Technologie

Comment créer un mot de passe sécurisé (et s’en souvenir)

Pour qui en a assez d’inventer des mots de passe pleins de symboles puis de les oublier : ce que disent les recommandations officielles, avec notre calcul de ce que vaut chaque caractère et chaque mot.

Par Angel Aguilar8 novembre 20269 min de lecture

Pour créer un mot de passe sécurisé, choisissez-le long, aléatoire et différent pour chaque compte : la longueur compte plus que les symboles. La CNIL fixe un objectif de 80 bits d’entropie, atteint par exemple avec 14 caractères sans symbole obligatoire, et le NIST américain interdit désormais aux sites d’imposer des symboles ou des changements périodiques. Pour le retenir, utilisez une phrase de plusieurs mots tirés au sort et confiez le reste à un gestionnaire de mots de passe.

Ensuite, activez la double authentification ou, quand c’est proposé, les clés d’accès (passkeys). Plus bas : nos calculs comparant 8 caractères avec symboles et 4 mots, et comment savoir si un de vos mots de passe a fuité.

Qu’est-ce qui rend un mot de passe sécurisé ?

Un mot de passe est sécurisé quand il est difficile à deviner pour un programme qui essaie des millions de possibilités. Cela tient à trois choses : il est long, aléatoire plutôt que tiré de votre vie (prénoms, dates, votre club) et utilisé nulle part ailleurs. Les symboles aident moins qu’on ne le croit.

C’est pourquoi le NIST oblige les sites à refuser tout nouveau mot de passe figurant sur une liste de mots de passe courants, prévisibles ou déjà fuités. « Marseille2026! » respecte les anciennes règles, mais c’est un mot connu, une année et un signe à la fin : la première chose qu’essaierait n’importe quel programme.

Qu’est-ce qui compte le plus : la longueur ou les symboles ?

La longueur. Chaque caractère ajouté multiplie les combinaisons possibles, alors que passer des lettres seules aux lettres avec symboles élargit seulement « l’alphabet » de chaque position. D’où l’accent sur la longueur : le NIST demande au moins 15 caractères sans second facteur, et la CNIL, dans sa recommandation du 14 octobre 2022, propose 12 caractères avec les quatre types, ou 14 sans caractère spécial.

Nous l’avons vérifié avec des chiffres. Le 25 octobre 2026, nous avons calculé avec Node.js le nombre de combinaisons de chaque type de mot de passe, en supposant chaque caractère ou mot tiré au hasard : on élève le nombre de choix à la puissance de la longueur (94 caractères du clavier, ou 7 776 mots d’une liste comme celle de la méthode des dés de l’EFF) et on convertit en bits.

Combinaisons possibles et entropie de mots de passe tirés au hasard. Calcul maison avec Node.js, 25 octobre 2026.
Mot de passe	Combinaisons	Bits
8 caractères, minuscules seules	≈ 2,1 × 10¹¹	37,6
8 caractères avec majuscules, chiffres et symboles	≈ 6,1 × 10¹⁵	52,4
4 mots d’une liste de 7 776	≈ 3,7 × 10¹⁵	51,7
5 mots	≈ 2,8 × 10¹⁹	64,6
6 mots	≈ 2,2 × 10²³	77,5
15 caractères, minuscules seules	≈ 1,7 × 10²¹	70,5
16 caractères avec majuscules, chiffres et symboles	≈ 3,7 × 10³¹	104,9

Les bits sont une façon courte de compter : chaque bit double les possibilités, comme une pièce de plus à deviner. Dans le tableau, 15 minuscules aléatoires (70,5 bits) dépassent largement 8 caractères avec symboles (52,4). Pour les 80 bits de la CNIL, il faut 16 caractères aléatoires ou 7 mots (90,5 bits) : 6 mots, à 77,5, restent juste en dessous.

Ces calculs ne valent que si le mot de passe est vraiment aléatoire, tiré aux dés ou par un générateur ; celui que vous inventez a bien moins de possibilités réelles. Ils ne disent pas non plus combien de temps prend un cassage, qui dépend du stockage du site et du matériel de l’attaquant : nous ne donnons donc pas de durées.

