus de temps pour le deviner qu'un code valide pendant 30 à 60 secondes.
- Pour les actions sensibles comme les paiements ou la récupération de compte, ajoutez la liaison d'appareil, l'authentification renforcée ou un deuxième facteur. Un mot de passe à usage unique (OTP) est un secret partagé unique sur un seul canal.
La réponse courte
À quel point un couple idéal est-il vraiment fort ?
La robustesse brute d'un mot de passe à usage unique (OTP) réside dans son espace de combinaisons : la taille de l'alphabet élevée à la longueur du code. Un code numérique à 6 chiffres possède un million de combinaisons et environ 19,9 bits d'entropie, une valeur négligeable selon les normes cryptographiques. Sa véritable sécurité ne repose pas sur le code lui-même, mais sur les mécanismes de contrôle qui l'entourent : une limite stricte de tentatives avant blocage et une courte durée de validité. Avec un blocage à 5 tentatives, la probabilité de deviner un code à 6 chiffres est de 5 sur 1 000 000, soit environ 1 sur 200 000. Sans blocage, ce même code est deviné en quelques secondes. Cet outil calcule à la fois les probabilités brutes et les probabilités pratiques, limitées par le blocage, afin que vous puissiez identifier précisément l'origine de la sécurité de votre système.
Les mathématiques derrière la force OTP
Le nombre total de combinaisons est égal à la longueur du caractère alphabétique, calculée avec précision grâce à l'arithmétique des grands entiers, ce qui permet d'afficher les espaces les plus importants au chiffre près. L'entropie en bits est égale à la longueur multipliée par log₂(alphabet) ; chaque caractère supplémentaire ajoute log₂(alphabet) bits. La probabilité de trouver une combinaison au hasard est de 1 ÷ combinaisons. Avec une limite de N tentatives, la probabilité de trouver au moins une combinaison est approximativement de N ÷ combinaisons, que nous exprimons clairement par « 1 sur X » suivi d'un pourcentage. Si vous fournissez un taux d'attaque supposé, le temps nécessaire pour essayer tous les codes est égal à combinaisons ÷ taux, et le temps moyen pour trouver une combinaison est la moitié de ce temps. Cependant, un véritable attaquant est arrêté en premier lieu par le blocage des tentatives ou l'expiration du code.
Que dit la norme NIST 800-63B ?
La publication spéciale 800-63B du NIST considère un mot de passe à usage unique (OTP) court comme un secret à faible entropie dont la sécurité repose sur la limitation du nombre de tentatives, et non sur sa longueur. Elle recommande aux vérificateurs de limiter le nombre de tentatives d'authentification infructueuses et préconise de maintenir la probabilité de réussite d'une tentative en ligne, pendant toute la durée de vie de l'authentificateur, en dessous d'une chance sur un million. Autrement dit, un code à six chiffres n'est acceptable que parce que le vérificateur limite les tentatives et fait expirer rapidement le code ; sa longueur seule ne garantit pas sa sécurité. Le niveau « très fort » de cet outil correspond à cet objectif d'une chance sur un million ; les intitulés des niveaux sont basés sur notre propre heuristique et non sur une classification du NIST.
Comparaison des schémas OTP courants
Voici les chiffres exacts pour des configurations typiques, en supposant un verrouillage après 5 tentatives. Des codes plus longs ou avec un alphabet plus grand offrent une marge de sécurité, mais c'est la limite de tentatives qui joue le rôle le plus important.
| Schème | Combinaisons | Entropie | Chance en 5 tentatives |
|---|---|---|---|
| Numérique à 4 chiffres | 10,000 | 13.3 morceaux | 1 dans 2,000 |
| Numérique à 6 chiffres | 1,000,000 | 19.9 morceaux | 1 dans 200,000 |
| Numérique à 8 chiffres | 100,000,000 | 26.6 morceaux | 1 dans 20,000,000 |
| Alphanumérique (6 car.) | 2,176,782,336 | 31.0 morceaux | 1 dans 435,356,467 |
| Alphanumérique (8 car., sensible à la casse) | 218,340,105,584,896 | 47.6 morceaux | 1 dans 43,668,021,116,979 |
Questions fréquentes
Un code OTP à 6 chiffres est-il sécurisé ?
