La réponse courte : nous avons créé un générateur de mots de passe gratuit qui produit des mots de passe et des phrases secrètes aléatoires et robustes, entièrement dans votre navigateur. Rien n’est généré sur un serveur, rien n’est journalisé, et il continue de fonctionner une fois votre connexion internet coupée. Pas de compte, pas de publicité, pas de pistage. Il est gratuit pour tout le monde, que vous utilisiez OutVault un jour ou non.
C’est le premier de ce que nous appelons les outils pour la communauté — de petites choses gratuites et réellement utiles que nous construisons et offrons. Voici l’histoire de celui-ci.
Pourquoi nous l’avons créé
En construisant OutVault, nous générons beaucoup de mots de passe — pour des comptes de test, pour les services que l’équipe utilise, pour le coffre lui-même. Comme la plupart des gens, nous tapions « générateur de mots de passe » dans un moteur de recherche et utilisions le premier résultat venu.
Puis nous avons réalisé ce que nous étions vraiment en train de faire : demander à un site web inconnu d’inventer un secret à notre place. La plupart des générateurs en ligne sont corrects. Mais « la plupart » et « corrects » sont des mots étranges à accepter pour la chaîne de caractères qui garde votre messagerie. Si le mot de passe est créé sur le serveur de quelqu’un, vous faites confiance à ce serveur pour ne pas le journaliser. Si la page est truffée de traceurs, vous faites aussi confiance à chacun d’eux. Impossible de le vérifier de l’extérieur — tout repose sur la confiance.
C’est exactement le problème qu’OutVault existe pour éliminer du stockage de fichiers. Alors nous avons construit le générateur comme nous construisons le coffre : il ne doit pas avoir besoin de votre confiance, parce qu’il n’a jamais l’occasion de la trahir.
Que veut dire « ne passe par aucun serveur » ?
Le générateur est une page de code qui s’exécute sur votre appareil. Quand vous appuyez sur « New », votre propre navigateur tire de l’aléa de crypto.getRandomValues — la source cryptographique qu’utilisent les gestionnaires de mots de passe — et assemble le mot de passe directement sur votre écran.
Il n’y a aucune requête pour générer. Aucune requête quand vous copiez. Aucune mesure d’audience attachée à la valeur. Et vous n’avez pas à nous croire sur parole, et c’est la partie qui nous tient le plus à cœur :
- Ouvrez l’onglet réseau de votre navigateur et générez quelques mots de passe. Rien n’est envoyé.
- Ou chargez la page, passez en mode avion et continuez à générer. Ça fonctionne, parce qu’il n’y a rien à l’autre bout.
Quelques détails que nous avons soignés parce qu’ils comptent :
- Aucun biais de modulo. Les caractères sont tirés par échantillonnage par rejet (rejection sampling), donc chaque caractère est exactement équiprobable. Les générateurs naïfs penchent légèrement vers le début de l’alphabet. Pas le nôtre.
- Les phrases secrètes utilisent la liste de mots de l’EFF — 1 296 mots choisis par l’Electronic Frontier Foundation pour être mémorisables et faciles à taper. Cinq mots aléatoires vous donnent environ 52 bits d’entropie, et quelque chose que vous pouvez réellement retenir.
- Chaque option est honnête. L’indicateur de robustesse affiche de vrais bits d’entropie, pas une barre verte rassurante. Huit caractères affiche « Fair » — passable — parce que huit caractères, c’est passable.
Les limites, honnêtement
Un générateur résout exactement un problème : inventer un secret robuste. Il ne fait rien contre les problèmes plus difficiles. Un mot de passe robuste réutilisé sur plusieurs sites tombe avec le premier site qui fuit. Un mot de passe robuste tapé sur une page d’hameçonnage est perdu en une frappe. Et un mot de passe robuste gardé dans un fichier texte sur votre bureau n’est confidentiel que dans la mesure où ce bureau l’est.
La génération est l’étape facile. Le stockage est le vrai problème — et celui-là, nous y travaillons ailleurs.
Pourquoi gratuit, et la suite
Parce que cela ne nous coûte presque rien à offrir, et parce que c’est le genre d’internet que nous préférons : de petits outils qui font une seule chose correctement, s’expliquent, et ne vous prennent rien en retour. Si le générateur est la seule chose d’OutVault que vous utilisez jamais, c’est un très bon résultat.
D’autres outils pour la communauté suivront quand nous en trouverons qui valent la peine d’être construits. S’il existe un petit outil de confidentialité dont vous rêvez, dites-le-nous — les meilleures idées jusqu’ici sont venues de personnes qui utilisent nos outils d’une manière que nous n’avions pas prévue.
Questions fréquentes
Est-ce vraiment gratuit ? Où est le piège ?
Gratuit, sans piège. Pas de compte, pas d’e-mail, pas de version premium du générateur. C’est une page statique — elle ne nous coûte presque rien à héberger, et c’est notre façon d’être utiles aux personnes qui tiennent aux mêmes choses que nous.
Le générateur fonctionne-t-il hors ligne ?
Oui. Une fois la page chargée, vous pouvez couper votre connexion et générer autant de mots de passe que vous voulez. C’est la preuve la plus simple que rien ne quitte votre appareil.
Où conserver les mots de passe générés ?
Dans un gestionnaire de mots de passe ou un coffre chiffré — n’importe où, sauf dans une note en clair ou un mot de passe réutilisé de mémoire. OutVault stocke les mots de passe chiffrés de bout en bout, scellés sur votre appareil avant toute synchronisation, et l’application gratuite le fait sur Windows, Android et Chrome. Mais n’importe quel gestionnaire de mots de passe sérieux vaut mieux que pas de gestionnaire du tout.