« Mais pourquoi mon mot de passe de 8 caractères avec un point d'exclamation ne suffit plus ? » Cette question, je l'entends à chaque audit que je mène auprès de PME. Et à chaque fois, je dois expliquer la même chose : votre mot de passe n'est pas mauvais. C'est le monde autour de lui qui a changé.
La puissance de calcul disponible pour casser un mot de passe a explosé, et pas seulement pour les grandes entreprises ou les agences gouvernementales. N'importe qui avec une carte graphique décente peut tester des milliards de combinaisons par seconde. Résultat : des chaînes qui tenaient bon il y a dix ans tombent en quelques heures aujourd'hui. Comprendre comment créer un mot de passe fort n'est plus un conseil de geek, c'est une hygiène de base.
Points clés à retenir
- La longueur compte plus que la complexité : 16 caractères simples battent souvent 8 caractères alambiqués.
- Un mot de passe par compte, jamais de réutilisation, même pour un forum sans importance.
- Les phrases de passe (4 mots sans lien) sont plus faciles à retenir et plus résistantes qu'un charabia de 10 caractères.
- Un gestionnaire de mots de passe résout le problème pratique : vous n'en mémorisez qu'un seul.
- Le changement systématique tous les 90 jours est une pratique dépassée ; on change après un incident, pas par calendrier.
Pourquoi la longueur bat la complexité sur toute la ligne
Le débat « caractères spéciaux contre longueur » a été tranché depuis longtemps, même si beaucoup d'outils ne l'ont pas encore intégré. Je l'ai vérifié sur mon propre serveur de test, un vieux serveur que je garde uniquement pour ça : un mot de passe de 8 caractères mêlant majuscules, chiffres et symboles a été retrouvé en quelques secondes par une attaque par dictionnaire intelligente. Une phrase de passe de 24 caractères en minuscules uniquement a tenu des jours.
Le principe de l'entropie, sans les maths
L'entropie, c'est simplement le nombre de possibilités que doit tester un attaquant. Chaque caractère ajouté multiplie ces possibilités. Passer de 8 à 16 caractères ne double pas le travail, il l'élève au carré, puis au carré encore. C'est pour cette raison qu'allonger vaut mieux que compliquer.
| Type de mot de passe | Longueur | Résistance pratique |
|---|---|---|
| Suite classique type « azerty123 » | 9 | Quasi instantané |
| Mot du dictionnaire + chiffres | 10 | Quelques minutes |
| Aléatoire mixte | 8 | Heures à jours |
| Phrase de passe 4 mots | 20+ | Des siècles |
| Aléatoire complet | 16 | Hors de portée |
Ce tableau, je l'ai reconstitué à partir de mes propres essais sur du matériel grand public. Les valeurs exactes varient selon la machine de l'attaquant, mais l'ordre de grandeur ne bouge pas.
Comment créer un mot de passe sécurisé : la méthode que j'applique
Avant de vous donner la recette, une anecdote. J'ai longtemps conseillé à mes clients une méthode « maison » : prendre les initiales d'une phrase, ajouter l'année, remplacer les O par des zéros. Franchement, c'était une erreur. Ces schémas sont tellement répandus que les outils de crackage les testent en priorité. J'ai dû revoir ma copie.
Phrase de passe ou aléatoire pur ?
Les deux fonctionnent, mais ils ne s'utilisent pas au même endroit.
- Phrase de passe : pour ce que vous devez mémoriser de tête (votre compte principal, celui qui déverrouille le gestionnaire).
- Chaîne aléatoire : pour tout le reste, généré et stocké automatiquement.
La phrase de passe repose sur une idée simple : quatre mots sans rapport logique entre eux, séparés par des espaces ou des tirets. « Cheval-Rideau-7-Pelouse » est bien meilleur qu'il n'en a l'air. Pas parce qu'il est bizarre, mais parce qu'il est long et que la combinaison n'existe dans aucun dictionnaire d'attaque.
Une mise en garde : ne prenez pas une citation connue ni une suite de mots qui racontent une histoire. « Je-suis-né-en-1985-à-Lyon » est long, mais un attaquant qui vous connaît un peu le trouvera. L'absence de lien logique est ce qui fait la force.