Pris individuellement, non : un code numérique à 6 chiffres ne possède qu’un million de combinaisons et environ 19,9 bits d’entropie. En pratique, sa sécurité est assurée par une limite stricte de tentatives et une courte durée de validité : avec un verrouillage à 5 tentatives, la probabilité de le deviner est d’environ 1 sur 200 000. Sans ce verrouillage, il est vulnérable à une attaque par force brute en quelques secondes. La sécurité repose sur les mécanismes de contrôle, et non sur les chiffres eux-mêmes.
Comment calcule-t-on l'entropie OTP ?
L'entropie en bits est égale à la longueur du code multipliée par le logarithme en base 2 de la taille de l'alphabet. Un code numérique à 6 chiffres occupe 6 × log₂(10) ≈ 19,9 bits ; un code alphanumérique sensible à la casse de 8 caractères occupe 8 × log₂(62) ≈ 47,6 bits. Chaque caractère ajouté ajoute log₂(alphabet) bits supplémentaires.
Pourquoi le nombre de tentatives est-il plus important que la longueur ?
Les mots de passe à usage unique (OTP) en ligne sont devinés requête par requête, et non calculés hors ligne. Si le vérificateur bloque le compte après cinq tentatives infructueuses, un attaquant ne dispose que de cinq chances au maximum de deviner l'ensemble des combinaisons possibles, quelle que soit sa vitesse d'envoi des requêtes. Ce simple contrôle réduit la probabilité de succès d'un code à un million de combinaisons à environ une chance sur 200 000. Sans ce contrôle, le même code n'offre quasiment aucune protection.
Un code plus long ou alphanumérique serait-il utile ?
Cela augmente l'entropie et réduit les probabilités de deviner, ce qui est avantageux pour les flux importants ou lorsque la limitation de débit est faible. Cependant, cela nuit également à l'ergonomie : les codes longs et comportant des majuscules et des minuscules sont plus difficiles à saisir et plus sujets aux erreurs par SMS ou appel vocal. Pour la plupart des flux, un code numérique à 6 chiffres avec un verrouillage strict et une courte durée de validité représente un bon compromis ; les codes plus longs sont réservés aux actions à haut risque.
Que signifie l'indice de force ?
Il s'agit de l'heuristique propre à cet outil, et non d'une norme externe. Elle évalue la probabilité de réussite dans la limite de tentatives configurée : une probabilité de 1 sur 1 000 000 ou plus est considérée comme « très forte » (conforme à la norme NIST), une probabilité supérieure à 1 sur 100 000 est considérée comme « forte », une probabilité supérieure à 1 sur 10 000 est considérée comme « acceptable », et toute probabilité inférieure est considérée comme « faible ». L'espace des combinaisons, l'entropie et les probabilités sous-jacents sont calculés mathématiquement avec précision.
Cet outil envoie-t-il ma configuration quelque part ?
Non. Tous les calculs sont effectués dans votre navigateur, en utilisant l'arithmétique des grands entiers pour l'espace des combinaisons. Aucune donnée n'est transmise, enregistrée ou stockée. Vous pouvez vous déconnecter du réseau, cela continue de fonctionner.
Codes de vérification (OTP) par SMS et voix, avec limitation de débit et expiration intégrées.
Vérification clé en main : la livraison, les tentatives et la limitation de débit sont gérées pour vous.
Des réponses directes sur l'OTP, la 2FA et la sécurité de la messagerie.
Démarrage rapide, TypeScript SDK, références et outils.
Intégrer un mot de passe à usage unique (OTP) dans votre produit ?
BroadNet envoie des codes d'accès à usage unique par SMS et appel vocal, avec des contrôles de limitation de débit, d'expiration et de distribution garantissant la sécurité des codes courts. Contactez notre équipe pour discuter de votre processus de vérification.