Comment créer une phrase de passe facile à retenir ?

Une phrase de passe, ce sont plusieurs mots sans lien entre eux, tirés au sort, comme « tortue lampe récolte verre » : on la retient grâce à une image mentale, et elle est longue sans effort. La CNIL donne en exemple une phrase d’au moins 7 mots ; l’EFF en recommande au moins 6. Voici comment faire :

Tirez les mots au sort, avec des dés et une liste numérotée ou avec le générateur de votre gestionnaire. Ceux qui vous viennent à l’esprit ne sont pas aléatoires.
Prenez au moins 6 ou 7 mots si la phrase protège quelque chose d’important, comme votre messagerie ou votre gestionnaire.
Évitez proverbes, chansons et citations célèbres : ce sont des phrases connues.
Imaginez une scène qui relie les mots dans l’ordre : c’est elle que vous retiendrez.

Le constat honnête de notre tableau : 4 mots aléatoires (51,7 bits) valent presque 8 caractères aléatoires avec symboles (52,4). Leur avantage est qu’on s’en souvient, et chaque mot de plus multiplie les possibilités par 7 776. À 7 mots, vous dépassez l’objectif de la CNIL sans un seul symbole.

Faut-il changer son mot de passe tous les 90 jours ?

Non, sauf indice de fuite. La CNIL ne recommande plus de renouvellement périodique pour les comptes ordinaires et le réserve aux comptes d’administration. Le NIST, dans sa version de 2025, interdit aux sites de l’exiger et ne leur impose de forcer le changement que s’il y a des preuves que le mot de passe a été compromis.

Cette quatrième révision du NIST, publiée en juillet 2025, interdit aussi d’exiger majuscules, chiffres et symboles, et demande d’accepter au moins 64 caractères, le copier-coller et les gestionnaires. Votre banque ou votre employeur peuvent garder les anciennes règles ; chez eux, ce sont les leurs qui s’appliquent.

Pourquoi ne pas réutiliser le même mot de passe ?

Parce qu’il suffit qu’un site fuite pour ouvrir tous les autres. Si un petit forum perd sa base et que votre messagerie a le même mot de passe, on peut essayer ce couple adresse et mot de passe sur votre messagerie, votre banque et vos réseaux. La CISA, l’agence américaine de cybersécurité, conseille un mot de passe différent pour chaque compte.

Est-ce sûr d’utiliser un gestionnaire de mots de passe ?

Oui, et c’est ce que recommandent les guides officiels. Un gestionnaire conserve vos mots de passe chiffrés derrière un seul mot de passe maître, en génère d’aléatoires et les remplit à votre place : vous n’en retenez qu’un. La CISA rappelle que certains sont gratuits, comme ceux intégrés aux navigateurs. Vous en avez probablement déjà un :

Gestionnaire de mots de passe de Google, dans Chrome et sur Android. Son Check-up Mots de passe signale ceux qui sont exposés, faibles ou réutilisés sur plusieurs comptes.
Mots de passe, l’app d’Apple depuis iOS 18 et macOS Sequoia, conserve mots de passe, clés d’accès et codes de validation et vous prévient si l’un d’eux apparaît dans une fuite connue.
Des gestionnaires indépendants, gratuits ou payants, si vous mélangez les marques : un iPhone et un PC sous Windows, par exemple.

Il n’existe pas de « meilleur » gestionnaire pour tous : celui intégré suffit si vos appareils sont de la même marque. Dans tous les cas, protégez-le avec une longue phrase de passe et la double authentification : c’est la clé de tous les autres.

Qu’est-ce que la double authentification et quelle méthode choisir ?

C’est demander une seconde preuve en plus du mot de passe : un code, une validation dans une app ou une clé physique. Même avec votre mot de passe volé, personne n’entre sans cette étape. Commencez par votre messagerie, où arrivent les liens de récupération de presque tous vos comptes.

