Comment créer un mot de passe fort ?

Un mot de passe fort reste l’une des protections de base pour sécuriser votre e-mail, votre site web, votre boutique en ligne, vos comptes de réseaux sociaux et vos systèmes d’entreprise. Mais les règles de création des mots de passe ont changé. Les conseils comme ajouter une majuscule, un chiffre et un caractère spécial ou changer votre mot de passe tous les 30 ou 90 jours ne sont plus considérés comme la meilleure approche.

Les recommandations de sécurité actuelles se concentrent principalement sur la longueur, l’unicité et la résistance aux attaques courantes par devinette. Un bon mot de passe doit aussi être facile à gérer en toute sécurité, c’est pourquoi les gestionnaires de mots de passe et l’authentification multifacteur sont devenus des éléments si importants de la sécurité des comptes.

Dans ce guide, vous découvrirez quelle doit être la longueur d’un mot de passe fort, si les caractères spéciaux sont nécessaires, comment fonctionnent les phrases de passe, pourquoi chaque compte a besoin d’un mot de passe unique et quand vous devez réellement modifier vos identifiants.

Qu’est-ce qui rend un mot de passe fort aujourd’hui ?

Pendant des années, on a dit aux utilisateurs qu’un mot de passe sécurisé devait contenir des lettres majuscules et minuscules, des chiffres et des symboles. Ce conseil est désormais incomplet. Les recommandations modernes mettent beaucoup plus l’accent sur la longueur et l’unicité du mot de passe.

Les NIST Digital Identity Guidelines actuelles exigent que les services utilisant les mots de passe comme facteur d’authentification unique prennent en charge une longueur minimale de 15 caractères. Lorsqu’un mot de passe est utilisé dans le cadre d’une authentification multifacteur, le minimum autorisé peut être plus court, même s’il doit toujours contenir au moins huit caractères. Le NIST recommande également d’autoriser des mots de passe d’au moins 64 caractères afin que les utilisateurs puissent créer de longues phrases de passe.

Pour un usage quotidien, une règle pratique simple consiste à viser au moins 16 caractères chaque fois que le service le permet. Cela est également cohérent avec les conseils aux consommateurs publiés par la U.S. Cybersecurity and Infrastructure Security Agency (CISA).

Un mot de passe fort doit donc être :

• long – idéalement 16 caractères ou plus ;
• unique – jamais réutilisé pour un autre compte ;
• difficile à prévoir – non basé sur des mots courants, des noms ou des motifs de clavier ;
• sans rapport avec des informations personnelles que quelqu’un pourrait découvrir à votre sujet ;
• absent des bases de données de mots de passe précédemment compromis.

Important : les caractères spéciaux, les chiffres et les majuscules peuvent toujours être utiles dans les mots de passe générés aléatoirement. Ce qui a changé, c’est que forcer les utilisateurs à les ajouter selon un schéma fixe n’est plus considéré comme une mesure de sécurité particulièrement efficace. Les attaquants connaissent déjà les schémas prévisibles, comme remplacer “a” par “@” ou ajouter “1!” à la fin d’un mot.

Comment créer un mot de passe fort

Il existe deux méthodes pratiques pour créer un mot de passe sécurisé. Vous pouvez générer une longue séquence aléatoire avec un gestionnaire de mots de passe ou créer une phrase de passe suffisamment longue et plus facile à retenir.

Utilisez un mot de passe généré aléatoirement

Si vous n’avez pas besoin de vous souvenir du mot de passe parce qu’il sera stocké dans un gestionnaire de mots de passe, un mot de passe aléatoire est généralement la solution la plus simple. Il peut contenir des lettres majuscules et minuscules, des chiffres et des symboles sans suivre un schéma prévisible.

Un exemple de format pourrait ressembler à ceci :

g7#Qm4!xL9@pR2vK8z

N’utilisez pas cet exemple précis comme véritable mot de passe. Tout mot de passe publié dans un article, une documentation ou une publication sur les réseaux sociaux doit être considéré comme public.

Utilisez une longue phrase de passe

Une phrase de passe se compose de plusieurs mots combinés en un seul mot de passe. Les mots doivent être sans rapport entre eux et sélectionnés de manière à ne pas créer une phrase évidente, une citation ou une expression.

