L'analyse de robustesse évalue dans le navigateur la longueur d'un mot de passe, le jeu de caractères utilisé, son entropie brute théorique et l'entropie utile restante une fois les schémas faibles déduits. L'implémentation vérifie aussi les schémas prévisibles (répétitions, suites, parcours de clavier, mots courants, dates) et affiche la pénalité correspondante ; elle en tire ensuite une note de robustesse, des ordres de grandeur du temps de cassage selon plusieurs hypothèses de vitesse d'attaque et des conseils d'amélioration ciblés.

1. 01Saisissez la chaîne à analyser dans le champ mot de passe ; elle est masquée par défaut et peut être affichée manuellement.
2. 02Lisez la note globale et l'écart entre l'entropie utile et l'entropie brute.
3. 03Consultez la composition du jeu de caractères et la liste de « détection des schémas faibles » pour voir ce qui a été pénalisé.
4. 04Servez-vous des ordres de grandeur du temps de cassage et des conseils pour ajuster la longueur, le hasard ou la composition.

• L'entropie brute est estimée par « longueur × log₂(espace de caractères) », puis diminuée des schémas faibles détectés ; ce n'est pas une modélisation probabiliste complète des mots de passe réels.
• Le temps de cassage part d'une moyenne d'un demi-espace de clés parcouru : il n'est utile que pour l'ordre de grandeur et ne représente pas le coût réel d'une attaque contre un site donné.
• L'outil ne détecte que les règles qu'il implémente (répétitions, suites, parcours de clavier, mots courants, dates, etc.) : l'absence d'alerte ne prouve pas qu'un mot de passe est sûr.
• La sûreté d'un mot de passe dépend aussi de l'algorithme de hachage côté serveur, d'une éventuelle fuite, de sa réutilisation d'un site à l'autre et de l'authentification multifacteur.
• Ce qu'il ne fait pas : aucune requête vers des bases de fuites, aucune tentative de cassage, et aucun remplacement d'un gestionnaire de mots de passe.

La saisie ne participe au calcul que dans la mémoire de la page courante : rien n'est écrit dans le stockage et aucune requête réseau n'est envoyée. La page indique d'ailleurs clairement qu'il ne faut pas saisir un mot de passe réellement utilisé.