Analyze password entropy, crack time, and check against known data breaches. Your password never leaves the browser.
All password analysis is performed locally in your browser. The breach check uses k-anonymity: only the first 5 characters of your password's SHA-1 hash are sent to Have I Been Pwned. The full hash never leaves your device.
Password strength is measured in entropy bits — the average number of guesses an attacker must try before hitting the password. This tool derives the charset size N from the character classes present (26 lowercase, 26 uppercase, 10 digits, 33 specials), then computes E = length × log₂(N). Each extra bit doubles the search space. The crack-time estimate divides 2^E by 10 billion guesses per second — an offline GPU brute-force rate — and formats the result as seconds, hours, years, or centuries. It also runs eight policy checks (length, case, digits, repeats, sequences, common-password lists) and a k-anonymity breach lookup against Have I Been Pwned.
Every character class widens the search space; entropy grows linearly with length and logarithmically with charset size.
Maya is rolling out a password manager for her team of ten and uses this tester to pick a safe master password. Every number below is what the tool actually computes.
To test password strength: type a candidate — the checker estimates entropy, offline crack time against GPU rigs, and flags patterns, dictionary words, and reuse risks without ever sending the password anywhere.
FreeToolHub Password Strength Checker is a free browser-based tool that scores password entropy and estimates crack time locally, no signup, no transmission.
Analysez la force des mots de passe avec le calcul d'entropie, le temps de craquage estimé, 9 vérifications de qualité et des suggestions actionnables. 100 % côté client.
Ce testeur analyse la force des mots de passe avec des mathématiques réelles plutôt qu'avec des barres colorées : il calcule l'entropie en bits à partir de l'espace de caractères et de la longueur, estime le temps de craquage hors ligne contre les taux d'attaque modernes des GPU, et exécute neuf vérifications couvrant la longueur, la variété des caractères, les séquences répétées, les modèles de clavier, les mots du dictionnaire et les listes de mots de passe courants. Chaque constatation s'accompagne d'une suggestion actionnable — non seulement faible, mais faible parce qu'il contient un mot du dictionnaire et gagnerait 26 bits en ajoutant quatre caractères aléatoires. L'analyse est entièrement côté client : le mot de passe n'est jamais transmis, enregistré ou stocké, ce qui est la seule conception acceptable pour ce type d'outil.
Les utilisateurs auditant les mots de passe avant de les adopter pour des comptes importants — bancaires, e-mail, le mot de passe maître du gestionnaire de mots de passe lui-même. Les équipes enseignant l'hygiène de la sécurité démontrent concrètement pourquoi P@ssw0rd!1 échoue à neuf vérifications malgré un aspect conforme. Les développeurs calibrent les règles de politique de mot de passe contre la réalité de l'entropie au lieu des règles de complexité naïves qui poussent les utilisateurs vers des schémas prévisibles. Quiconque choisit un mot de passe maître pour des archives chiffrées ou des portefeuilles crypto obtient le chiffre du temps de craquage qui lui indique la marge dont il dispose réellement.
(1) Tapez un mot de passe candidat — l'analyse s'exécute en temps réel par frappe. (2) L'entropie se calcule comme la longueur multipliée par le log2 de l'espace de caractères réellement utilisé : un mot de passe de 12 caractères provenant des quatre ensembles porte environ 78 bits. (3) Les estimations de temps de craquage appliquent un débit d'attaque réaliste — des centaines de milliards de tentatives par seconde pour les hachages rapides — et traduisent les bits en durées à l'échelle humaine. (4) Les neuf vérifications sont signalées individuellement avec des corrections spécifiques ; la note globale prend en compte le facteur le plus faible, car les attaquants attaquent aussi le facteur le plus faible.
