Lorsqu'une archive ZIP, un document PDF ou un classeur Excel refuse de s'ouvrir, la première question est toujours la même : « Combien de temps ça va prendre ? » Aucune réponse honnête ne peut être « instantané ». Le délai dépend de la longueur du mot de passe, des caractères utilisés, du format du fichier et de la stratégie d'attaque. Voici comment évaluer la situation de façon réaliste et mettre toutes les chances de votre côté.
Pourquoi le délai varie-t-il autant d'un fichier à l'autre ?
Quatre facteurs principaux déterminent le temps nécessaire :
-
La longueur du mot de passe. Chaque caractère ajouté multiplie le nombre de combinaisons. Un code de six lettres minuscules représente environ 300 millions de combinaisons ; huit caractères mêlant majuscules, chiffres et symboles en représentent plusieurs milliers de milliards. La croissance est exponentielle.
-
Les types de caractères. Un mot de passe composé uniquement de lettres minuscules est beaucoup plus rapide à tester qu'un code intégrant majuscules, chiffres, symboles et accents.
-
Le format et l'algorithme. Les formats récents (RAR5, Office 2013 et ultérieurs, PDF avec chiffrement AES) utilisent des fonctions de dérivation de clé volontairement lentes, comme PBKDF2 avec de nombreuses itérations. Chaque tentative coûte alors bien plus de temps qu'avec un ancien chiffrement.
-
La stratégie d'attaque. Explorer toutes les combinaisons possibles (force brute) n'a rien à voir avec l'exploitation d'un dictionnaire enrichi de règles et d'une base de données de mots de passe connus.
L'erreur la plus fréquente : la force brute sur son propre ordinateur
Beaucoup d'utilisateurs tentent l'aventure avec un outil gratuit sur leur PC ou leur Mac. Le processeur ne teste que quelques milliers de candidats par seconde sur les formats modernes, parfois moins. Pour un mot de passe de huit caractères mixtes, le calcul se compte alors en mois, voire en années de calcul ininterrompu.
Une carte graphique grand public améliore les choses, mais elle reste seule, bruyante, et vous ne pouvez pas vous en servir pour autre chose pendant le traitement. Pour les archives volumineuses ou les dérivations lentes, l'écart avec une infrastructure dédiée devient considérable.
Pourquoi les attaques « intelligentes » réussissent plus souvent
La plupart des gens ne choisissent pas des mots de passe aléatoires. Ils utilisent plutôt :
- un mot ou un prénom auquel ils ajoutent une année ou un chiffre ;
- une majuscule en début de mot et un point d'exclamation en fin ;
- une date de naissance, un surnom, le nom d'un animal ou d'une entreprise ;
- une disposition de clavier, avec les pièges classiques entre AZERTY et QWERTY.
Un dictionnaire intelligent associe des listes de mots de passe déjà rencontrés, des règles de mutation (remplacer un « a » par « @ », ajouter une année, etc.) et des masques basés sur vos souvenirs. Ce qui prendrait des années en force brute exhaustive peut alors être couvert en quelques heures, parce que l'on cherche au bon endroit.
C'est sur ce point qu'une plateforme spécialisée comme Catpasswd se distingue : sa base de données de mots de passe et de régularités augmente sensiblement les chances de réussite par rapport à un logiciel générique.
Quand la puissance du cloud GPU devient nécessaire
Pour les mots de passe longs ou complexes, la stratégie ne suffit pas toujours : il faut aussi de la puissance. Un cluster de GPU parallélise les tests et traite un volume de candidats sans commune mesure avec une machine personnelle.
Le recours au cloud GPU est particulièrement recommandé dans les cas suivants :
- mot de passe de neuf caractères ou plus ;
- mélange probable de lettres, chiffres et symboles ;
- archive ou document volumineux avec un chiffrement récent ;
- échec des tentatives locales après plusieurs heures.
Le modèle économique de Catpasswd est pensé pour limiter le risque : la recherche peut se lancer gratuitement, et si la récupération réussit, il est possible d'attendre pour consulter le résultat sans frais, ou de choisir l'option payante pour l'afficher immédiatement. En cas d'échec, rien n'est dû.
