Créer un mot de passe sécurisé

La majorité des piratages de comptes ne viennent pas d’attaques sophistiquées mais de mots de passe faibles ou réutilisés. Quand un site se fait voler sa base d’utilisateurs, les identifiants circulent ensuite et sont essayés automatiquement sur d’autres services : c’est le bourrage d’identifiants (credential stuffing). Trois règles suffisent à s’en protéger : la longueur, l'unicité et la double authentification.

Ce qui rend un mot de passe solide

La solidité d’un mot de passe se mesure par son entropie : le nombre de combinaisons qu’un attaquant devrait essayer, exprimé en bits. Chaque bit supplémentaire double l’effort. Deux facteurs comptent :

• la longueur, de loin le facteur le plus important ;
• la variété des caractères (minuscules, majuscules, chiffres, caractères spéciaux), à condition que le choix soit vraiment aléatoire.

Les recommandations de la CNIL

Dans sa recommandation de juillet 2022, la CNIL raisonne en entropie. Pour un mot de passe utilisé seul, sans autre protection, elle retient un niveau minimal de 80 bits, ce qui correspond par exemple à :

Des seuils plus bas sont admis quand d’autres protections existent (blocage après plusieurs échecs, code PIN lié à un appareil). L’ANSSI, l’agence nationale de la sécurité des systèmes d’information, publie des recommandations convergentes.

La phrase de passe : longue et mémorisable

Une phrase de passe assemble plusieurs mots sans lien entre eux : « cactus-violon-marée-tribune-ourson-glacier-pomme ». Elle est plus facile à retenir et à taper qu’une suite de signes, tout en étant très solide si les mots sont tirés au hasard (avec un dé ou un générateur), et non issus d’une citation connue.

Les règles d’or

1. Un mot de passe différent pour chaque compte. C’est la règle la plus importante : la fuite d’un site ne doit pas ouvrir les autres.
2. Protéger en priorité la messagerie : c’est elle qui permet de réinitialiser tous les autres comptes.
3. Activer la double authentification partout où c’est possible.
4. Ne jamais communiquer son mot de passe, ni par téléphone, ni par courriel : aucun service sérieux ne le demande (voir phishing).
5. Changer immédiatement un mot de passe en cas de fuite ou de doute. En revanche, le changement périodique obligatoire n’est plus recommandé s’il n’y a pas de raison : il pousse à des variantes prévisibles.
6. Ne pas enregistrer ses mots de passe dans un fichier non chiffré ou sur un papier collé à l’écran.

Le gestionnaire de mots de passe

Retenir un mot de passe long et unique par compte est impossible de tête. Un gestionnaire de mots de passe le fait pour vous : il génère des mots de passe aléatoires, les stocke chiffrés et les remplit automatiquement. Il suffit de retenir un seul mot de passe maître, très solide (une phrase de passe), protégé par une double authentification.

Un bon gestionnaire signale aussi les mots de passe réutilisés, faibles ou apparus dans une fuite connue.

La double authentification

La double authentification (ou authentification à deux facteurs, 2FA) exige, en plus du mot de passe, une seconde preuve :

Même si votre mot de passe est volé, l’attaquant ne peut pas se connecter sans le second facteur.

Les clés d’accès (passkeys)

Les clés d’accès (passkeys), fondées sur les normes FIDO2 / WebAuthn, remplacent le mot de passe par une paire de clés cryptographiques stockée sur l’appareil et débloquée par empreinte, visage ou code PIN. Elles sont prises en charge par les principaux systèmes et un nombre croissant de sites. Leur grand avantage : elles sont liées au site légitime et ne peuvent pas être saisies sur un faux site, ce qui neutralise le phishing. Quand un service les propose, c’est généralement la meilleure option.

Vérifier si ses identifiants ont fuité

Le service Have I Been Pwned permet de vérifier si une adresse de courriel figure dans une fuite de données connue. Les gestionnaires de mots de passe intègrent souvent cette vérification. En cas de fuite, changer le mot de passe concerné et tous ceux qui seraient identiques.

Questions fréquentes

Quelle longueur minimale pour un mot de passe ?

Au moins 12 caractères variés et aléatoires pour un compte sans autre protection, selon la CNIL ; davantage pour les comptes sensibles. Une phrase de passe de 7 mots aléatoires atteint un niveau comparable.

Est-il risqué d’enregistrer ses mots de passe dans le navigateur ?

C’est bien plus sûr que de réutiliser le même mot de passe partout. Il faut en revanche protéger la session de l’ordinateur et le compte associé (Google, Apple, Microsoft, Mozilla) par un mot de passe solide et une double authentification.

Faut-il changer ses mots de passe régulièrement ?

Non, sauf en cas de fuite, de compromission suspectée ou de partage passé. Mieux vaut un mot de passe long, unique et stable qu’un mot de passe modifié tous les trois mois de façon prévisible.

Que faire si j’ai oublié le mot de passe maître de mon gestionnaire ?

Pour la plupart des gestionnaires chiffrés de bout en bout, il n’est pas récupérable : c’est la condition de leur sécurité. Configurez dès le départ les options de secours proposées (kit d’urgence, contact de récupération) et conservez-les en lieu sûr.