Mots de passe et secrets tirés de la source crypto du navigateur.
Tout se passe dans votre navigateur. Rien de ce que vous collez ici ne nous parvient, ni à personne d'autre.
On utilise crypto.getRandomValues, la source aléatoire cryptographique du navigateur, pas Math.random. Les valeurs qui fausseraient la distribution quand le jeu de caractères ne divise pas la plage aléatoire sont rejetées, pour que chaque caractère soit équiprobable.
L'entropie mesure le nombre moyen d'essais nécessaires à un attaquant qui sait exactement comment le mot de passe a été produit. En dessous de 60 bits, c'est faible pour tout ce qui est joignable depuis internet ; 80 bits et plus est confortable pour un secret d'API.