Toutes les méthodes ne se valent pas. Le NIST classe les codes par SMS ou appel comme un authentificateur « restreint », moins sûr. Notre conseil : si vous avez le choix, prenez une app d’authentification ou une clé de sécurité, et gardez les codes de secours hors du téléphone. Un SMS reste mieux que rien.

Que sont les clés d’accès (passkeys) ?

Une clé d’accès, ou passkey, remplace le mot de passe : vous vous connectez avec l’empreinte, le visage ou le code de votre téléphone. Selon la FIDO Alliance, qui a créé le standard, elles résistent à l’hameçonnage et ne laissent aucun mot de passe à voler, car vous et le site ne partagez aucun secret.

Votre empreinte ne quitte pas l’appareil : Google explique que vos données biométriques restent sur votre appareil. Et une clé d’accès ne marche pas sur une fausse page, même avec un cadenas ; le cadenas ne fait que chiffrer la connexion, comme nous l’expliquons dans ce que garantit HTTPS. Activez-les dès qu’un site les propose, dans les paramètres de sécurité du compte.

Comment savoir si un de vos mots de passe a fuité ?

Cherchez votre adresse e-mail sur Have I Been Pwned, un service qui recense, au 25 octobre 2026, plus de 17,8 milliards de comptes compromis issus de 1 047 sites. Si elle apparaît, changez le mot de passe de ce site et de tout autre où vous l’avez réutilisé.

Pour votre adresse : saisissez-la sur Have I Been Pwned et voyez dans quelles fuites elle figure.
Pour un mot de passe précis : la rubrique Pwned Passwords le vérifie sans qu’il quitte votre appareil : le navigateur calcule une empreinte (un hash) et n’envoie que ses 5 premiers caractères.
Pour tous à la fois : le Check-up Mots de passe de Google ou les recommandations de sécurité de l’app Mots de passe d’Apple.

Apparaître dans une fuite ne veut pas dire que quelqu’un est entré dans votre compte, mais que vos données de ce site circulent. C’est le moment de changer le mot de passe.

Qu’est-ce que cela change pour vous et votre entreprise ?

Dans une petite entreprise, les comptes clés sont peu nombreux : messagerie, banque, réseaux sociaux, WhatsApp professionnel et administration du site. Pour ceux-là :

Une personne, un compte. Un mot de passe partagé par toute l’équipe empêche de savoir qui a fait quoi.
La double authentification sur la messagerie et les réseaux, avec les codes de secours hors du téléphone.
Méfiez-vous des liens qui demandent votre mot de passe, y compris derrière un QR code : un QR code ne contient qu’un lien, et le piège, c’est la page vers laquelle il mène.

Ce qu’on exagère sur les mots de passe

« Avec un symbole, il est sûr. » Un symbole à la fin d’un mot connu ne change presque rien ; la longueur et le hasard, si.
« Une phrase de 4 mots est incassable. » Dans notre tableau, 4 mots aléatoires valent à peu près 8 caractères aléatoires. Pour un compte important, visez 7 mots.

L’essentiel

Long, aléatoire et un par compte : une phrase de 7 mots pour les rares à retenir, un gestionnaire pour le reste. Puis la double authentification ou les clés d’accès, et un passage sur Have I Been Pwned de temps en temps.

Et si vous préférez ne pas créer un compte de plus, plusieurs des outils gratuits de Vertize Plus fonctionnent sans inscription.

Questions fréquentes

Quel est un exemple de mot de passe sécurisé ?

Une phrase de mots tirés au sort, comme « tortue lampe récolte verre grue carte ruisseau », ou 16 caractères créés par votre gestionnaire. Ne recopiez aucun exemple publié, celui-ci compris.

Est-ce sûr d’enregistrer ses mots de passe dans le navigateur ?

Oui, si votre compte Google ou Apple a un mot de passe solide et la double authentification, et que personne d’autre n’utilise votre ordinateur avec votre session ouverte. La CISA cite ces gestionnaires intégrés comme une option gratuite.

À quelle fréquence faut-il changer ses mots de passe ?

Seulement quand il y a une raison : une fuite, une alerte de votre gestionnaire ou un soupçon. La CNIL ne recommande plus de renouvellement périodique pour les comptes ordinaires.