Qu'est-ce qu'un mot de passe fort, et comment en créer un vraiment sécurisé ?

La plupart d'entre nous choisissent des mots de passe faciles à retenir : un prénom, une date de naissance, un numéro de téléphone, ou le mot de passe habituel avec un chiffre en plus. Le problème, c'est que ce qui rend un mot de passe facile à retenir le rend aussi facile à deviner. Ce guide explique ce qu'est réellement un mot de passe fort, comment les mots de passe sont cassés en pratique, quelles habitudes les affaiblissent, et comment protéger votre messagerie et vos autres comptes importants avec le générateur de mots de passe, un gestionnaire de mots de passe et l'authentification à deux facteurs.

Qu'est-ce qu'un mot de passe fort ?

Un mot de passe fort est un mot de passe qu'un ordinateur capable de milliards d'essais par seconde ne peut pas trouver en un temps raisonnable. Deux propriétés font cette force : la longueur et le caractère aléatoire. Avoir l'air compliqué ne suffit pas : P@ssw0rd! contient un symbole, des chiffres et une majuscule, et c'est pourtant l'un des premiers mots de passe que testent les outils de cassage.

La raison apparaît clairement quand on regarde comment se déroulent les attaques. Les attaquants essaient rarement des mots de passe sur la page de connexion d'un site, car les sites les bloquent après quelques tentatives ratées. Le vrai danger survient quand la base de données d'un site fuit. L'attaquant détient alors les versions hachées des mots de passe et peut deviner sur son propre ordinateur, sans aucune limite : d'abord des listes de mots de passe courants ou ayant déjà fuité, puis ces mêmes mots de passe transformés selon des règles prévisibles, comme une majuscule initiale, @ à la place de a ou une année à la fin, et enfin toutes les combinaisons possibles.

L'entropie : la force d'un mot de passe expliquée simplement

La force d'un mot de passe généré de manière réellement aléatoire se mesure par son « entropie », exprimée en bits. Chaque bit d'entropie double le nombre de possibilités qu'un attaquant doit essayer. Si chaque caractère est tiré au hasard dans un ensemble de N caractères, l'entropie du mot de passe est égale à sa longueur multipliée par le logarithme en base 2 de N.

Un clavier anglais standard compte 94 caractères imprimables : 26 lettres minuscules, 26 lettres majuscules, 10 chiffres et 32 symboles. Chaque caractère tiré au hasard dans cet ensemble apporte un peu plus de 6,5 bits d'entropie : un mot de passe aléatoire de 16 caractères tirés de cet ensemble atteint donc environ 105 bits.

Pour rendre ces chiffres concrets, imaginez un attaquant qui effectue mille milliards d'essais par seconde contre un hachage rapide. Il essaierait tous les mots de passe aléatoires possibles de 8 caractères en moins de deux heures, mais il lui faudrait plus de mille milliards d'années pour un mot de passe de 16 caractères. Les vitesses réelles dépendent du type de hachage et du matériel, mais le principe tient : chaque caractère aléatoire supplémentaire rend la tâche de l'attaquant des dizaines de fois plus difficile.

Une condition importante : ce calcul ne vaut que pour un mot de passe réellement généré au hasard. Un mot de passe comme Ali@1991! compte neuf caractères, mais comme il est construit à partir de schémas courants, il tombe dès les toutes premières étapes d'une attaque.

Les erreurs courantes qui affaiblissent un mot de passe

• Un même mot de passe pour plusieurs comptes : l'erreur la plus dangereuse de toutes. Quand un site sans importance subit une fuite, les attaquants essaient automatiquement la même adresse e-mail et le même mot de passe auprès des fournisseurs de messagerie, des réseaux sociaux et des boutiques en ligne.
• Des informations personnelles : votre prénom ou celui de votre enfant, une date de naissance, un numéro de téléphone, un numéro d'identité, une plaque d'immatriculation ou votre équipe préférée ; des informations que l'on trouve souvent sur les réseaux sociaux.
• Des substitutions simples : p@ssw0rd au lieu de password, ou $ au lieu de s, n'apportent aucune sécurité ; ces règles sont intégrées aux outils de cassage depuis des années.
• Une année ou un symbole à la fin : 2026, 123 ou ! après un mot font partie des premières variantes testées, tout comme le passage de 2025 à 2026 quand vous mettez à jour un mot de passe.
• Des suites de touches du clavier : qwerty, 1qaz2wsx et 123456 figurent sur les listes des mots de passe les plus courants parmi ceux qui ont fuité.
• Un stockage peu sûr : envoyer un mot de passe dans une messagerie instantanée, ou le garder dans une note du téléphone ou une capture d'écran synchronisée avec un stockage en ligne.

