Mot de passe fort : 5 règles pour le créer et le retenir
Un mot de passe fort fait au moins 12 caractères mêlant majuscules, minuscules, chiffres et symboles, ou une phrase de passe d’au moins 7 mots, comme le recommande la CNIL. Il doit surtout être unique : un seul mot de passe réutilisé suffit à ouvrir tous vos comptes après une fuite de données. Pour tout retenir sans effort, confiez vos mots de passe à un gestionnaire et activez la double authentification sur vos comptes importants.
Votre mot de passe est la seule barrière entre un pirate et votre messagerie, votre banque ou vos photos. Voici les règles qui le rendent vraiment solide et la méthode pour les appliquer sans rien oublier.
Sommaire
- Pourquoi un mot de passe faible est cassé en quelques minutes
- Les 5 règles d’un mot de passe fort
- La phrase de passe, la méthode la plus simple à retenir
- Vérifier la solidité de ses mots de passe
- Retenir tous ses mots de passe grâce à un gestionnaire
- Aller plus loin : double authentification et clés d’accès
- Questions fréquentes
Pourquoi un mot de passe faible est cassé en quelques minutes
Les pirates ne devinent pas les mots de passe un par un. Ils utilisent des logiciels qui testent des milliards de combinaisons, et trois méthodes reviennent presque toujours.
La force brute essaie toutes les combinaisons possibles. Contre un mot de passe court, elle aboutit très vite : chaque caractère en moins divise le temps nécessaire.
L’attaque par dictionnaire teste en priorité les mots courants, les prénoms, les dates et les suites comme « azerty » ou « 123456 », avec leurs variantes habituelles : une majuscule au début, un chiffre ou un point d’exclamation à la fin.
La réutilisation des mots de passe volés, appelée credential stuffing, est la plus redoutable. Après une fuite de données sur un site, les pirates essaient automatiquement le couple adresse et mot de passe sur des centaines d’autres services. Si vous utilisez le même partout, un seul site piraté leur ouvre tous vos comptes.
Les 5 règles d’un mot de passe fort
1. La longueur avant tout
La longueur est le critère qui compte le plus. La CNIL recommande au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, ou au moins 14 caractères si vous n’utilisez que des lettres et des chiffres. Un mot de passe plus long, même un peu plus simple, résiste mieux qu’un mot de passe court truffé de symboles.
2. Un mélange de caractères
Combinez les quatre familles de caractères : majuscules, minuscules, chiffres et symboles comme ! ? % # ou &. Répartissez les dans tout le mot de passe plutôt que de les regrouper au début ou à la fin, là où les logiciels de cassage les cherchent en premier.
3. Aucune information personnelle ni mot courant
Bannissez votre prénom, celui de vos enfants ou de votre animal, votre date de naissance, votre ville ou votre club favori. Ces informations se trouvent souvent en quelques clics sur vos réseaux sociaux. Évitez aussi les mots du dictionnaire utilisés seuls et les remplacements prévisibles, comme un « a » transformé en « @ ».
4. Un mot de passe différent pour chaque compte
C’est la règle la plus importante et la moins respectée. Chaque compte doit avoir son propre mot de passe, à commencer par votre messagerie : c’est elle qui permet de réinitialiser tous les autres. Si un service est piraté, seul ce compte est exposé.
5. Ne jamais le partager ni le noter en clair
Aucun conseiller bancaire, aucun support technique et aucun service public ne vous demandera votre mot de passe. Ne l’envoyez jamais par courriel ou message, et ne le notez ni dans un fichier « mots de passe » sur votre ordinateur, ni sur un papier collé sous le clavier.
La phrase de passe, la méthode la plus simple à retenir
Une phrase de passe assemble plusieurs mots sans lien entre eux. La CNIL considère qu’une phrase d’au moins 7 mots offre une sécurité suffisante, et elle reste bien plus facile à mémoriser qu’une suite de caractères aléatoires.
Pour en créer une, choisissez des mots au hasard, sans former une phrase logique, puis séparez les par un symbole et glissez une majuscule et un chiffre. Par exemple : Girafe.velo.Lundi.orage.cerise7.piano.Ruisseau. Cet exemple est fictif et ne doit pas être réutilisé.
Si vous préférez un mot de passe plus court, la méthode des premières lettres fonctionne aussi. Partez d’une phrase que vous retenez facilement, comme « Mon chat Pacha dort sur le canapé depuis 2019 ! », et gardez la première lettre de chaque mot ainsi que les chiffres et la ponctuation : McPdslcd2019!.
