Comment choisir un mot de passe ou une phrase de passe robuste

Choisissez un mot de passe long et généré au hasard, réservez-le à un seul compte et enregistrez-le dans un gestionnaire de mots de passe. Si vous devez le mémoriser, utilisez plusieurs mots tirés au hasard indépendamment les uns des autres. Un mot de passe n’a pas besoin de ressembler à une suite de caractères illisible pour être difficile à deviner.

Notre générateur de mots de passe et de phrases de passe propose par défaut 24 caractères aléatoires ou six mots aléatoires. Ce sont deux points de départ pratiques lorsque le service accepte leur longueur. Les listes de mots du générateur sont en anglais ; la traduction de ce guide ne les modifie pas.

• Pourquoi les phrases de passe fonctionnent
• Exemples et durées de recherche
• Erreurs à éviter
• Choisir un gestionnaire de mots de passe
• Les prochaines étapes

Pourquoi une phrase de passe peut être plus robuste qu’un mot de passe compliqué

P@ssw0rd! semble compliqué pour une personne. Pour un logiciel de recherche de mots de passe, c’est un mot courant avec des substitutions connues. Un attaquant peut essayer des mots du dictionnaire, des mots de passe divulgués, des noms, des dates et des variantes prévisibles avant de tester toutes les combinaisons de caractères.

Une phrase de passe aléatoire fonctionne autrement. Imaginez une petite scène : une loutre (otter) conduit un tracteur (tractor) près d’un cactus en velours (velvet). Cette image peut vous aider à mémoriser les mots anglais après leur tirage au hasard. Inventer d’abord la scène, puis choisir les mots pour la décrire, n’offre pas le même caractère aléatoire. Quatre mots servent ici de courte démonstration ; utilisez une phrase plus longue pour un secret important.

Avec notre liste longue adaptée, chaque mot tiré indépendamment multiplie le nombre de phrases possibles par 7 772. Six mots aléatoires représentent environ 77 bits d’aléa, soit près de 2,2 × 10²³ phrases possibles. Un attaquant peut connaître la liste et le séparateur tout en devant envisager ce nombre de combinaisons. Des majuscules et une ponctuation fixes n’augmentent pas le nombre de choix de mots.

L’EFF recommande au moins six mots tirés au hasard pour protéger, par exemple, un gestionnaire de mots de passe ou le chiffrement d’un disque . Des paroles de chanson, une citation connue ou une phrase personnelle n’offrent pas un résultat équivalent, même si elles sont longues.

La longueur et l’imprévisibilité comptent davantage qu’une liste de symboles à cocher. Les recommandations d’authentification du NIST (en anglais)  imposent aux services qui les suivent d’accepter les gestionnaires de mots de passe et interdisent les règles de composition obligeant à mélanger des types de caractères. Elles exigent aussi au moins 15 caractères pour un mot de passe utilisé comme seul facteur d’authentification, avec un minimum de huit caractères autorisé dans le cadre d’une authentification multifacteur. Il s’agit d’exigences pour les services, pas de l’affirmation que toute phrase de 15 caractères est robuste.

Exemples : d’une porte ouverte à un obstacle sérieux

Tous les exemples ci-dessous sont publics. Ne les utilisez jamais comme vrais mots de passe. Les évaluations portent sur la méthode de sélection et la longueur, pas sur une garantie de sécurité de la chaîne affichée.

Pour les lignes aléatoires, le tableau suppose qu’un attaquant dispose d’un hachage de mot de passe volé et peut tester un milliard de possibilités par seconde. Il s’agit d’un rythme constant hypothétique, pas d’une mesure d’un appareil ou d’un algorithme de stockage. L’attaquant connaît la méthode de génération et teste des candidats distincts. La durée est la moyenne sur des choix uniformément aléatoires : environ la moitié des possibilités divisée par le rythme des essais. Un premier essai chanceux reste toujours possible.

Ces exemples illustrent des formats ; ils ne prouvent pas que leurs caractères ont été choisis au hasard. L’exemple à six chiffres modélise un code PIN : notre générateur ne propose pas de mot de passe de six caractères. Les lignes mêlant lettres et chiffres autorisent toutes les combinaisons et n’imposent aucun groupe de caractères obligatoire.

Lire les chiffres sans se laisser tromper

Pour huit lettres minuscules, le calcul est 26^8 / (2 × 1 000 000 000), soit environ 104 secondes. Pour six mots, il est 7772^6 / (2 × 1 000 000 000). Ces calculs comptent des possibilités ; ils ne mesurent pas un véritable logiciel de cassage de mots de passe.

À 1 000 essais par seconde, chaque durée chiffrée du tableau serait un million de fois plus longue. À mille milliards d’essais par seconde, elle serait mille fois plus courte. Les grandes durées expriment la taille d’un espace de recherche selon des hypothèses fixes ; elles ne prédisent ni l’évolution des ordinateurs ni la durée de protection d’un compte.