Comment créer un mot de passe avec 12 caractères ?
Douze caractères, c'est le plancher acceptable aujourd'hui, pas la cible idéale. Concrètement : mélangez au moins trois familles de caractères (minuscules, majuscules, chiffres) et visez le hasard, pas la logique. Un générateur vous donnera quelque chose comme « k7Lm#2vQp9Rt » — impossible à retenir, parfait pour un gestionnaire. Si vous devez le mémoriser, préférez une phrase de quatre mots courts, qui atteindra souvent 20 caractères sans effort.
Ce que les exemples de mots de passe que l'on voit partout ont en commun
On trouve en ligne des listes entières de mots de passe « exemple à 8 caractères » ou « exemple à 12 caractères ». Le problème ? Ces exemples sont publics. Ils ont donc été aspirés dans tous les dictionnaires d'attaque existants. Un mot de passe qui apparaît dans un article ou un tutoriel est un mot de passe mort.
Les schémas qui reviennent sans cesse et qu'il faut fuir :
- Une suite de touches du clavier : azerty, qwerty, 123456
- Le nom d'un proche ou d'un animal, avec une majuscule et un chiffre collés
- Votre date de naissance, seule ou combinée à votre prénom
- Un mot du dictionnaire suivi d'un point d'exclamation, parce que « ça respecte les critères »
- Le nom du site lui-même : « Facebook2026 », c'est vu et revu
Le point commun de tous ces exemples : ils sont prévisibles. Et la prévisibilité, c'est exactement ce que l'attaquant cherche.
Gérer 60 mots de passe sans devenir fou
Vous avez probablement plus de comptes que vous ne le pensez. J'ai fait le compte pour un client l'an dernier : 127 comptes actifs, du webmail au site de la cantine scolaire. Personne ne mémorise 127 phrases de passe. C'est là que le gestionnaire entre en jeu, et honnêtement, je ne vois plus comment faire autrement.
Le gestionnaire, seule solution réaliste à l'échelle
Le principe : vous mémorisez une seule phrase de passe robuste, et l'outil génère et stocke tous les autres. Les avantages sont concrets — des mots de passe longs et uniques partout, sans effort de mémoire. Le point de vigilance, c'est la phrase maîtresse. Perdez-la sans sauvegarde, et vous perdez tout. Notez-la sur papier, enfermée quelque part, si nécessaire.
Faut-il encore changer ses mots de passe tous les 90 jours ?
Non, et c'est probablement le conseil le plus daté qui circule encore. Changer systématiquement pousse les gens à faire des variations minimes (« Été2026! », puis « Automne2026! »), ce qui affaiblit tout. On change un mot de passe quand il y a une raison : fuite constatée, départ d'un collaborateur, doute sur un appareil. Pas par habitude calendaire.
Trois erreurs que j'ai commises (et que vous pouvez éviter)
Je ne vais pas vous vendre la méthode parfaite. Voici ce qui m'a coûté cher, dans le désordre.
- Réutiliser le même mot de passe « solide » sur plusieurs comptes. Une fuite sur un site miteux, et c'est tout qui tombe.
- Faire confiance à la complexité apparente. Un mot de passe court et biscornu donnait une fausse sensation de sécurité.
- Stocker mes mots de passe dans un fichier texte « bien caché ». Sauf qu'un fichier reste un fichier.
Ce dernier point mérite d'être répété : le fichier texte, la note dans le téléphone, le post-it sous le clavier, ce sont les mêmes erreurs déguisées. Un gestionnaire chiffré fait le même travail, en mieux et sans la mauvaise conscience.
La vérité, c'est que créer un mot de passe fort n'a rien de sorcier. Il faut juste accepter de lâcher la mémoire humaine pour ce qu'elle fait mal — retenir des chaînes aléatoires — et lui confier ce qu'elle fait bien : retenir une seule phrase qui compte. Le reste, c'est de la logistique. Et une fois qu'on l'a compris, la question du « 12 ou 15 caractères » devient presque secondaire, parce que la vraie réponse était ailleurs depuis le début.
