Quand un service vous demande de créer un mot de passe, le choix le plus facile à retenir n’est pas forcément le plus sûr. Une date importante, un prénom ou une variante d’un code déjà utilisé peut être deviné ou réutilisé après une fuite. La difficulté est aussi pratique : retenir une combinaison longue et différente pour chaque compte devient vite impossible. Pour décider quoi faire, il faut distinguer les critères d’un bon mot de passe, les façons de le créer et les outils qui permettent de le gérer.
Qu’est-ce qui rend un mot de passe difficile à deviner ?
Un mot de passe sécurisé doit résister à plusieurs méthodes de recherche. Une attaque par force brute essaie des combinaisons, tandis qu’une attaque par dictionnaire teste d’abord des mots connus, des prénoms et leurs variantes courantes. Ajouter simplement un chiffre à la fin d’un mot ou remplacer une lettre par un caractère ressemblant ne rend donc pas forcément le résultat imprévisible.
La longueur et le hasard comptent davantage que l’apparence compliquée. La CNIL appelle « entropie » la quantité de hasard théorique d’un mot de passe : dans sa recommandation, elle fixe un niveau générique minimal de 80 bits pour un mot de passe sans mesure complémentaire. Elle illustre ce niveau par trois politiques possibles : au moins 12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux choisis dans un ensemble d’au moins 37 caractères ; au moins 14 caractères avec majuscules, minuscules et chiffres ; ou une phrase d’au moins 7 mots. Ces exemples ne sont pas des recettes à appliquer mécaniquement : ils montrent que longueur et composition peuvent se combiner de plusieurs façons. La recommandation précise aussi que les mots d’une langue et leurs substitutions habituelles sont plus prévisibles qu’une suite réellement aléatoire. Vous pouvez consulter les critères et leur contexte dans la recommandation de la CNIL sur les mots de passe.
Pour un usage personnel, Cybermalveillance.gouv.fr recommande un minimum de 12 signes mêlant majuscules, minuscules, chiffres et caractères spéciaux. L’organisme rappelle également que les attaques automatisées peuvent tester des dizaines de milliers de combinaisons par seconde. Ces repères donnent une base utile, mais un mot de passe long ne devient pas robuste s’il reprend votre date de naissance, le nom de votre animal ou une formule déjà publiée. Évitez aussi les suites évidentes comme « 123456 » ou « azerty ». Pour des conseils destinés aux particuliers, Cybermalveillance.gouv.fr détaille les réflexes de gestion.
Pourquoi faut-il un mot de passe différent pour chaque compte ?
Un mot de passe unique limite les conséquences d’une fuite. Si un service est compromis et que le code est réutilisé ailleurs, une personne qui l’a récupéré peut tenter de se connecter à vos autres comptes. Ce risque concerne notamment la messagerie : elle reçoit souvent les liens de réinitialisation permettant de reprendre l’accès à d’autres services. Il est donc pertinent de protéger particulièrement ce compte et d’y activer une seconde vérification.
Les comptes n’ont pas tous le même impact. Priorisez ceux qui donnent accès à vos courriels, à vos finances, à vos démarches administratives et à des données personnelles. Pour les autres, l’unicité reste importante : elle empêche qu’un incident isolé ouvre une série d’accès. Le sujet de la sauvegarde et de la conservation des documents numériques est distinct, mais lié à la protection de vos informations : vous pouvez aussi vérifier les critères de stockage cloud sécurisé.
Faut-il créer ses mots de passe soi-même ou utiliser un gestionnaire ?
Créer vous-même chaque combinaison peut sembler plus rassurant, mais cela devient difficile lorsque les comptes sont nombreux. La solution courante consiste à utiliser un gestionnaire de mots de passe : il génère des codes uniques, les conserve dans un coffre-fort numérique et les renseigne au moment de la connexion. Vous n’avez alors qu’un mot de passe maître à mémoriser. Choisissez-le long, imprévisible et réservé à ce seul usage.
Un mot de passe généré aléatoirement est généralement plus difficile à anticiper qu’une formule construite à partir d’informations personnelles. Le gestionnaire doit toutefois être protégé : choisissez un outil dont vous comprenez les modalités de stockage et de récupération, activez ses protections disponibles et gardez son application à jour. Ne stockez pas votre coffre-fort dans un document ordinaire ou dans un courriel accessible sans protection. Pour comparer des services de stockage de fichiers, les critères ne sont pas identiques à ceux d’un gestionnaire de mots de passe ; examinez séparément le contrôle des accès et la protection des données.
Si vous préférez retenir vous-même un code, une phrase de passe peut être plus facile à mémoriser qu’une longue suite de caractères. Elle doit rester personnelle et difficile à anticiper : évitez les paroles de chanson, les citations connues et les phrases associées à vos profils publics. La CNIL indique qu’une longueur maximale fixée par un service ne devrait en principe pas être inférieure à 50 caractères pour une authentification par mot de passe, afin de permettre notamment l’usage de phrases. Ce repère concerne la conception des services, pas une obligation de créer un code de 50 caractères pour chaque compte.