Vérifier la solidité de ses mots de passe
| Exemple fictif | Verdict | Pourquoi |
|---|---|---|
| Marie1985 | Très faible | Prénom et année, trouvés en quelques secondes |
| Azerty123! | Très faible | Suite de clavier connue, symbole en fin de mot |
| Soleil2026 | Faible | Mot courant et année en cours |
| McPdslcd2019! | Correct | 13 caractères mélangés, sans mot du dictionnaire |
| Girafe.velo.Lundi.orage.cerise7.piano.Ruisseau | Très fort | 7 mots sans lien, long et facile à retenir |
Pour savoir si l’un de vos mots de passe a déjà fuité, le service Have I Been Pwned vérifie si votre adresse figure dans une fuite connue. La plupart des gestionnaires de mots de passe et les navigateurs Chrome, Firefox et Safari signalent aussi les mots de passe exposés ou réutilisés.
Inutile en revanche de changer vos mots de passe à date fixe. La CNIL a abandonné cette recommandation : un mot de passe solide et unique peut être conservé tant qu’il n’y a pas de soupçon de fuite ou de piratage. Changez le dès qu’un service vous signale un incident ou si vous l’avez saisi sur une page douteuse.
Retenir tous ses mots de passe grâce à un gestionnaire
Personne ne peut mémoriser une phrase de passe différente pour chacun de ses comptes. C’est le rôle du gestionnaire de mots de passe : il crée des mots de passe solides, les enregistre dans un coffre chiffré et les remplit à votre place. Vous n’avez plus qu’un seul mot de passe maître à retenir, idéalement une phrase de passe.
Parmi les solutions européennes, Dashlane, d’origine française, et Proton Pass, développé en Suisse, sont simples à prendre en main. Bitwarden propose une version gratuite complète, et KeePassXC, gratuit et libre, convient à ceux qui préfèrent garder leur coffre sur leur propre appareil. Notre comparatif des gestionnaires de mots de passe détaille leurs forces et leurs limites.
Aller plus loin : double authentification et clés d’accès
Même le meilleur mot de passe peut être volé par une fausse page de connexion. La double authentification ajoute une seconde vérification, un code sur votre téléphone ou une validation dans une application, qui bloque le pirate même s’il connaît votre mot de passe. Activez la en priorité sur votre messagerie, votre banque et vos réseaux sociaux.
Les clés d’accès, ou passkeys, vont encore plus loin. Proposées par Google, Apple, Microsoft et de nombreux sites, elles remplacent le mot de passe par une validation avec votre empreinte, votre visage ou le code de votre téléphone. Elles ne peuvent pas être recopiées sur un faux site, ce qui les rend insensibles à l’hameçonnage.
Questions fréquentes
Faut-il changer son mot de passe régulièrement ?
Non, pas s’il est long, unique et qu’aucune fuite ne le concerne. Les changements imposés à date fixe poussent à choisir des variantes faciles à deviner, comme ajouter un chiffre à la fin. Changez le uniquement en cas d’incident, de doute ou de fuite signalée.
Peut-on noter ses mots de passe sur papier ?
C’est déconseillé pour l’usage courant, car un papier se perd ou se lit facilement. La seule exception raisonnable concerne le mot de passe maître de votre gestionnaire ou ses codes de secours, conservés à la maison dans un endroit sûr et jamais avec votre ordinateur ou votre téléphone.
Le gestionnaire du navigateur suffit-il ?
Pour débuter, oui : les gestionnaires intégrés à Chrome, Firefox, Safari ou Edge génèrent et enregistrent des mots de passe solides, et c’est bien mieux que de réutiliser le même partout. Un gestionnaire dédié apporte surtout le partage sécurisé en famille, l’accès sur tous vos appareils quel que soit le navigateur et des alertes plus complètes.
Une phrase de passe est-elle vraiment plus sûre ?
Oui, à condition que les mots soient choisis au hasard et qu’ils soient assez nombreux. Sept mots sans lien entre eux forment une combinaison bien plus longue qu’un mot de passe classique, donc beaucoup plus difficile à casser, tout en restant plus simple à retenir. Une citation connue ou une phrase grammaticale logique, en revanche, perd l’essentiel de cet avantage.
Sources
- CNIL, délibération n° 2022-100 du 21 juillet 2022 portant recommandation relative aux mots de passe
- CNIL, « Mots de passe : recommandations pour maîtriser sa sécurité »
- ANSSI, recommandations relatives à l’authentification multifacteur et aux mots de passe
- Cybermalveillance.gouv.fr, fiche « Gérer ses mots de passe »
