Comment créer un mot de passe solide (et s’en souvenir)
Un mot de passe solide n’est pas un mot de passe compliqué : c’est un mot de passe long, imprévisible et utilisé sur un seul compte. Ce guide compare les méthodes pour en créer un, explique pourquoi certaines astuces populaires ne fonctionnent plus, et propose une organisation simple pour gérer tous vos comptes sans rien retenir, sauf un seul mot de passe.
Pourquoi les mots de passe « inventés » sont faibles
Les logiciels de craquage ne testent pas toutes les combinaisons au hasard. Ils commencent par les centaines de millions de mots de passe déjà piratés, puis par des dictionnaires (mots français, prénoms, villes, clubs de football) auxquels ils appliquent les transformations que tout le monde utilise :
- une majuscule au début :
Soleil; - une année ou « 123 » à la fin :
Soleil2026; - un symbole en dernier :
Soleil2026!; - des substitutions « leet » :
S0l3il,@poura.
Résultat : Soleil2026! respecte toutes les règles de complexité habituelles, mais il tombe parmi les premiers millions d’essais, soit en une fraction de seconde hors ligne. La complexité apparente ne protège que si chaque caractère est réellement tiré au hasard.
Méthode 1 : laisser un générateur choisir (la meilleure)
Un générateur de mots de passe tire chaque caractère au hasard avec le générateur cryptographique de votre appareil. Aucun schéma, aucune information personnelle : la robustesse se calcule exactement. Avec notre générateur de mot de passe :
- 13 caractères tous types : environ 84 bits, au-dessus du seuil de 80 bits de la CNIL ;
- 16 caractères : environ 103 bits, hors de portée de tout attaquant ;
- 14 caractères lettres et chiffres seulement, si un site refuse les symboles : environ 83 bits.
Inconvénient : impossible à retenir. Ce n’est pas un problème si vous utilisez un gestionnaire (voir plus bas).
Méthode 2 : la phrase de passe (pour ce que vous devez retenir)
Une phrase de passe est une suite de mots tirés au hasard, par exemple girafe-tunnel-orage-piment-velours-cabane-lundi. Chaque mot apporte autant de robustesse que la taille de la liste dont il est tiré : avec une liste de 7 776 mots (méthode Diceware, un mot par lancer de cinq dés), chaque mot vaut environ 12,9 bits. Sept mots dépassent donc 90 bits, et la CNIL considère qu’une phrase de 7 mots atteint son seuil de 80 bits.
- Le hasard est indispensable : une citation, un vers ou une phrase que vous inventez sont bien plus faibles que des mots tirés au sort.
- Majuscules et séparateurs ajoutent peu ; c’est le nombre de mots qui fait la robustesse.
- Utilisez-la pour les rares mots de passe à mémoriser : gestionnaire de mots de passe, session de l’ordinateur, chiffrement du disque.
La comparaison détaillée des deux approches, chiffres à l’appui, est dans notre guide anglais passphrases vs passwords.
Méthode 3 : les premières lettres d’une phrase (à éviter désormais)
Longtemps conseillée, la méthode consiste à prendre les initiales d’une phrase : « Un tiens vaut mieux que deux tu l’auras » devient 1tvmQ2tl’A. Elle produit des mots de passe courts, et les phrases connues (proverbes, paroles de chansons) sont elles aussi dans les dictionnaires des attaquants. Elle reste meilleure qu’un mot avec une année, mais une phrase de passe ou un générateur font mieux sans effort supplémentaire.
Les erreurs à éviter
- Réutiliser un mot de passe, même « fort » : après une fuite, les attaquants l’essaient automatiquement sur des centaines de sites.
- Des variantes d’un même mot de passe (
MonMdp-Amazon,MonMdp-Netflix) : le schéma se devine dès qu’un seul fuite. - Des informations personnelles : prénom des enfants, date de naissance, nom de l’animal, ville. Elles se trouvent souvent sur les réseaux sociaux.
- Les suites de clavier :
azerty,123456,aqwzsxsont parmi les plus utilisées en France. - Le noter sur un post-it ou dans un fichier non chiffré sur l’ordinateur.
L’organisation qui marche : un gestionnaire et un seul mot de passe à retenir
- Installez un gestionnaire de mots de passe : Bitwarden ou KeePassXC (open source, gratuits), 1Password, ou celui intégré à votre navigateur ou téléphone.
- Protégez-le par une phrase de passe de 7 mots tirés au hasard, que vous apprenez par cœur.
- Laissez-le générer un mot de passe aléatoire de 16 caractères pour chaque compte.
- Activez la double authentification (application, clé de sécurité ou passkey) sur la messagerie, la banque, les impôts et les réseaux sociaux.
- Commencez par vos comptes les plus importants : votre adresse e-mail d’abord, car elle permet de réinitialiser tous les autres.
Pensez enfin à vérifier que vos anciens mots de passe n’ont pas fuité avec notre outil mot de passe piraté ?, et changez en priorité ceux qui apparaissent.
À retenir
- Long, aléatoire, unique : un générateur donne les trois en un clic.
- Pour ce que vous devez retenir, une phrase de passe de 7 mots tirés au hasard.
- Un gestionnaire de mots de passe et la double authentification règlent le reste.