Diceware expliqué : origines, sécurité et création manuelle de votre phrase de passe

Diceware reste l'un des meilleurs exemples de sécurité réellement utilisable. Au lieu de demander aux gens d'inventer un mot de passe « malin », la méthode consiste à choisir des mots au hasard dans une liste fixe.

C'est précisément ce passage de la créativité à l'aléatoire qui explique pourquoi Diceware tient toujours aussi bien la route.

D'où vient Diceware

Diceware a été conçu par Arnold G. Reinhold comme une méthode pratique pour créer, avec des dés physiques et une liste numérotée, des phrases de passe mémorisables et riches en entropie.

L'idée de base est simple : si les mots sont réellement choisis au hasard, quelques mots ordinaires peuvent former un secret très solide.

Pourquoi cela fonctionne

La sécurité de Diceware vient du tirage aléatoire, pas d'une jolie formule ni d'un sens caché. Chaque mot ajoute une nouvelle portion d'entropie.

Une phrase de passe bien générée de 5 ou 6 mots peut être à la fois mémorisable et très résistante aux tentatives de devinette, surtout face aux mots de passe courts que beaucoup improvisent encore.

Comment créer votre propre phrase de passe

1. Prenez cinq dés à six faces, ou lancez un seul dé cinq fois pour chaque mot.
2. Notez le résultat à cinq chiffres, par exemple 43126.
3. Cherchez ce nombre dans une liste — pour le français, la liste diceware-fr-alt (.txt) proposée sur passwords.lu (même format à cinq chiffres) ; en anglais, la liste longue de l'EFF (.txt) — puis notez le mot correspondant.
4. Répétez l'opération jusqu'à obtenir le nombre de mots voulu.
5. Conservez les mots exactement dans l'ordre tiré.

Pourquoi la taille de la liste compte

Une liste Diceware correcte contient exactement 7 776 mots — soit 6⁵, une entrée pour chaque combinaison possible de cinq dés. Avec autant de mots, chaque tirage apporte environ 12,9 bits d'entropie. Cinq mots donnent environ 64 bits ; six mots environ 77 bits — largement au-delà de ce que les attaquants peuvent casser hors ligne à un coût raisonnable.

Les listes plus courtes brisent silencieusement cette garantie. Une liste de 1 000 mots ramène chaque tirage à seulement 10 bits, et une phrase de cinq mots devient aussi fragile qu'un mauvais mot de passe aléatoire — même si elle ressemble à une vraie phrase Diceware.

Lorsque vous lancez les dés manuellement, utilisez une liste que vous pouvez vérifier. Voici quatre listes reconnues à 7 776 entrées qui respectent ce standard :

• Liste longue de l'EFF (.txt) — anglais, 7 776 mots, par l'Electronic Frontier Foundation
• diceware-fr-alt (.txt) — français, 7 776 mots, par Arthur Pons (licence MIT)
• wordlist_de (.txt) — allemand, 7 776 mots, projet ulif/diceware
• wordlist_es (.txt) — espagnol, 7 776 mots, projet ulif/diceware (adapté)

Combien de mots utiliser ?

• 4 mots : acceptable seulement pour des cas de faible valeur
• 5 mots : bonne base moderne
• 6 mots : meilleur choix par défaut pour une phrase de passe importante
• 7 mots ou plus : marge supplémentaire si la longueur ne vous dérange pas

Dés physiques ou génération numérique

Les dés physiques sont excellents si vous voulez un processus totalement transparent et hors ligne. C'est plus lent, mais très facile à auditer et à expliquer.

Un générateur de phrases de passe local dans le navigateur est bien plus pratique au quotidien, surtout s'il s'appuie sur des listes fixes et un aléa cryptographiquement sûr.

Essayez le Générateur Diceware Manuel

Si vous voulez que la recherche soit faite pour vous sans renoncer au processus manuel, essayez le Générateur Diceware Manuel sur passwords.lu. Lancez vos dés, saisissez chaque code à cinq chiffres et l'outil trouve le mot correspondant instantanément — entièrement dans votre navigateur, sans rien envoyer à un serveur.

Il prend en charge les quatre listes — anglais, français, allemand et espagnol — pour que vous puissiez travailler dans votre langue maternelle. Vous pouvez aussi utiliser le simulateur de dés intégré pour vous entraîner, puis passer aux dés physiques le moment venu.

Faut-il télécharger les listes de mots ?

Oui — et la langue que vous choisissez compte plus qu'on ne le croit. Un mot que vous connaissez déjà est bien plus facile à mémoriser qu'un mot étranger. Si votre langue maternelle n'est pas l'anglais, utiliser une liste dans votre propre langue rend la phrase de passe vraiment mémorisable, et pas seulement techniquement solide.

Téléchargez la liste dans votre langue, conservez-la en lieu sûr et utilisez-la lorsque vous souhaitez générer et vérifier vous-même votre phrase de passe.

Bonnes pratiques

• Réservez Diceware aux secrets que vous devez vraiment mémoriser.
• Utilisez un gestionnaire de mots de passe pour le reste.
• N'essayez pas d'« améliorer » le résultat en fabriquant une phrase qui a du sens.
• Ajoutez la MFA aux comptes importants.
• Si vous notez temporairement la phrase de passe, rangez cette note prudemment puis supprimez-la.