Presque tout le monde sait qu’il faut utiliser des mots de passe robustes. Peu de gens savent ce que « robuste » veut dire aujourd’hui, et presque personne ne peut retenir quarante suites de caractères aléatoires. Bonne nouvelle : vous n’en avez pas besoin. Ce guide explique comment les attaquants devinent réellement les mots de passe, ce qui rend un mot de passe difficile à casser, comment en créer un dont vous vous souviendrez et comment gérer tous les autres sans y perdre la tête.
Pourquoi les mots de passe faibles tombent encore
Très peu de mots de passe sont cassés par quelqu’un qui tape des essais sur une page de connexion. La plupart sont exposés de l’une de ces trois façons :
- Fuites de données et credential stuffing. Quand un site est piraté, sa liste d’adresses e-mail et de mots de passe (ou d’empreintes de mots de passe) finit souvent en ligne. Les attaquants essaient alors ces mêmes couples e-mail et mot de passe sur d’autres sites : messagerie, banque, boutiques. Si vous avez réutilisé le mot de passe, ils entrent sans rien deviner.
- Cassage hors ligne. Si le site piraté stockait des empreintes de mots de passe, les attaquants peuvent tester des milliards d’essais par seconde avec de simples cartes graphiques. Les mots de passe courts, les mots du dictionnaire et les motifs courants comme
Ete2026!tombent vite. - Hameçonnage (phishing). Une fausse page de connexion convaincante vous demande tout simplement votre mot de passe. Aucune complexité ne vous protège si vous le tapez sur le mauvais site.
D’où les deux règles essentielles : chaque compte important doit avoir un mot de passe unique, et chaque mot de passe doit être long et imprévisible. Le reste n’est que détail.
Ce qui rend vraiment un mot de passe robuste
Les spécialistes mesurent la robustesse en entropie : le nombre d’essais qu’il faudrait à un attaquant dans le pire des cas, exprimé en bits. Chaque bit supplémentaire double le travail. Deux facteurs déterminent l’entropie : la longueur du mot de passe et le caractère imprévisible de son choix.
La longueur bat la complexité
Un mot de passe composé de caractères aléatoires pris sur tout le clavier (environ 94 caractères imprimables) apporte environ 6,5 bits par caractère. Autrement dit :
- 8 caractères aléatoires ≈ 52 bits, à la portée d’une attaque hors ligne déterminée.
- 12 caractères aléatoires ≈ 79 bits, robuste pour la plupart des usages.
- 16 caractères aléatoires ≈ 105 bits, bien au-delà de toute force brute réaliste.
Ajouter des caractères aide bien plus que remplacer des lettres par des symboles. M0tdep@sse a l’air complexe, mais les outils de cassage testent ces substitutions en premier : il est donc faible. Un mot de passe long et aléatoire reste robuste même avec seulement des lettres et des chiffres.
Le hasard bat l’astuce
Le calcul d’entropie ne vaut que si le mot de passe a été choisi au hasard. Les humains sont mauvais en hasard : nous choisissons des prénoms, des dates, des motifs de clavier (azerty, 1a2z3e), notre équipe préférée, nous mettons une majuscule au début et 1! à la fin. Les attaquants intègrent ces habitudes à leurs règles. Un mot de passe que vous avez inventé est presque toujours plus faible qu’il n’y paraît.
C’est pourquoi un générateur de mots de passe est le meilleur point de départ. Il choisit les caractères au hasard, sans motif exploitable. Vous choisissez la longueur et les jeux de caractères : minuscules, MAJUSCULES, chiffres et symboles.
Ce que recommandent aujourd’hui les experts
L’institut américain des normes et de la technologie (NIST) publie des lignes directrices sur l’identité numérique (SP 800-63B) suivies par de nombreuses organisations. Ses recommandations récentes remettent en cause plusieurs vieilles habitudes :
- Elles privilégient les mots de passe plus longs et demandent aux services d’accepter les mots de passe et phrases de passe longs, espaces compris.
- Elles déconseillent les règles de composition imposées du type « doit contenir un symbole et un chiffre », qui produisent des motifs prévisibles.
- Elles déconseillent le changement périodique obligatoire sans raison, car les gens réagissent par de petites modifications prévisibles. Changez un mot de passe quand il y a des signes qu’il a été exposé.
- Elles recommandent que les services comparent les nouveaux mots de passe à des listes de mots de passe déjà divulgués et les refusent.
En bref : long, unique et jamais divulgué compte bien plus qu’une pincée de symboles.
Comment créer un mot de passe robuste et mémorisable
Vous n’avez que quelques mots de passe à retenir : le mot de passe principal de votre gestionnaire, celui de votre messagerie principale et peut-être celui de votre ordinateur. Pour ceux-là, utilisez une phrase de passe.
Étape 1 : choisissez des mots au hasard, pas une phrase que vous diriez
La méthode diceware tire des mots au hasard dans une liste de 7 776 mots à l’aide de dés. Chaque mot ajoute environ 12,9 bits d’entropie : six mots aléatoires donnent donc environ 77 bits, l’équivalent d’un mot de passe aléatoire de 12 caractères, en bien plus facile à retenir. Quelque chose comme orbite bougie velours hamac tulipe ferry est robuste ; une citation célèbre ou des paroles de chanson ne le sont pas, car les attaquants les utilisent aussi.