Les phrases de passe : des mots de passe que l'on peut retenir

Pour les quelques mots de passe que vous devez vraiment mémoriser, comme le mot de passe maître de votre gestionnaire de mots de passe ou celui de votre ordinateur portable, une phrase de passe est un bon choix : plusieurs mots aléatoires et sans rapport entre eux, à la suite. Une phrase de passe tire elle aussi sa force du hasard. Si chaque mot est tiré au hasard dans une liste de 7 776 mots, comme dans la méthode Diceware, qui choisit les mots en lançant des dés, chaque mot ajoute environ 13 bits d'entropie, et six mots dépassent 77 bits.

Ne « choisissez » pas les mots vous-même : un vers célèbre, un proverbe ou une phrase qui a du sens n'ont rien d'aléatoire, quelle que soit leur longueur. Mieux vaut aussi composer la phrase de passe avec des lettres simples, sans accents, car certains systèmes gèrent mal les autres caractères dans les mots de passe. Pour tous vos autres comptes, ceux où un gestionnaire de mots de passe remplit le mot de passe à votre place, une chaîne aléatoire est plus courte et plus pratique. Le générateur de mots de passe de ce site fait les deux : le menu Mode bascule entre une chaîne aléatoire et une phrase de passe tirée de cette même liste de 7 776 mots ; la page générateur de phrase de passe l'ouvre directement dans ce mode.

Créer un mot de passe fort avec le générateur de mots de passe

Le générateur de mots de passe crée le mot de passe dans votre navigateur avec crypto.getRandomValues, la source d'aléa cryptographiquement sûre que les navigateurs fournissent pour les usages de sécurité. Le mot de passe généré n'est envoyé à aucun serveur et n'est stocké nulle part. Les étapes :

1. Laissez le menu Mode sur Mot de passe pour obtenir une chaîne aléatoire. Le même menu propose aussi Phrase de passe et PIN : la phrase de passe évoquée plus haut et un PIN de 3 à 12 chiffres sortent donc du même outil.
2. Avec le curseur Longueur, choisissez une longueur de 4 à 128 caractères ; la valeur par défaut est 16. Pour la messagerie et les comptes sensibles, choisissez 20 ou plus.
3. Choisissez les jeux de caractères : Majuscules, Minuscules et Chiffres sont activés par défaut. Cocher Symboles ajoute 26 symboles, comme !@#$%.
4. Si vous devez lire le mot de passe sur papier ou le taper à la main, activez Exclure les caractères ambigus pour écarter les caractères qui se ressemblent, comme 0, O, 1, l et I. Pour le mot de passe d'un Wi-Fi invité, vous pouvez aussi créer un QR code Wi-Fi plutôt que de dicter le mot de passe.
5. Au moins un de chaque type est coché par défaut : l'option garantit un caractère de chaque jeu que vous avez sélectionné, tant que la longueur laisse la place à un caractère par jeu. Laissez-la cochée lorsqu'un site exige un chiffre ou un symbole.
6. Cliquez sur Générer. Générer 10 crée dix mots de passe d'un coup ; comme Au moins un de chaque type est coché, chacun contient déjà un caractère de chaque jeu choisi, vous pouvez donc prendre le premier. La liste n'est là que si vous préférez en choisir un plus facile à lire.
7. Copiez le mot de passe avec Copier et collez-le directement dans votre gestionnaire de mots de passe et dans le formulaire du site.