Comment mettre en place de nouveaux mots de passe ?
Procédez par étapes, en commençant par les comptes qui peuvent servir à réinitialiser les autres accès :
- Sécurisez d’abord votre messagerie principale avec un mot de passe unique, puis activez la double authentification si elle est proposée.
- Choisissez un gestionnaire de mots de passe, ou une méthode de création que vous pouvez appliquer sans réutiliser vos codes.
- Remplacez les mots de passe réutilisés, en commençant par les comptes importants et ceux dont vous soupçonnez une compromission.
- Pour chaque nouveau compte, générez un code différent et respectez les contraintes indiquées par le service, sans reprendre un mot de passe existant.
- Conservez vos moyens de récupération dans un endroit sûr. Vérifiez que vous pourrez retrouver l’accès à votre gestionnaire si vous perdez votre appareil.
La double authentification ajoute une vérification en plus du mot de passe, par exemple un code temporaire ou une confirmation sur un appareil. Elle ne rend pas le mot de passe inutile, mais réduit le risque qu’un code volé suffise à ouvrir le compte. Utilisez-la d’abord sur les services qui proposent cette option et dont la perte d’accès aurait des conséquences importantes.
Comment vérifier que vos habitudes sont sûres ?
Passez en revue vos accès plutôt que de vous fier à une impression générale. Chaque compte devrait avoir son propre mot de passe ; les codes par défaut devraient être remplacés ; les comptes à risque devraient bénéficier d’une seconde vérification. Si un service annonce une fuite, ou si vous avez saisi votre mot de passe sur une page qui vous paraît douteuse, changez-le depuis le site ou l’application officiels. Remplacez aussi ses réutilisations ailleurs, car une fuite peut permettre de tester les mêmes identifiants sur d’autres services.
Le renouvellement automatique à intervalles fixes n’est pas toujours utile pour un compte personnel dont le mot de passe est unique et non compromis. La CNIL indique que les changements périodiques peuvent pousser les utilisateurs à modifier légèrement leur code, par exemple en ajoutant un chiffre ; elle réserve cette pratique aux comptes d’administration dans sa recommandation. En revanche, réagissez lorsqu’un indice concret apparaît : notification de compromission, connexion inconnue, code divulgué ou réutilisation découverte.
Enfin, ne communiquez jamais un mot de passe en réponse à un courriel, un appel ou un message inattendu. Pour vérifier une demande de changement, ouvrez vous-même l’application ou saisissez l’adresse habituelle du service dans votre navigateur. Vous trouverez d’autres sujets numériques dans la rubrique sciences et technologie, où la sécurité des accès s’inscrit parmi les gestes de protection des usages quotidiens.
Questions fréquentes
Faut-il changer régulièrement un mot de passe qui n’a pas été compromis ?
Pas nécessairement. Pour les comptes personnels classiques, changer régulièrement un mot de passe solide et unique n’apporte pas toujours de bénéfice et peut inciter à des variantes prévisibles. La CNIL ne recommande plus le renouvellement périodique pour ces comptes, mais le maintient pour les comptes d’administration. Changez-le sans attendre si vous soupçonnez une fuite, si vous l’avez partagé ou si vous l’avez réutilisé sur un service touché.
Une phrase de passe est-elle plus sûre qu’un mot de passe compliqué ?
Une phrase peut être une bonne option si elle est suffisamment longue et imprévisible. La CNIL donne, dans le cadre de sa recommandation, un exemple de politique fondée sur une phrase d’au moins sept mots. Une phrase connue, une citation ou une suite de mots très courants reste toutefois devinable. Si vous ne pouvez pas en créer une de façon réellement imprévisible, un gestionnaire peut générer une combinaison aléatoire.
Que faire si un site refuse mon mot de passe généré ?
Vérifiez les exigences affichées par le site : longueur minimale, caractères acceptés et présence éventuelle d’une majuscule ou d’un chiffre. Certains services imposent des contraintes particulières ou rejettent les mots de passe déjà connus. Générez alors une nouvelle combinaison qui respecte ces règles, sans reprendre le mot de passe utilisé ailleurs. Si le formulaire bloque le collage, vérifiez si une autre méthode de saisie est disponible.
Que faire si j’ai réutilisé le même mot de passe sur plusieurs comptes ?
Commencez par modifier celui du compte concerné par une fuite ou un doute, puis remplacez les réutilisations sur les autres services, en donnant la priorité à votre messagerie et aux comptes sensibles. Attribuez un mot de passe différent à chacun et activez la double authentification lorsque le service le propose. Si vous ne savez plus où vous l’avez utilisé, un gestionnaire peut vous aider à organiser progressivement vos accès.
