Mot de passe

Qu'est-ce qu'un bon mot de passe ?

Un mot de passe robuste est long (au moins 12 à 16 caractères), aléatoire et unique pour chaque service. La longueur compte plus que la complexité : chaque caractère supplémentaire multiplie le nombre de combinaisons qu'un attaquant devrait essayer. Un mot de passe de 16 caractères mêlant les quatre familles offre environ 10³⁰ combinaisons.

Bonnes pratiques

• Utilisez un mot de passe différent pour chaque site : en cas de fuite, un seul compte est exposé.
• Stockez-les dans un gestionnaire de mots de passe plutôt que dans un carnet ou un fichier texte.
• Activez la double authentification (2FA) partout où elle est disponible.
• Ne partagez jamais un mot de passe par e-mail ou SMS.

Pourquoi la longueur prime sur la complexité

Chaque caractère ajouté ne rend pas un mot de passe un peu plus solide : il multiplie le nombre de combinaisons possibles. Avec le jeu de caractères utilisé ici, chaque position offre 69 possibilités. Un mot de passe de 8 caractères représente donc 69⁸ combinaisons, celui de 16 caractères 69¹⁶ — un nombre à trente chiffres.

Voici l'ordre de grandeur du temps nécessaire pour épuiser toutes les combinaisons, en supposant une attaque hors ligne menée avec du matériel spécialisé capable de tester mille milliards d'essais par seconde :

Ces chiffres supposent que l'attaquant a récupéré une base de données et travaille hors ligne, sans limite de tentatives. Ils varient énormément selon la façon dont le service a protégé ses mots de passe. Retenez surtout la progression : passer de 8 à 12 caractères ne double pas la sécurité, il la multiplie par plusieurs millions.

C'est la raison pour laquelle les recommandations actuelles insistent davantage sur la longueur que sur l'obligation d'un symbole ou d'un chiffre. Un mot de passe court bourré de caractères spéciaux reste plus faible qu'un mot de passe long et simple.

L'alternative : la phrase de passe

Un mot de passe aléatoire de 16 caractères est excellent, mais impossible à mémoriser. Pour les rares mots de passe que vous devez retenir par cœur — celui de votre gestionnaire, celui de votre session — la phrase de passe constitue une solution élégante.

Le principe consiste à tirer au hasard quatre à six mots sans lien entre eux, puis à les assembler. Quelque chose comme casserole-nuage-verglas-tambour. La longueur obtenue est considérable, et le cerveau humain retient bien mieux une image absurde qu'une suite de caractères.

Une condition impérative : les mots doivent être réellement tirés au sort. Une phrase que vous inventez vous-même, tirée d'une chanson ou d'une réplique de film, est bien plus prévisible qu'elle n'y paraît — les attaquants disposent de dictionnaires de citations et de paroles.

Les erreurs qui reviennent le plus

• Réutiliser le même mot de passe. C'est de loin le risque numéro un. Lorsqu'un site est piraté, les identifiants dérobés sont automatiquement essayés sur des dizaines d'autres services — une technique appelée bourrage d'identifiants.
• Se contenter de variantes. Ajouter un chiffre à la fin ou remplacer un « a » par un « @ » n'arrête personne : ces substitutions figurent dans tous les outils d'attaque depuis vingt ans.
• Utiliser des données personnelles. Prénom des enfants, date de naissance, nom de l'animal, équipe favorite : tout cela se trouve souvent sur les réseaux sociaux.
• Transmettre un mot de passe par message. Un e-mail ou un SMS laisse une trace durable, sur plusieurs appareils et serveurs.
• Changer de mot de passe trop souvent sans raison. Les recommandations modernes ont abandonné cette pratique : elle pousse à choisir des variantes prévisibles. Mieux vaut un mot de passe fort et unique, changé uniquement en cas de suspicion.

Le gestionnaire de mots de passe change tout

Personne ne peut mémoriser cinquante mots de passe uniques de seize caractères. C'est précisément le problème que résout un gestionnaire : il stocke vos identifiants sous forme chiffrée, les remplit automatiquement, et vous ne retenez qu'un seul mot de passe maître.

Les navigateurs modernes en intègrent un gratuitement, et des solutions dédiées existent, y compris libres et hébergeables soi-même. Le bénéfice dépasse la simple commodité : un gestionnaire ne remplira pas vos identifiants sur un site d'hameçonnage, car l'adresse du site ne correspondra pas à celle enregistrée. Il vous protège d'une erreur que l'œil humain commet facilement.

Ajoutez une seconde serrure

Même le meilleur mot de passe peut être intercepté. La double authentification ajoute une seconde preuve d'identité : un code temporaire généré par une application, ou une clé physique.

Toutes les méthodes ne se valent pas. Le code reçu par SMS vaut mieux que rien, mais reste vulnérable au détournement de numéro. Une application d'authentification est nettement plus sûre, et une clé de sécurité physique constitue aujourd'hui la protection la plus robuste contre l'hameçonnage. Activez cette double vérification en priorité sur votre boîte e-mail : c'est elle qui permet de réinitialiser tous vos autres comptes.

Pour approfondir, l'ANSSI, l'agence nationale française de sécurité informatique, publie des recommandations régulièrement mises à jour sur cyber.gouv.fr.

Questions fréquentes

Le mot de passe généré est-il vraiment aléatoire ?

Oui : l'outil utilise le générateur cryptographique du navigateur (crypto.getRandomValues()), le même mécanisme que celui employé par les gestionnaires de mots de passe. Les caractères ambigus (O/0, l/1) sont exclus pour faciliter la saisie manuelle.

Le mot de passe est-il transmis quelque part ?

Jamais. Tout se passe localement sur votre appareil : ni le site ni un serveur ne voient le mot de passe généré.

Quelle longueur choisir ?

Seize caractères constituent un bon équilibre pour un usage courant. Descendez rarement en dessous de douze, et montez à vingt ou plus pour les comptes sensibles — messagerie principale, banque, gestionnaire de mots de passe.

Dois-je vraiment inclure des symboles ?

Ils augmentent le nombre de combinaisons, mais certains sites les refusent encore. Si vous devez les désactiver, compensez en allongeant le mot de passe de deux ou trois caractères.

Comment savoir si un de mes mots de passe a fuité ?

Des services spécialisés recensent les bases de données compromises et permettent de vérifier si une adresse e-mail y figure. La plupart des navigateurs et gestionnaires intègrent désormais cette alerte automatiquement.

Puis-je noter mes mots de passe sur papier ?

Cela vaut mieux que de réutiliser partout le même. Un carnet rangé chez vous ne craint pas les attaques à distance ; le risque est physique et local. Un gestionnaire reste néanmoins plus pratique et plus sûr.

Le générateur produit-il deux fois le même mot de passe ?

C'est théoriquement possible mais d'une probabilité si infime, sur des mots de passe longs, qu'elle est sans portée pratique.