Avec les réglages par défaut (16 caractères parmi 62 lettres et chiffres), l'entropie est d'environ 95 bits, et l'activation des symboles (88 caractères) la porte à environ 103 bits. Si un site n'accepte pas les symboles, décochez-les et passez la longueur à 20 : avec environ 119 bits, le résultat est même plus fort qu'un mot de passe de 16 caractères avec symboles. Vous n'avez pas à faire le calcul vous-même : la ligne sous le résultat affiche la valeur, soit Environ 95 bits d'entropie avec les réglages par défaut. L'indicateur Robustesse affiché sous le mot de passe n'est qu'un repère simple, fondé sur la longueur et les types de caractères ; la vraie mesure reste la longueur et le hasard.

Les gestionnaires de mots de passe : le seul moyen réaliste d'avoir un mot de passe différent partout

Personne ne peut mémoriser des mots de passe aléatoires et différents pour des dizaines de comptes, et personne n'est censé le faire. Un gestionnaire de mots de passe conserve tous vos mots de passe dans un coffre chiffré et ne vous demande qu'une seule phrase de passe robuste. La plupart des gestionnaires remplissent automatiquement les formulaires de connexion et, comme ils vérifient l'adresse du site, ils ne remplissent généralement pas le mot de passe sur une fausse page qui ne fait qu'imiter le vrai site : une aide réelle contre l'hameçonnage (phishing).

• Le gestionnaire de mots de passe intégré à votre navigateur ou à votre système d'exploitation est le moyen le plus simple de commencer, et il est disponible sur les appareils synchronisés avec le même compte.
• Les gestionnaires de mots de passe indépendants, comme Bitwarden (open source, avec une offre gratuite) ou KeePassXC (open source et entièrement hors ligne), fonctionnent avec différents navigateurs et systèmes d'exploitation.
• Activez aussi l'authentification à deux facteurs sur le gestionnaire de mots de passe lui-même, et gardez ses codes de récupération en lieu sûr, ailleurs que sur votre téléphone.

L'authentification à deux facteurs : une deuxième couche de protection

Même le mot de passe le plus fort peut être saisi sur une page d'hameçonnage ou volé par un logiciel malveillant. L'authentification à deux facteurs (2FA) signifie que la connexion exige, en plus du mot de passe, un élément provenant d'un appareil en votre possession. Ses méthodes n'offrent pas toutes la même sécurité :

Notez les codes de secours affichés lors de la configuration et rangez-les en lieu sûr, pour ne pas perdre l'accès au compte si vous perdez votre téléphone. Et n'envoyez jamais un code de vérification à qui que ce soit : les messages du genre « envoyez-nous le code que nous venons de vous transmettre » font partie des arnaques les plus répandues.

Un mot de passe fort pour votre messagerie

Votre compte de messagerie est votre compte le plus important, car presque tous les services y envoient leurs liens de réinitialisation de mot de passe : quiconque prend le contrôle de votre messagerie peut aussi changer les mots de passe de la plupart de vos autres comptes. Pour votre adresse e-mail principale, procédez ainsi :

• Créez un mot de passe aléatoire d'au moins 20 caractères, que vous n'utilisez nulle part ailleurs.
• Activez l'authentification à deux facteurs avec une application d'authentification ou une clé d'accès.
• Tenez à jour le numéro de téléphone et l'adresse e-mail de récupération ; un numéro que vous n'avez plus peut devenir une porte d'entrée.
• Consultez de temps en temps la liste des appareils et des sessions connectés au compte, et déconnectez ceux que vous ne reconnaissez pas.
• Recherchez votre adresse e-mail sur haveibeenpwned.com pour savoir si elle apparaît dans des fuites de données connues.
• Ne saisissez le mot de passe de votre messagerie que sur une page dont vous avez ouvert l'adresse vous-même, jamais depuis un lien reçu dans un message.

Quand faut-il changer de mot de passe ?

Les changements de mot de passe périodiques imposés, tous les trois mois par exemple, ne sont plus recommandés ; les recommandations du NIST, l'organisme de normalisation américain, indiquent d'ailleurs que les services ne devraient pas les exiger, car ils poussent à des modifications prévisibles, comme changer le dernier chiffre du mot de passe. Gardez un bon mot de passe, mais changez-le immédiatement si le service annonce une fuite de données ou si votre adresse e-mail apparaît dans une liste de fuites, si vous avez envoyé le mot de passe à quelqu'un ou l'avez tapé sur un appareil public, si vous remarquez une activité inhabituelle sur le compte, ou si vous avez utilisé le même mot de passe ailleurs.