Pendant des années, la consigne dominante a poussé à mélanger majuscules, chiffres et symboles dans des mots de passe courts, au point de produire des suites illisibles, difficiles à retenir et, paradoxalement, pas si résistantes qu’on l’imaginait. La mesure qui compte réellement, du point de vue d’une attaque automatisée, s’appelle l’entropie : elle dépend surtout de la longueur du mot de passe et de l’imprévisibilité de sa composition, bien plus que de la présence forcée d’un symbole à un endroit précis.
Ce que mesure l’entropie, en pratique
L’entropie d’un mot de passe, exprimée en bits, représente le nombre de tentatives qu’un outil automatisé devrait effectuer, dans le pire des cas, avant de le trouver par force brute. Chaque caractère supplémentaire multiplie ce nombre de combinaisons possibles, alors qu’ajouter un type de caractère à un mot de passe déjà court l’augmente beaucoup moins que ne le pense l’intuition. Un mot de passe de huit caractères mélangeant majuscules, chiffres et symboles peut ainsi présenter une entropie inférieure à celle d’une phrase de vingt caractères composée uniquement de lettres minuscules, simplement parce que la longueur pèse davantage dans le calcul que la variété apparente des symboles utilisés.
Pourquoi la complexité seule déçoit
Un mot de passe court mais complexe présente un autre défaut, plus humain que mathématique : il pousse à des habitudes prévisibles pour rester mémorisable. Remplacer un « a » par un « @ », ajouter un point d’exclamation à la fin, ou placer systématiquement la majuscule en première position — ces astuces, largement anticipées par les outils d’attaque modernes, réduisent fortement le gain de sécurité réel qu’elles semblent apporter. Un mot de passe compliqué mais construit selon un schéma habituel protège donc beaucoup moins qu’il ne le paraît, précisément parce que ce schéma est déjà connu de qui cherche à le deviner.
La phrase de passe, alliée de la mémoire
Assembler plusieurs mots sans lien logique évident entre eux, pour former une phrase longue mais mémorisable, produit généralement une entropie bien supérieure à un mot de passe court chargé de symboles, tout en restant plus facile à retenir sur la durée. L’essentiel tient dans l’absence de lien évident entre les mots choisis : une phrase tirée d’une citation connue ou d’un nom propre familier reste prévisible, alors qu’un assemblage arbitraire de mots sans rapport entre eux échappe largement aux dictionnaires utilisés par les outils de devinette automatisée.
Le gestionnaire de mots de passe, pour sortir du dilemme
Retenir plusieurs phrases de passe longues et différentes pour chaque service reste, en pratique, difficile sans aide extérieure. Un gestionnaire de mots de passe résout ce dilemme en générant et en stockant, derrière un seul mot de passe maître particulièrement robuste, des identifiants longs et aléatoires propres à chaque service — une pratique aujourd’hui recommandée aussi bien pour un usage personnel que professionnel, à condition de choisir ce mot de passe maître avec un soin particulier puisqu’il protège, à lui seul, l’accès à tous les autres.
La réutilisation, danger plus grand que la faiblesse
Un mot de passe long et robuste perd une grande partie de son intérêt s’il est réutilisé à l’identique sur plusieurs services distincts. Le risque principal ne vient alors plus d’une tentative de deviner ce mot de passe, mais d’une fuite survenue chez l’un des services qui le stockent : une fois ce mot de passe exposé lors d’un incident touchant un service tiers, souvent sans rapport avec les habitudes de sécurité de la personne concernée, il peut être testé automatiquement sur d’autres comptes utilisant la même adresse. Cette pratique, appelée bourrage d’identifiants, explique pourquoi des comptes n’ayant jamais subi d’attaque directe se retrouvent compromis : la faille se trouvait ailleurs, mais le mot de passe partagé a propagé la conséquence. Un mot de passe unique par service, aussi contraignant que cela paraisse sans gestionnaire dédié, neutralise entièrement ce scénario.
Ce que révèle une fuite de données
Quand un service annonce publiquement avoir subi une fuite touchant les identifiants de ses utilisateurs, la réaction utile ne consiste pas seulement à changer le mot de passe concerné, mais à vérifier partout où ce même mot de passe aurait pu être réutilisé. Certains outils permettent de vérifier, sans jamais transmettre le mot de passe en clair, si une adresse de messagerie apparaît dans une base de données de fuites connues — une vérification ponctuelle qui prend quelques secondes et qui vaut la peine d’être répétée après chaque annonce de ce type largement relayée dans la presse spécialisée, en particulier pour les adresses utilisées depuis plusieurs années sur de nombreux services différents.
Repères par type de mot de passe
| Longueur | Composition | Entropie indicative | Usage conseillé | À éviter |
|---|---|---|---|---|
| 8 à 10 caractères | Lettres, chiffres, symboles mélangés | Faible à modérée | Aucun usage sensible | Comptes bancaires, messagerie principale |
| 12 à 16 caractères | Phrase courte ou mot de passe généré aléatoirement | Modérée à élevée | Comptes courants du quotidien | Réutilisation du même mot de passe partout |
| 20 caractères et plus | Phrase de passe à mots sans lien logique | Élevée | Messagerie principale, comptes financiers | Citation connue ou nom propre familier |
| Longueur maximale disponible | Généré aléatoirement par un gestionnaire | Très élevée | Mot de passe maître d’un gestionnaire dédié | Le noter en clair sans protection, ou le partager |
Un complément, jamais un substitut
Un mot de passe long et bien choisi reste une première ligne de défense, pas une protection totale : coupler ce mot de passe à une authentification à deux facteurs quand elle est proposée ajoute une barrière supplémentaire qu’un mot de passe seul, quelle que soit sa longueur, ne peut pas offrir. Cette logique de couches successives rejoint celle que nous décrivons pour la clôture d’un compte en ligne, où l’exercice des droits liés à ses propres données vient compléter, sans jamais remplacer, une bonne hygiène de mot de passe. L’ANSSI et la CNIL publient toutes deux des recommandations régulièrement mises à jour sur la construction d’un mot de passe robuste, utiles à consulter pour qui veut aller au-delà des principes généraux exposés ici.