Une attaque en ligne utilise le formulaire de connexion d’un site, où les limites de débit, les blocages et l’authentification multifacteur peuvent restreindre les essais. Une attaque hors ligne teste des possibilités contre des hachages volés sans interroger le site. Le stockage du mot de passe joue un rôle majeur : des algorithmes volontairement coûteux comme Argon2id et bcrypt rendent chaque essai plus cher qu’un hachage rapide. Le guide de stockage des mots de passe de l’OWASP (en anglais)  explique cette distinction et le rôle des facteurs de coût.

Aucun tableau de durées ne couvre un mot de passe volé par hameçonnage, par un logiciel malveillant ou à la suite d’une réutilisation après une fuite sur un autre site. Ces attaques n’ont pas besoin d’explorer toutes les possibilités.

Erreurs fréquentes avec les mots de passe

• Réutiliser un bon mot de passe. S’il fuit depuis un compte, un attaquant peut l’essayer ailleurs. Ajouter le nom du site ou ne modifier que le dernier chiffre reste prévisible.
• Utiliser des renseignements personnels. Les noms d’animaux, anniversaires, équipes préférées et informations des profils publics facilitent les essais.
• Décorer un mot faible. Password1! satisfait de nombreuses règles de complexité sans devenir un bon secret.
• Choisir une longue citation. Les phrases connues figurent aussi dans des dictionnaires. Les mots aléatoires doivent être tirés indépendamment, pas extraits d’un livre ou d’une chanson.
• Raccourcir un mot de passe généré. Choisissez des réglages compatibles avant la génération. Si les symboles sont refusés, préférez un mot de passe plus long composé de lettres et de chiffres plutôt que de le tronquer.
• Prendre un indicateur de robustesse pour une preuve. Il ne peut pas connaître toutes les chaînes divulguées ou liées à votre vie personnelle. La méthode de génération compte davantage que l’apparence.
• Remplacer un mot de passe robuste par une variante mensuelle prévisible. Changez-le s’il est exposé, réutilisé ou soupçonné d’être compromis, et respectez la politique applicable au compte. Générez un secret entièrement nouveau.

Confier la mémorisation à un gestionnaire de mots de passe

Au quotidien, un gestionnaire permet d’utiliser un mot de passe aléatoire différent pour chaque compte sans tous les mémoriser. Vous pouvez envisager Bitwarden  pour une offre personnelle gratuite avec synchronisation, 1Password  pour des offres payantes individuelles ou familiales, ou Proton Pass  pour gérer les mots de passe et les alias d’adresse e-mail. Si vous préférez contrôler un fichier de coffre chiffré local, KeePassXC (site en anglais)  est une solution gratuite pour ordinateur ; prévoyez vous-même la sauvegarde et la synchronisation entre appareils.

Protégez le gestionnaire avec une phrase de passe aléatoire unique et l’authentification multifacteur lorsqu’elle est disponible. Conservez ses éléments de récupération dans un endroit sûr et accessible en cas de perte de votre appareil habituel. Lisez les instructions de récupération du fournisseur avant d’en avoir besoin. Utilisez son générateur intégré lors de la création d’un compte, ou enregistrez un nouveau résultat de notre générateur de mots de passe.

Pour les comptes compatibles, envisagez les clés d’accès (passkeys) : FIDO explique leur résistance à l’hameçonnage (en anglais) . Lorsqu’un mot de passe reste nécessaire, l’activation d’un second facteur ajoute une protection supplémentaire.

Améliorer votre prochain mot de passe

1. Commencez par les comptes importants : votre adresse e-mail principale, votre gestionnaire de mots de passe et vos comptes financiers. Remplacez d’abord les mots de passe réutilisés.
2. Générez un nouveau secret : utilisez un long mot de passe aléatoire pour le remplissage automatique, ou au moins six mots de la liste longue si vous devez le mémoriser.
3. Enregistrez-le et mettez le compte à jour : générer un mot de passe ne modifie pas une connexion existante. Vérifiez qu’il fonctionne et gardez vos moyens de récupération à jour.
4. Ajoutez une protection : activez l’authentification multifacteur ou une clé d’accès lorsque le service le propose.

Pour un répertoire web protégé, créez d’abord le secret, puis utilisez notre générateur Apache htpasswd pour produire le hachage à stocker. Pour un réseau invité, changez le mot de passe du routeur, puis créez un code QR Wi-Fi. Vérifiez leurs limites de longueur avant de choisir une longue phrase.

Pour examiner le traitement des données par un outil en ligne, notre guide des requêtes réseau décrit la procédure dans Chrome, Firefox, Edge et Safari. Utilisez des données d’exemple sans importance ; ne testez pas un site inconnu avec un vrai mot de passe.