Comment créer un mot de passe solide : longueur, gestionnaire de mots de passe et double authentification

Un mot de passe solide se reconnaît à trois choses : il est long, aléatoire et utilisé à un seul endroit. La complexité que réclament les formulaires (une majuscule, un chiffre, un symbole) ne vient qu’en quatrième position. Voici pourquoi, ce que recommandent la CNIL et le NIST américain, et ce que vous pouvez faire dès aujourd’hui.

En combien de temps devine-t-on un mot de passe ?

Les mots de passe se cassent le plus vite après une fuite de données. L’attaquant n’a pas à tromper qui que ce soit : il prend les empreintes (hachages) des mots de passe et teste les possibilités les unes après les autres. La vitesse dépend de la façon dont le service les stocke. Avec un hachage rapide (MD5), une carte graphique NVIDIA RTX 5090 atteint 215,8 milliards d’essais par seconde selon les mesures publiées de hashcat ; avec le lent bcrypt, seulement 255,3 mille.

Mot de passe	Robustesse	Hachage lent (bcrypt)	Hachage rapide (MD5)
8 caractères, minuscules seulement	38 bits	5 jours	moins d’une seconde
8 caractères, tous les types	50 bits	57 ans	35 minutes
12 caractères, tous les types	76 bits	plus d’un milliard d’années	4 300 ans
16 caractères, tous les types	101 bits	plus d’un milliard d’années	plus d’un milliard d’années
20 caractères, tous les types	127 bits	plus d’un milliard d’années	plus d’un milliard d’années

Trois constats ressortent du tableau :

• Huit caractères ne suffisent pas, même avec tous les types de caractères. Avec un hachage rapide, un tel mot de passe tombe en 35 minutes ; avec un hachage lent, en 57 ans. Huit minuscules avec un hachage rapide : moins d’une seconde.
• Douze caractères, c’est une autre catégorie. Le mot de passe a 76 bits et un hachage rapide demanderait en moyenne 4 300 ans.
• À partir de seize caractères, c’est hors de portée. 101 bits représentent, avec un hachage rapide : plus d’un milliard d’années. Chaque caractère de plus multiplie le temps.

Ces chiffres ne valent que pour un mot de passe aléatoire. Celui que vous inventez est bien plus faible : on choisit des mots, des prénoms et des dates prévisibles, avec un chiffre à la fin, et les attaquants essaient justement cela en premier.

Pourquoi la longueur l’emporte sur la complexité

Avec 81 caractères différents (minuscules, majuscules, chiffres et symboles), chaque caractère de plus multiplie par 81 le nombre de possibilités. Ajouter quatre caractères à un mot de passe de douze apporte donc 26 bits, alors qu’activer les symboles sur un mot de passe de douze lettres et chiffres n’en apporte que 4,4.

La CNIL, l’autorité française de protection des données, donne en exemple « au moins 12 caractères et 4 types différents » (minuscules, majuscules, chiffres, caractères spéciaux), un mot de passe distinct pour chaque compte sensible (banque, messagerie, réseau social), et propose de retenir une phrase dont on prend la première lettre de chaque mot. Elle recommande un gestionnaire de mots de passe chiffré, qui ne demande de retenir qu’un seul mot de passe « maître », et d’activer la double authentification quand le service la propose.

Le NIST américain, dans sa version actuelle (SP 800-63B-4, section sur les mots de passe), mise davantage sur la longueur :

• un mot de passe qui est le seul moyen de connexion doit compter au moins 15 caractères ; s’il n’est qu’un élément d’une authentification multifacteur, au moins 8 ;
• les services doivent accepter des mots de passe d’au moins 64 caractères et autoriser le collage, pour que les gestionnaires de mots de passe fonctionnent ;
• les services ne doivent pas imposer de règles de composition ni de changement périodique ; le changement n’est exigé qu’en cas de preuve de compromission ;
• un nouveau mot de passe est comparé à une liste de mots de passe courants et compromis.

Les sources divergent donc sur l’imposition de types de caractères, mais s’accordent sur l’essentiel : la longueur compte et un mot de passe ne se réutilise pas.

Aléatoire, pas inventé

Un humain n’invente pas le hasard ; un générateur, si. Le générateur de mots de passe tire chaque caractère de la source d’aléa cryptographique de votre navigateur et n’envoie ni n’enregistre le mot de passe. Le résultat n’a aucun lien avec vous : on ne peut pas le déduire de votre nom, de votre date de naissance ni de ce qu’un attaquant sait de vous.

Un mot de passe par service

Quand la base de données d’un service fuit, les attaquants essaient les mots de passe volés ailleurs. Si vous utilisez partout le même mot de passe, ou un mot de passe voisin, une seule fuite ouvre tous vos comptes. Un mot de passe distinct par compte limite les dégâts à un seul.

Gestionnaire de mots de passe

Personne ne retient des dizaines de longs mots de passe aléatoires. C’est le rôle du gestionnaire : il les stocke, les remplit à votre place, et vous ne retenez que le mot de passe maître. Pour celui-ci, une phrase plus longue ou plusieurs mots que vous retenez mais que personne ne devinerait conviennent bien. Le mieux est de tirer les mots au hasard, par exemple avec le générateur de phrase de passe. Ne l’utilisez nulle part ailleurs et gardez un code de récupération en lieu sûr. La CNIL déconseille de laisser les mots de passe sur des post-it ou dans des fichiers texte.

Double authentification et clés d’accès

La double authentification ajoute au mot de passe une deuxième étape, comme un code d’application ou une clé physique, si bien qu’un mot de passe volé ne suffit plus. La CNIL encourage d’ailleurs la double authentification, ou authentification forte, dès que c’est possible.

Les clés d’accès (passkeys) vont plus loin. Selon la FIDO Alliance, on se connecte comme on déverrouille son appareil (biométrie, code PIN ou schéma) et, comme elles reposent sur la cryptographie à clé publique, il n’y a aucun mot de passe à voler dans une base de données ni rien qu’un faux site puisse vous soutirer. Utilisez-les partout où un service les propose.

Que faire après une fuite

Changez tout de suite le mot de passe qui a fuité, et partout où vous l’avez réutilisé. Activez la double authentification. Vous pouvez vérifier si votre adresse e-mail figure dans des bases de données divulguées sur Have I Been Pwned.

Que faire aujourd’hui

1. Installez un gestionnaire de mots de passe (ou activez celui du navigateur ou du téléphone) et donnez-lui un long mot de passe maître.
2. Commencez par les mots de passe de la messagerie, de la banque et du gestionnaire : faites-les générer avec au moins 16 caractères.
3. Activez la double authentification pour la messagerie et la banque.
4. Remplacez peu à peu les mots de passe que vous utilisez à plusieurs endroits par des mots de passe uniques.
5. Conservez en lieu sûr les codes de récupération de vos comptes.

Ceci n’est pas un conseil de sécurité pour votre situation particulière. Le mot de passe n’est qu’un élément de la protection d’un compte et ne protège pas, seul, de l’hameçonnage ni des logiciels malveillants.