Pour créer un mot de passe sécurisé, misez d’abord sur la longueur puis sur une astuce de mémorisation simple : une phrase de passe d’au moins 12 à 16 caractères est à la fois très difficile à casser et facile à retenir. Bonne nouvelle : vous n’avez pas besoin d’un mot de passe imprononçable ni d’une mémoire d’éléphant. Il suffit de comprendre ce qui rend un mot de passe réellement solide puis d’appliquer une méthode. On fait le tour, sans jargon et sans stress.
Qu’est-ce qui rend un mot de passe vraiment fort ?
La plupart des gens croient qu’un bon mot de passe doit surtout être compliqué. En réalité le critère numéro un est la longueur. Chaque caractère supplémentaire multiplie le nombre de combinaisons qu’un pirate doit tester. Un mot court truffé de symboles reste plus faible qu’un mot de passe long composé de mots simples.
La longueur avant la complexité
Les outils modernes de piratage testent des milliards de combinaisons par seconde. Face à eux un mot de passe de 8 caractères peut tomber en quelques heures, alors qu’un mot de passe de 16 caractères demanderait des siècles. Visez donc 12 caractères minimum et idéalement 16 ou plus pour vos comptes sensibles comme la messagerie ou la banque.
La variété des caractères en renfort
Une fois la longueur assurée, mélangez majuscules, minuscules, chiffres et caractères spéciaux. Cette variété complique encore la tâche des attaques automatisées. L’ordre des priorités est clair : d’abord la longueur, ensuite la diversité. Un mot de passe long et varié coche les deux cases sans effort.
La méthode de la phrase de passe, sécurisée et facile à retenir
La phrase de passe (ou passphrase) est la meilleure façon de concilier sécurité et mémoire. Le principe : au lieu d’un mot unique, vous assemblez plusieurs mots pour obtenir une longueur importante que votre cerveau retient sans peine.
Deux approches fonctionnent très bien :
- Les mots aléatoires assemblés : choisissez quatre ou cinq mots sans aucun lien logique, par exemple « girafe tempête agrafe bougie ». Ajoutez un chiffre et un symbole et vous obtenez « Girafe.Tempete.Agrafe.Bougie7 ». Long, absurde donc imprévisible et facile à visualiser.
- La phrase transformée en initiales : partez d’une phrase personnelle comme « J’ai adopté un chat roux au mois de mars 2021 ! » puis gardez les premières lettres : « Jauc-rammd2021! ». Vous retenez la phrase, la machine ne voit qu’une suite illisible.
Règle d’or : la phrase doit vous être personnelle et inventée. Évitez les citations célèbres, les proverbes connus ou les paroles de chansons populaires, car les pirates intègrent ces listes dans leurs outils.
Les erreurs classiques qui affaiblissent un mot de passe
Un bon réflexe consiste à repérer ce qu’il ne faut surtout pas faire. Voici les pièges les plus courants :
- Les mots du dictionnaire seuls comme « soleil » ou « maison », testés en priorité par les logiciels d’attaque.
- Les dates et informations personnelles : date de naissance, prénom des enfants, nom de l’animal ou de la ville. Ces données se retrouvent facilement sur les réseaux sociaux.
- Les suites évidentes du type « 123456 », « azerty » ou « motdepasse », qui figurent en tête des classements de mots de passe les plus piratés année après année.
- Les substitutions prévisibles comme remplacer « a » par « @ » ou « e » par « 3 ». Les outils connaissent ces astuces depuis longtemps.
- La réutilisation du même mot de passe sur plusieurs sites, l’erreur la plus dangereuse de toutes.
Pourquoi ne jamais réutiliser le même mot de passe ?
Imaginez que vous utilisez le même mot de passe partout. Le jour où un site que vous fréquentez subit une fuite de données, votre mot de passe se retrouve dans la nature. Les pirates le testent alors automatiquement sur des dizaines d’autres services : messagerie, réseaux sociaux, banque, boutiques en ligne. Cette technique porte un nom, le bourrage d’identifiants (credential stuffing) et elle est redoutablement efficace.
La conséquence est simple : un mot de passe unique par compte agit comme des cloisons étanches. Si l’un fuite, les autres restent protégés. C’est la règle la plus importante de tout l’article. Le problème évident est qu’il devient impossible de retenir des dizaines de mots de passe différents. C’est précisément là qu’intervient le gestionnaire.
Le gestionnaire de mots de passe, la solution la plus simple
Un gestionnaire de mots de passe est un coffre-fort numérique chiffré qui stocke tous vos identifiants. Vous ne retenez plus qu’un seul mot de passe, le mot de passe maître, et l’outil s’occupe du reste : il génère des mots de passe longs et aléatoires, les enregistre et les remplit automatiquement quand vous vous connectez.
