Il y a quelques semaines, un lecteur m'écrit : « J'ai mis un mot de passe de 8 caractères avec une majuscule et un chiffre, ça suffit, non ? » J'ai grincé des dents. Pas parce qu'il faisait mal — parce qu'il répétait ce qu'on lui avait seriné pendant quinze ans, et que ce conseil a mal vieilli. Très mal vieilli.
Créer un mot de passe fort aujourd'hui, ce n'est plus une affaire de symboles bizarres ni de gymnastique mentale. C'est une affaire de longueur, de méthode, et d'un outil que beaucoup refusent encore d'utiliser par principe. Je vais vous montrer comment faire, concrètement, y compris sur téléphone.
Points clés à retenir
- La longueur pèse infiniment plus que la complexité dans la résistance d'un mot de passe.
- 8 caractères, même avec symboles, se cassent en quelques heures sur du matériel grand public.
- La phrase de passe (« passphrase ») bat presque toujours le mot de passe court et torturé.
- Un gestionnaire de mots de passe règle 90 % du problème — et vous n'avez plus qu'un secret à retenir.
- Le renouvellement systématique tous les 90 jours est une mauvaise habitude héritée d'une autre époque.
- Le vrai danger n'est pas le crackage : c'est la réutilisation sur plusieurs sites.
Pourquoi votre mot de passe de 8 caractères ne tient plus
La question qu'on me pose le plus souvent, c'est celle-ci : « Comment créer un mot de passe avec 12 caractères ? » Sous-entendu : 12, c'est le seuil magique ? Et bien non, pas vraiment. 12, c'est le plancher acceptable aujourd'hui. Pas le plafond.
Voici ce que beaucoup ignorent. Un attaquant moderne ne devine pas votre mot de passe lettre par lettre. Il utilise des cartes graphiques de jeu vidéo, détournées pour tester des milliards de combinaisons par seconde. Une machine à 1 500 € en aligne plusieurs dizaines de milliards sur des algorithmes faibles, et quelques milliers par seconde sur des algorithmes lents (comme bcrypt, que les sites sérieux devraient utiliser).
Le calcul qui change tout
Prenons un exemple concret. Un mot de passe de 8 caractères pris dans un alphabet complet (majuscules, minuscules, chiffres, symboles) offre environ 6 000 milliards de possibilités théoriques. Ça paraît énorme. Sur un algorithme rapide, cela correspond à...
Comptons en heures, pas en années. Quelques heures. Parfois moins d'une.
Passez à 12 caractères dans le même alphabet : on multiplie par 95 à chaque caractère ajouté. Le bond est vertigineux. À 16 caractères, on sort de la portée de toute attaque par force brute raisonnable — pas parce que c'est mathématiquement impossible, mais parce que le coût dépasse la valeur de ce qu'on cherche à voler.
| Longueur | Exemple | Résistance estimée (algorithme rapide) |
|---|---|---|
| 6 caractères | Kp7$mN | Quelques minutes |
| 8 caractères | Kp7$mN4z | Quelques heures |
| 12 caractères | Kp7$mN4z!q2# | Des mois à des années |
| 16 caractères | Kp7$mN4z!q2#Lw9@ | Hors de portée pratique |
| Phrase de passe | cheval-jaune-tasse-vite-7 | Excellente, et mémorisable |
Vous voyez le piège ? Un mot de passe de 12 caractères du type Kp7$mN4z!q2# est excellent sur le papier. Mais vous allez le noter sur un post-it, ou le réutiliser partout, ou l'oublier trois fois par semaine. Et c'est là que tout s'écroule.
La méthode de la phrase de passe : le vrai secret des gens prudents
Quand on me demande un exemple de mot de passe sécurisé, je réponds rarement par une suite de symboles. Je réponds par une phrase.
Prenez quatre mots sans lien entre eux, ajoutez un chiffre et un séparateur. Exemple : souris-violon-orage-42. C'est long, c'est idiot à retenir ? Non, justement. C'est facile, parce que votre cerveau retient des histoires, pas du bruit.
Pourquoi ça marche mieux que vous ne le pensez
Une phrase de quatre mots courants offre un espace de recherche énorme tout en restant dans votre mémoire à long terme. Les attaques par dictionnaire classiques sont mises en échec dès qu'on sort du mot unique. Les attaques par force brute, elles, se heurtent à la longueur brute.
J'ai testé sur mon propre compte le passage d'un mot de passe complexe de 9 caractères à une phrase de passe de 20 caractères. Résultat : je ne l'ai plus jamais oublié. Deux ans, zéro réinitialisation. L'inverse exact de mon ancien « Kx!9#vB2 » que je remettais à zéro tous les six semaines.
Le seul bémol : ne réutilisez jamais votre phrase de passe ailleurs. C'est le point faible de la méthode. Un site qui stocke mal les mots de passe peut fuiter votre phrase, et vous voilà nu sur tous vos autres comptes.
Que faire face à la limite des 8 caractères imposée par certains sites ?
