Recommandations de la CNIL sur les mots de passe (2022) : ce qu’il faut retenir
En juillet 2022, la CNIL a publié une nouvelle recommandation sur les mots de passe (délibération n° 2022-100), qui remplace celle de 2017. Elle s’adresse aux organismes qui gèrent des comptes (entreprises, administrations, associations, sites web), mais ses repères sont utiles à tout le monde. Ce guide résume ce qu’elle demande, en langage clair, avec des exemples concrets et la manière de l’appliquer.
Le principe : raisonner en entropie
Plutôt que d’imposer une liste de règles (« 8 caractères dont un chiffre »), la CNIL fixe un niveau de robustesse minimal exprimé en bits d’entropie. L’entropie mesure le nombre de mots de passe possibles : chaque bit supplémentaire double le travail d’un attaquant. Un mot de passe aléatoire de L caractères choisis parmi N vaut L × log2(N) bits. Par exemple, 12 caractères parmi 90 donnent environ 78 bits.
Ce choix permet de compenser : un mot de passe plus court est acceptable s’il est accompagné d’autres mesures (limitation des essais, appareil physique), et inversement.
Les trois cas prévus par la CNIL
| Cas | Entropie minimale | Exemples d’usage | Mesures complémentaires |
|---|---|---|---|
| Mot de passe seul | 80 bits | Forums, blogs, tout compte sans autre protection | Aucune exigée |
| Avec restriction d’accès | 50 bits | Le cas le plus courant : e-commerce, comptes d’entreprise, messagerie | Limiter les tentatives (temporisation croissante, blocage temporaire, captcha…) |
| Avec un matériel détenu par la personne | 13 bits | Carte bancaire, téléphone, carte SIM | Blocage après 3 essais infructueux |
Le troisième cas explique pourquoi un code PIN de 4 chiffres (environ 13 bits) est acceptable sur une carte bancaire : il faut détenir la carte, et elle se bloque après trois erreurs.
À quoi ressemble un mot de passe de 80 bits ?
La CNIL donne trois exemples équivalents :
- 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, ces derniers choisis parmi une liste d’au moins 37 caractères possibles ;
- 14 caractères mêlant majuscules, minuscules et chiffres, sans caractère spécial obligatoire ;
- une phrase de passe d’au moins 7 mots.
Attention : ces chiffres supposent que les caractères ou les mots sont tirés au hasard. « Bonjour2026!! » fait 13 caractères mais ne vaut presque rien, car il suit un schéma que les logiciels de craquage testent en premier. Notre générateur de mot de passe affiche l’entropie réelle de chaque mot de passe produit, et l’outil tester un mot de passe montre combien de temps il résisterait.
Fini le renouvellement obligatoire
C’est le changement le plus visible. La CNIL ne recommande plus d’imposer un changement périodique (tous les 90 jours, par exemple) pour les comptes utilisateurs : en pratique, les gens ajoutent un chiffre à la fin de l’ancien mot de passe, ce qui n’améliore pas la sécurité. Un mot de passe doit être changé en cas d’incident(fuite, suspicion de compromission) ou à la demande de l’utilisateur. Pour vérifier si un mot de passe a fuité, utilisez notre outil mot de passe piraté ?.
Exception : pour les comptes administrateurs et les accès à privilèges, le renouvellement périodique reste recommandé, de préférence avec une authentification à plusieurs facteurs.
Ce que la CNIL demande aux organismes
Lors de la création du mot de passe
- Afficher les règles de composition et, idéalement, un indicateur de robustesse ;
- accepter les mots de passe longs et une large palette de caractères, pour permettre les phrases de passe ;
- écarter les mots de passe trop courants ou déjà compromis, une bonne pratique également exigée par le NIST américain.
Lors du stockage
- Ne jamais stocker un mot de passe en clair ;
- le transformer avec une fonction à sens unique, sûre et utilisant un sel ou une clé : la CNIL cite scrypt et Argon2 ;
- ne jamais envoyer le mot de passe en clair par e-mail, y compris à l’inscription.
Lors de la réinitialisation
- Envoyer un lien ou un code temporaire, à usage unique et à durée de validité courte, plutôt qu’un nouveau mot de passe ;
- informer l’utilisateur de la réinitialisation par un autre canal si possible.
Et l’ANSSI ?
L’ANSSI, l’agence nationale de la sécurité des systèmes d’information, publie son propre guide « Recommandations relatives à l’authentification multifacteur et aux mots de passe » (version 2.0 de 2021), que la CNIL a cosigné. Les deux textes sont cohérents : l’ANSSI a abandonné le renouvellement périodique dès 2021, cite également scrypt et Argon2, et considère qu’un mot de passe est fort au-delà de 100 bits. La CNIL renvoie vers ce guide pour les systèmes qui exigent un niveau supérieur et a publié un tableau de correspondance entre les deux.
Comment appliquer ces recommandations
- Pour vous-même : 13 à 16 caractères aléatoires générés par un gestionnaire de mots de passe, un par compte, et la double authentification sur la messagerie et la banque.
- Pour votre mot de passe maître : une phrase de passe d’au moins 7 mots tirés au hasard.
- Pour votre organisation : partez du cas 2 (50 bits avec limitation des essais) comme minimum, visez 80 bits pour les comptes exposés, bloquez les mots de passe compromis, supprimez l’expiration périodique des comptes utilisateurs et hachez avec Argon2 ou scrypt. Notre générateur de politique de mot de passe (en anglais) peut servir de point de départ.
À retenir
- 80 bits minimum pour un mot de passe seul, 50 bits avec limitation des essais, 13 bits avec un appareil et blocage.
- 80 bits, c’est 12 caractères variés, 14 caractères alphanumériques ou 7 mots, à condition d’être aléatoires.
- Plus de renouvellement périodique pour les utilisateurs, mais un changement immédiat en cas de fuite.