Étape 2 : rendez-la mémorable avec une image
Imaginez une scène qui relie les mots : un satellite en orbite tenant une bougie, emballé dans du velours, qui fait la sieste dans un hamac rempli de tulipes sur un ferry. Les images mentales bizarres restent étonnamment bien en mémoire.
Étape 3 : ajoutez des séparateurs si le site l’exige
Si un site impose des chiffres ou des symboles, placez-les entre les mots plutôt qu’à la fin : orbite-bougie-7-velours-hamac-tulipe. La règle est respectée sans compliquer la mémorisation.
Étape 4 : testez-la, puis entraînez-vous
Passez-la dans un testeur de robustesse de mot de passe pour vérifier qu’elle n’est ni courte ni fondée sur un motif, puis tapez-la quelques fois par jour pendant une semaine jusqu’à ce qu’elle devienne automatique. Par prudence, testez un exemple similaire plutôt que la phrase exacte que vous utiliserez.
Pour tout le reste : générez et stockez
Pour les dizaines d’autres comptes (boutiques, streaming, forums, fournisseurs), ne retenez rien. Générez pour chacun un mot de passe aléatoire de 16 caractères ou plus et stockez-le dans un gestionnaire de mots de passe. Parmi les options connues : Bitwarden, 1Password, les gestionnaires intégrés aux appareils Apple et à Google Chrome, entre autres. Ils remplissent les mots de passe à votre place, se synchronisent entre appareils, et beaucoup vous alertent quand un mot de passe enregistré apparaît dans une fuite connue.
Un gestionnaire aide aussi contre l’hameçonnage : il ne remplira pas le mot de passe de votre banque sur un domaine imitant le vrai, ce qui est un signal d’alerte précieux.
Activez la double authentification
Même un mot de passe parfait peut être hameçonné ou divulgué. La double authentification (2FA) ajoute une deuxième vérification : un mot de passe volé ne suffit plus. Du plus sûr au moins sûr, les options courantes sont :
- Les clés d’accès (passkeys) ou clés de sécurité physiques, résistantes à l’hameçonnage car liées au vrai site.
- Les codes d’une application d’authentification (mots de passe à usage unique basés sur le temps).
- Les codes par SMS, mieux que rien mais vulnérables aux attaques par échange de carte SIM.
Activez d’abord la 2FA sur votre messagerie. Qui contrôle votre e-mail peut réinitialiser presque tous vos autres mots de passe.
Erreurs courantes à éviter
- Réutiliser ses mots de passe, même « juste pour des sites sans importance ». Les fuites de ces sites servent justement à pirater les comptes importants.
- Les informations personnelles comme les prénoms, anniversaires, animaux ou adresses, souvent visibles sur les réseaux sociaux.
- Les mises à jour prévisibles, comme passer de
Hiver2025!àPrintemps2026!. - Partager des mots de passe en clair par messagerie ou e-mail. Utilisez plutôt la fonction de partage de votre gestionnaire.
- Les questions de sécurité avec de vraies réponses. Traitez-les comme des mots de passe supplémentaires et stockez des réponses aléatoires dans votre gestionnaire.
Un plan simple à boucler ce week-end
- Installez un gestionnaire de mots de passe et créez-lui une phrase de passe de six mots.
- Remplacez le mot de passe de votre messagerie par une nouvelle phrase de passe unique et activez la 2FA.
- Mettez à jour vos comptes bancaires, de paiement et vos principaux réseaux sociaux avec des mots de passe issus du générateur de mots de passe.
- Dans les semaines qui suivent, remplacez les mots de passe réutilisés chaque fois que vous vous connectez à un ancien site.
Outils pratiques en chemin : le générateur de mots de passe pour les nouveaux mots de passe, le testeur de robustesse pour éprouver votre style de phrase de passe, le générateur de nombres aléatoires pour lancer des dés virtuels façon diceware, et l’analyseur d’URL pour vérifier le vrai domaine d’un lien de connexion suspect avant de taper quoi que ce soit.
Questions fréquentes
Quelle longueur pour un mot de passe ?
Pour les mots de passe générés et stockés dans un gestionnaire, 16 caractères ou plus est un bon réglage par défaut. Pour les phrases de passe à mémoriser, visez cinq ou six mots aléatoires.
Les phrases de passe sont-elles vraiment aussi sûres que les mots de passe aléatoires ?
Oui, si les mots sont choisis au hasard. Six mots aléatoires tirés d’une grande liste valent à peu près un mot de passe aléatoire de 12 caractères, et sont bien plus faciles à retenir.
Faut-il changer ses mots de passe régulièrement ?
Les recommandations actuelles disent que non, sauf raison précise : fuite, tentative d’hameçonnage ou mot de passe partagé. Des mots de passe uniques et robustes n’ont pas besoin de changements de routine.
Est-il sûr d’utiliser un générateur de mots de passe en ligne ?
Un générateur fiable crée le mot de passe et vous l’affiche ; il ne doit pas le conserver. Pour plus de sérénité, utilisez le générateur intégré à votre gestionnaire pour vos comptes les plus sensibles.
Les gestionnaires de mots de passe sont-ils sûrs ?
Pour la plupart des gens, un gestionnaire réputé, protégé par une phrase de passe principale robuste et la 2FA, est bien plus sûr que réutiliser ses mots de passe ou les garder dans une application de notes.