Vous tomberez sur des formulaires qui refusent tout au-delà de 8 caractères. C'est agaçant, et c'est un signe que le site n'a pas mis à jour ses pratiques depuis longtemps. Dans ce cas :
- Utilisez un mot de passe unique, jamais le même qu'ailleurs.
- Notez-le dans votre gestionnaire — c'est exactement le genre de cas où l'outil sauve la situation.
- Activez la double authentification si elle existe. Cela compense largement la faiblesse du mot de passe.
Et si le site n'offre ni gestionnaire compatible ni 2FA ? Fuyez, ou acceptez le risque en connaissance de cause. On ne peut pas tout contrôler.
Les gestionnaires de mots de passe : la seule vraie réponse
Franchement, si vous ne devez retenir qu'une chose de cet article : installez un gestionnaire de mots de passe. Aujourd'hui. Ce soir.
Le principe est simple. Vous créez un seul mot de passe maître — une phrase de passe, évidemment. Ce secret protège un coffre-fort chiffré qui contient tous les autres. Le logiciel génère des mots de passe de 20, 30, 40 caractères aléatoires, uniques pour chaque site, et les remplit automatiquement à votre place.
Listes et générateurs gratuits : comment s'y retrouver
Attention à ce que vous cherchez. Vous trouverez facilement des « listes de mots de passe forts » ou des « listes gratuites ». Ne les utilisez pas. Par définition, un mot de passe qui figure dans une liste publique est connu des attaquants, au premier rang desquels. Une liste n'est pas une ressource, c'est un piège.
Les générateurs gratuits, en revanche, sont utiles — à une condition. Utilisez ceux intégrés à un gestionnaire reconnu, ou ceux proposés par des institutions officielles de cybersécurité. Un générateur en ligne obscur qui affiche votre mot de passe en clair dans une URL : fuyez. Vous ne savez pas ce qu'il fait de votre saisie.
Comment vérifier qu'un générateur est fiable ?
Trois signes qui ne trompent pas : le mot de passe s'affiche localement (pas envoyé à un serveur), le code source ou la politique de confidentialité mentionne explicitement la non-conservation des données, et l'outil propose de régler la longueur et le jeu de caractères. Le reste, c'est de la loterie.
Créer un mot de passe sur téléphone : la méthode pratique
Il y a une question qu'on me pose sans arrêt : « Comment créer un mot de passe sur téléphone ? » Et je comprends la galère. Les claviers mobiles n'aident pas, les gestionnaires intégrés varient d'un système à l'autre, et on finit souvent par taper un truc bancal par fatigue.
La bonne nouvelle : sur iOS comme sur Android, des gestionnaires natifs existent (Trousseau iCloud, Google Password Manager). Ils génèrent, stockent et remplissent. Sur un iPhone, l'option apparaît directement dans le champ de saisie — vous n'avez qu'à accepter la suggestion forte.
Les bonnes pratiques qui font vraiment la différence
- Activez le remplissage automatique du gestionnaire natif avant tout le reste.
- Refusez la suggestion « mot de passe fort » uniquement si elle est trop courte ou non unique (rare).
- Activez la double authentification partout où c'est proposé — SMS en dernier recours, application d'authentification de préférence.
- Ne partagez jamais un mot de passe par SMS, mail ou messagerie.
- Vérifiez une fois par an les fuites potentielles sur vos comptes critiques.
Et une hérésie à abandonner : changer votre mot de passe tous les 90 jours. Cette règle vient d'une époque où l'on pensait que la compromission était progressive. Aujourd'hui, les recommandations ont changé. Ne changez que si vous avez un soupçon de fuite. Changer pour changer vous pousse vers des variantes faibles du type MonMotDePasse2026! puis MonMotDePasse2027! — un schéma qu'un attaquant devine en trois secondes.
Ce qu'il faut retenir, sans se voiler la face
Je vais être direct : la majorité des gens que je croise appliquent encore les conseils d'il y a vingt ans. Majuscule, chiffre, symbole, huit caractères, changement régulier. C'est un rituel rassurant, pas une protection.
La vraie hiérarchie, celle que je défends bec et ongles, c'est celle-ci : longueur d'abord, unicité ensuite, gestionnaire toujours, double authentification en bonus. La complexité, elle, arrive bonne dernière — utile, mais secondaire.
Et le jour où votre phrase de passe vous échappe, ce n'est pas grave. Vous la réinitialisez, vous en créez une nouvelle, vous continuez. Le vrai drame, ce n'est pas d'oublier un mot de passe. C'est de réutiliser le même partout, et de le découvrir le jour où un site mineur se fait aspirer sa base de données. Là, ce n'est plus une contrariété — c'est une matinée entière passée à changer vos identifiants sur quinze services, un par un, la sueur au front.
Alors prenez dix minutes ce soir. Installez un gestionnaire. Créez une phrase de passe. Migrez vos trois comptes les plus sensibles en premier. Le reste suivra tout seul.