Vos indices valent autant que la puissance de calcul
Avant toute tentative, prenez quelques minutes pour noter ce dont vous vous souvenez :
- longueur approximative (plutôt 6-8 caractères ou 10-12 ?) ;
- langue utilisée et présence éventuelle d'accents ;
- mots récurrents : prénom, animal, entreprise, équipe sportive ;
- chiffres habituels : année, date de naissance, code postal ;
- disposition du clavier au moment de la création (AZERTY en France, QWERTY ailleurs) ;
- année approximative de création du fichier, car les habitudes évoluent dans le temps.
Ces indices permettent de construire un masque ou un dictionnaire personnalisé et de concentrer la recherche sur les combinaisons plausibles. Même un souvenir partiel réduit parfois l'espace de recherche de façon spectaculaire.
La confidentialité : pas besoin d'envoyer votre fichier
Une crainte fréquente est de devoir confier un document sensible — contrat, bilan, déclaration, sauvegarde personnelle — à un service en ligne. Ce n'est pas nécessaire.
Avec l'extraction locale du hash, un petit outil lit la signature cryptographique du fichier sur votre ordinateur, et seule cette empreinte — qui ne permet pas de reconstruire le document — est utilisée pour les tests. Le fichier source reste chez vous, et votre vie privée reste préservée.
Ce à quoi il faut s'attendre honnêtement
- Un mot de passe court, choisi par un humain, est souvent retrouvé rapidement par une attaque intelligente.
- Un mot de passe long mais avec une structure devinable (phrase suivie d'une date, par exemple) reste accessible avec de bons dictionnaires et de bonnes règles.
- Un mot de passe totalement aléatoire de quinze caractères ou plus, sans aucun indice, est hors de portée pratique, quelle que soit la plateforme.
Méfiez-vous des promesses de réussite garantie ou de déverrouillage instantané : personne ne peut les tenir. Les meilleurs résultats viennent de la combinaison d'indices précis, d'une stratégie d'attaque adaptée et d'une puissance de calcul suffisante.
Les étapes concrètes
- Identifiez le format (ZIP, RAR, 7Z, PDF, Word, Excel, PowerPoint) et, si possible, sa version.
- Extrayez le hash localement, sans déplacer ni envoyer le fichier d'origine.
- Renseignez vos indices : longueur, mots probables, chiffres, langue, type de clavier.
- Lancez la recherche, d'abord avec les attaques intelligentes, puis avec le GPU cloud si nécessaire.
- Récupérez le résultat : gratuitement après un délai d'attente, ou immédiatement avec l'option payante ; ne payez rien en cas d'échec.
FAQ
Combien de temps faut-il pour récupérer un mot de passe ZIP ou RAR ? Cela dépend de la longueur et de la complexité du mot de passe. Un code court et choisi par un humain peut être retrouvé en quelques heures avec un dictionnaire intelligent ; un code long et aléatoire peut nécessiter des ressources importantes, voire s'avérer irrécupérable. Les formats récents comme RAR5 sont aussi plus lents à tester que les anciens.
Dois-je envoyer mon fichier chiffré sur internet ? Non. L'extraction du hash se fait localement : seule l'empreinte cryptographique, qui ne permet pas de reconstruire le fichier, est traitée. Votre document ne quitte jamais votre ordinateur.
Que se passe-t-il si la récupération échoue ? Avec Catpasswd, vous ne payez rien en cas d'échec. Le mode gratuit permet d'attendre l'affichage du résultat après une réussite, tandis que l'option payante l'affiche immédiatement.
Un mot de passe de 12 caractères est-il récupérable ? S'il s'agit d'un mot ou d'une phrase avec des chiffres et des symboles prévisibles, les attaques par dictionnaire et règles ont de bonnes chances. S'il est totalement aléatoire et sans indice, la force brute reste irréaliste, même avec un cluster GPU.
Pourquoi ne pas utiliser uniquement un logiciel gratuit sur mon PC ? Les outils locaux dépendent de votre seul matériel et de dictionnaires génériques. Face aux fonctions de dérivation lentes des formats modernes, ils sont souvent trop lents et moins précis qu'un service combinant base de données spécialisée et infrastructure GPU.
Comment accélérer la recherche ? Fournissez tous vos souvenirs : longueur approximative, mots utilisés, chiffres habituels, langue, accents, disposition du clavier. Chaque indice réduit l'espace de recherche et augmente les chances de réussite.
Quels formats sont pris en charge ? ZIP, RAR, 7Z, PDF, Word, Excel, PowerPoint, ainsi que les portefeuilles Bitcoin et les exports de gestionnaires de mots de passe comme 1Password.