Les avantages sont concrets :
- Un mot de passe unique et robuste pour chaque compte, sans effort de mémoire.
- Un remplissage automatique qui vous protège aussi du phishing, car le gestionnaire ne remplit rien sur un faux site.
- Une synchronisation entre votre ordinateur et votre téléphone.
Des solutions reconnues comme Bitwarden, 1Password, KeePass ou Proton Pass conviennent aux particuliers. Certaines sont gratuites. Le seul mot de passe à soigner devient alors le mot de passe maître : appliquez-lui la méthode de la phrase de passe et ne le stockez nulle part ailleurs que dans votre tête.
Activez l’authentification à deux facteurs (2FA)
Même le meilleur mot de passe peut fuiter. Pour cette raison, ajoutez une seconde barrière avec l’authentification à deux facteurs (2FA ou double authentification). Le principe : après votre mot de passe, le service demande une seconde preuve que c’est bien vous.
Cette preuve prend plusieurs formes, de la moins à la plus sûre :
- Le code par SMS : pratique mais vulnérable à certaines fraudes. Mieux que rien.
- L’application d’authentification (Google Authenticator, Authy, Microsoft Authenticator) qui génère un code temporaire toutes les 30 secondes. C’est le meilleur compromis pour la plupart des gens.
- La clé de sécurité physique (type YubiKey) pour un niveau de protection maximal.
Activez la 2FA en priorité sur votre adresse e-mail principale, votre banque et vos réseaux sociaux. Votre e-mail sert souvent à réinitialiser tous vos autres comptes donc il mérite la meilleure protection.
Comment savoir si un mot de passe a fuité ?
Vous vous demandez si l’un de vos mots de passe circule déjà ? C’est vérifiable en quelques secondes. Le site de référence Have I Been Pwned (haveibeenpwned.com) permet de saisir votre adresse e-mail pour savoir si elle apparaît dans des fuites de données connues. Si un service que vous utilisez a été piraté, le site vous l’indique.
La plupart des navigateurs et des gestionnaires de mots de passe intègrent désormais cette vérification. Chrome, Firefox, Safari ou votre gestionnaire vous alertent automatiquement quand l’un de vos mots de passe est compromis ou réutilisé. Le bon réflexe si une alerte apparaît : changez immédiatement le mot de passe concerné ainsi que tous ceux qui lui ressemblent.
Les passkeys, l’évolution vers un monde sans mot de passe ?
Une technologie récente change la donne : les passkeys (ou clés d’accès). Plutôt qu’un mot de passe à retenir, votre appareil crée une clé secrète que vous déverrouillez avec votre empreinte digitale, votre visage ou le code de votre téléphone. Rien à mémoriser et rien à taper.
Les passkeys présentent deux atouts majeurs : elles ne peuvent pas être devinées ni volées lors d’une fuite de données puisqu’aucun mot de passe n’est stocké sur le serveur, et elles résistent au phishing car elles ne fonctionnent que sur le vrai site. Google, Apple, Microsoft, Amazon ou PayPal les proposent déjà. Quand un service vous offre l’option, activez-la sans hésiter. En attendant que les passkeys se généralisent, un bon mot de passe associé à la 2FA reste la combinaison gagnante.
Vos questions fréquentes
Faut-il changer son mot de passe régulièrement ?
Non, plus systématiquement. Les experts recommandent aujourd’hui de garder un mot de passe long et unique tant qu’il n’a pas fuité, plutôt que de le changer tous les trois mois. Changez-le uniquement en cas d’alerte de fuite ou de doute sur la sécurité d’un compte.
Est-il risqué de noter ses mots de passe ?
Les noter dans un fichier non protégé sur l’ordinateur ou dans les notes du téléphone est risqué. En revanche un gestionnaire de mots de passe chiffré est sûr. Un carnet papier rangé chez vous reste acceptable pour quelques comptes, tant qu’il n’est pas accessible aux inconnus.
Un mot de passe long en mots simples est-il vraiment sûr ?
Oui, à condition qu’il soit assez long et que les mots soient choisis au hasard, sans lien entre eux. Quatre à cinq mots aléatoires offrent une excellente sécurité tout en restant faciles à retenir. C’est tout l’intérêt de la phrase de passe.
Par quoi commencer si je me sens dépassé ?
Faites une seule chose aujourd’hui : installez un gestionnaire de mots de passe puis activez la 2FA sur votre boîte e-mail principale. Ces deux gestes couvrent l’essentiel du risque. Vous mettrez à jour vos autres comptes progressivement, au fil de vos connexions.