Créer un mot de passe solide : longueur, méthode, comptes

Un bon mot de passe se crée en trois temps : une longueur d’au moins 12 caractères, un mélange de majuscules, minuscules, chiffres et caractères spéciaux, et aucun lien avec votre vie personnelle. Le plus simple pour le retenir consiste à partir d’une phrase. Voici comment la transformer, ce que valent vraiment 8 ou 12 caractères, et par quels comptes commencer.

Quelle longueur et quelle composition viser ?

Pour un compte personnel, visez au minimum 12 caractères, en mélangeant majuscules, minuscules, chiffres et caractères spéciaux. C’est la recommandation de Cybermalveillance.gouv.fr, et l’outil de génération de la CNIL raisonne lui aussi à partir de mots de passe de douze caractères ou plus.

Évitez toute information facile à retrouver : prénoms, dates de naissance, nom d’un animal, ville de résidence. Un proche ou un inconnu qui consulte vos réseaux sociaux les trouve en quelques minutes. Plus le mot de passe est long et sans rapport avec vous, moins il se devine.

Chaque compte doit avoir le sien. Si un même mot de passe sert partout, la fuite d’un seul site ouvre toutes vos portes d’un coup.

Ce que valent 8, 12 et 16 caractères

La longueur compte plus que les symboles. Le tableau ci-dessous compte les combinaisons possibles et le temps qu’il faudrait pour toutes les essayer, dans le pire des cas, avec une hypothèse volontairement large de 10 milliards d’essais par seconde. Ce n’est pas une mesure : c’est un calcul maison, à partir de 26 lettres minuscules ou d’environ 94 caractères imprimables.

Lecture du tableau : chaque ligne suppose que l’attaquant essaie toutes les combinaisons dans l’ordre, sans tomber sur la bonne avant la fin. En pratique, un mot de passe prévisible tombe bien plus tôt, parce que les attaquants testent d’abord les mots courants et les suites classiques.

Deux enseignements. Quatre caractères de plus changent l’ordre de grandeur bien davantage que l’ajout d’un symbole. Et douze minuscules seules restent fragiles : il faut mélanger les types.

Trois façons de fabriquer un mot de passe

Cybermalveillance.gouv.fr range ces approches en deux options. La première est de le créer vous-même, en retenant la première lettre de chaque mot d’une phrase, ou en utilisant la phonétique d’une phrase pour obtenir une suite de lettres et de chiffres. C’est la plus lente, mais elle donne un résultat que vous pouvez mémoriser.

La seconde est d’utiliser un générateur. Il invente des mots de passe aléatoires, qui ne répondent à aucune logique et qu’on ne retient pas : un gestionnaire de mots de passe les garde pour vous. KeePassXC, gratuit, est cité comme exemple, dans sa version 2.7.9 certifiée par l’ANSSI.

• Phrase de passe : mémorisable, à construire soi-même.
• Phonétique : une phrase lue à voix haute, convertie en lettres et en chiffres.
• Générateur : aléatoire, à confier à un gestionnaire.

La méthode de la phrase, pas à pas

L’outil de la CNIL propose cette logique : une phrase personnelle, contenant un nombre, une majuscule et un signe de ponctuation, dont on garde les premières lettres de chaque mot, en conservant les nombres et la ponctuation. L’outil ne récupère aucun mot de passe saisi.

Prenons une phrase d’exemple : « Mon mot de passe est un secret bien gardé depuis 25 ans ! ». Les initiales donnent Mmdpeusbgd25a!, soit 14 caractères avec majuscule, chiffres et ponctuation.

N’utilisez pas cet exemple tel quel, puisqu’il est publié : prenez une phrase qui n’appartient qu’à vous.

1. Choisissez une phrase que vous retiendrez sans effort.
2. Gardez la première lettre de chaque mot, les nombres et la ponctuation.
3. Ajoutez un caractère spécial si la phrase n’en contient pas.
4. Vérifiez que le résultat atteint au moins 12 caractères.

Avant de valider, passez le résultat au contrôle suivant. Il tient en cinq questions, et une seule réponse négative suffit à recommencer.

• Compte-t-il au moins 12 caractères ?
• Mélange-t-il quatre types de caractères ?
• Est-il sans rapport avec vous, vos proches et vos réseaux sociaux ?
• Est-il différent de tous vos autres mots de passe ?
• Évite-t-il les suites de chiffres, de lettres ou de touches ?

Éviter les suites et les dates

Certains motifs affaiblissent un mot de passe, même long. L’outil de la CNIL les signale : un nombre compris entre 1950 et 2049, très fréquent dans les mots de passe, une suite de quatre chiffres ou plus comme 1234 ou 5678, quatre lettres dans l’ordre alphabétique, une suite de touches voisines comme azerty ou qwerty, ou des caractères identiques répétés.

Le principe est simple : plus un motif est prévisible, plus il se devine vite. Remplacez un mot par un caractère spécial ou un émoticône, comme 🙂 pour « sourire », pour casser la régularité.

Un mot de passe par compte : par où commencer ?

Cybermalveillance.gouv.fr insiste sur la messagerie. Votre adresse e-mail reçoit les liens de réinitialisation de vos autres services : si elle est piratée, un attaquant peut utiliser la fonction « mot de passe oublié » pour prendre la main sur le reste. C’est donc le compte qui mérite le mot de passe le plus long et le plus original.

Pensez aussi à changer les mots de passe par défaut des équipements et services : ils sont souvent connus des cybercriminels. Et ajoutez la double authentification par application dès que le service la propose.

Gestionnaire ou mémoire : que choisir ?

Une fois la méthode maîtrisée, vous aurez des dizaines de comptes. Retenir autant de phrases est irréaliste. Un gestionnaire de mots de passe les stocke chiffrés derrière un seul mot de passe maître, celui que vous construirez avec la méthode de la phrase.

Les mots de passe générés aléatoirement, plus difficiles à mémoriser, y trouvent leur place naturelle. Si vous avez déjà un compte à récupérer, voyez comment changer son mot de passe Gmail et contrôler les connexions. Les clés d’accès prolongent cette logique en supprimant le mot de passe quand le service le permet.

Ne jamais écrire ni partager un mot de passe

N’écrivez pas vos mots de passe personnels ou professionnels sur un papier. Ne les donnez à personne, même à un proche. Aucune entreprise ni service de l’État ne vous le demandera par téléphone ou par courriel : une telle demande est une tentative d’hameçonnage.

Sur un ordinateur partagé, utilisez la navigation privée, n’enregistrez rien dans le navigateur et fermez vos sessions. Au moindre soupçon d’activité inhabituelle ou après un piratage d’un service que vous utilisez, changez le mot de passe immédiatement.

Choisissez aujourd’hui une phrase qui n’appartient qu’à vous, fabriquez-en le mot de passe de votre messagerie, puis passez à votre banque. Activez la double authentification sur ces deux comptes avant de vous occuper des autres. Un gestionnaire prendra le relais pour le reste, dès que vous serez prêt.

Yann Deverre

Douze ans de développement web, en agence puis chez un éditeur de logiciels, avant de passer à l'écriture. Il explique le numérique en partant du mécanisme, et teste avant d'affirmer.