Les règles de complexité que tout le monde a mémorisées — huit caractères, majuscule, minuscule, chiffre, symbole — proviennent de directives de 2003 dont l'auteur s'est plus tard excusé, car elles optimisent pour la prévisibilité humaine : P@ssw0rd1 satisfait toutes les règles et tombe instantanément. Le changement basé sur la recherche, formalisé dans NIST SP 800-63B, privilégie la longueur sur la composition, interdit la rotation périodique obligatoire (qui pousse les utilisateurs à passer de Password1 à Password2) et vérifie les nouveaux mots de passe contre les listes de violations connues au lieu de deviner les modèles. La meilleure pratique actuelle : longueur 16 ou une phrase de passe de 4–6 mots aléatoires, unicité par site imposée par un gestionnaire de mots de passe, vérification des violations à la création, et authentification multi-facteur portant le vrai poids de sécurité pour les comptes importants. Les mathématiques expliquent pourquoi : chaque caractère aléatoire supplémentaire multiplie l'espace de recherche par 70–90×, tandis que les symboles obligatoires n'ajoutent qu'un petit facteur constant — et surtout poussent tout le monde vers les mêmes substitutions leetspeak que les craqueurs ont scriptées il y a des années. Les vérifications de ce testeur encodent le jeu de règles moderne, donc fort ici signifie fort contre la façon dont les attaques fonctionnent réellement.
La longueur prime sur la complexité : 16+ caractères aléatoires provenant d'ensembles mélangés. Un mot de passe aléatoire de 12 caractères résiste beaucoup plus longtemps au craquage hors ligne qu'un mot de passe de 8 caractères avec des symboles et des substitutions comme P@ssw0rd, qui figurent déjà dans les dictionnaires.
Un mot de passe aléatoire de 12 caractères provenant d'un ensemble mélangé prend des siècles contre les configurations GPU typiques ; 8 caractères tombe en quelques heures. Ce vérificateur estime le temps de craquage à partir de l'espace de caractères et de la longueur sans rien stocker.
Oui lorsqu'elles sont composées de 4–6 mots aléatoires — 25+ caractères avec une structure mémorable. Évitez les citations célèbres ou les phrases dérivées de paroles de chansons, qui figurent dans les listes de mots des craqueurs.
Le bourrage d'identifiants rejoue les violations sur d'autres sites. Un gestionnaire de mots de passe et des mots de passe uniques contiennent le rayon d'impact de toute fuite unique à ce seul compte.
Il calcule l'entropie (bits d'aléatoire) en fonction de la taille de l'ensemble de caractères et de la longueur, puis estime le temps de craquage contre les attaques hors ligne : 100 milliards de tentatives/seconde (cluster GPU avec hashcat) contre 10 000 tentatives/seconde (connexion en ligne limitée). Un mot de passe de 12 caractères avec majuscules et symboles a environ 71 bits d'entropie — environ 34 000 ans à 100 milliards de tentatives/seconde.
Il signale les mots du dictionnaire, les modèles de clavier (qwerty, 1qaz2wsx), les caractères répétés, les nombres séquentiels et les substitutions courantes (@ pour a, 0 pour o). Il vérifie également les 100 000 mots de passe les plus courants des données de HaveIBeenPwned. "P@ssw0rd123" est noté faible malgré le respect des règles de complexité typiques.
It calculates entropy (bits of randomness) based on character set size and length, then estimates crack time against offline attacks: 100 billion guesses/second (GPU cluster with hashcat) versus 10,000 guesses/second (online throttled login). A 12-character mixed-case password with symbols has ~71 bits of entropy—roughly 34,000 years at 100B guesses/second.
It flags dictionary words, keyboard patterns (qwerty, 1qaz2wsx), repeated characters, sequential numbers, and common substitutions (@ for a, 0 for o). It also checks against the top 100,000 breached passwords from HaveIBeenPwned datasets. "P@ssw0rd123" scores as weak despite meeting typical complexity rules.
What do you call a really smart cookie?
No signups, no data sold. Every tool is free to use — the free tier allows 5 downloads or saves per day, and the optional Pro plan ($7/mo, $59/yr) adds unlimited downloads, batch processing, white-label exports and an ad-free experience.
☕Support me on Ko-fi— support the free tier100% of proceeds go towards hosting & building more free tools.