Par exemple, la structure pourrait ressembler à ceci :

orbit meadow coffee lantern violin

Là encore, ne copiez pas cet exemple. Son objectif est uniquement de démontrer le concept. Une phrase de passe fonctionne mieux lorsque ses composants sont choisis indépendamment et que l’ensemble de la phrase est suffisamment long.

Le NIST soutient spécifiquement les mots de passe et les phrases de passe longs et recommande que les services acceptent les espaces au lieu de forcer les utilisateurs à suivre des règles arbitraires de composition des caractères.

Les erreurs de mot de passe à éviter

La longueur seule ne rend pas chaque mot de passe sécurisé. Un mot de passe de 20 caractères peut toujours être faible s’il s’agit d’une phrase évidente, d’une citation populaire ou d’une séquence prévisible.

Évitez les mots de passe basés sur :

• votre prénom ou votre nom ;
• le nom de votre entreprise ou de votre site web ;
• votre date de naissance ;
• les noms d’enfants, de partenaires ou d’animaux de compagnie ;
• des numéros de téléphone ou des adresses ;
• des séquences courantes comme 123456 ou abcdef ;
• des motifs de clavier comme qwerty ;
• des mots courants avec des substitutions prévisibles, comme remplacer “o” par “0” ;
• l’année en cours ajoutée au nom d’une entreprise ;
• des citations, des paroles de chansons et des expressions populaires.

Des schémas comme Company2026! peuvent techniquement satisfaire aux exigences d’un site web en matière de majuscules, de minuscules, de chiffres et de caractères spéciaux, mais ils restent très prévisibles.

C’est l’une des raisons pour lesquelles le NIST ne recommande plus les règles de composition obligatoires. Les utilisateurs les respectent souvent de manière prévisible, tandis que le mot de passe obtenu devient plus difficile à mémoriser sans devenir proportionnellement plus difficile à deviner.

Ne réutilisez jamais le même mot de passe

L’une des règles les plus importantes concernant les mots de passe n’a rien à voir avec le mot de passe lui-même. Chaque compte doit avoir son propre mot de passe unique.

Supposons que vous utilisiez la même adresse e-mail et le même mot de passe pour plusieurs sites web. Si l’un de ces services subit une violation de données, des attaquants peuvent obtenir vos identifiants et les tester automatiquement auprès de fournisseurs de messagerie, de réseaux sociaux, de boutiques en ligne et d’autres services.

Cette attaque est connue sous le nom de credential stuffing. Elle fonctionne parce que les attaquants n’ont pas besoin de casser à nouveau votre mot de passe. Ils réutilisent simplement des identifiants qui ont déjà été exposés ailleurs. L’OWASP identifie le credential stuffing, le password spraying et la devinette de mots de passe comme des menaces courantes pour l’authentification.

Votre compte e-mail mérite une attention particulière. L’e-mail est couramment utilisé pour réinitialiser les mots de passe d’autres services, donc une personne qui obtient l’accès à votre boîte de réception peut être en mesure de prendre le contrôle de comptes supplémentaires.

Le même principe s’applique à l’infrastructure d’entreprise. Les panneaux d’administration, les comptes CMS, les serveurs, les bases de données, les comptes e-mail et les autres systèmes ne doivent pas partager les mêmes identifiants simplement parce qu’ils appartiennent à la même personne.

Utilisez un gestionnaire de mots de passe au lieu de tout mémoriser

La recommandation de créer un mot de passe unique et long pour chaque compte crée un problème évident : une personne peut avoir des dizaines, voire des centaines de comptes.

Un gestionnaire de mots de passe résout ce problème en générant et en stockant les mots de passe pour vous. Au lieu de mémoriser chaque identifiant, vous devez surtout protéger l’accès au gestionnaire de mots de passe lui-même.

Un gestionnaire de mots de passe facilite les actions suivantes :

• générer des mots de passe longs et aléatoires ;
• utiliser un mot de passe différent pour chaque compte ;
• éviter de stocker des mots de passe dans des notes, des feuilles de calcul ou des fichiers texte ;
• remplir automatiquement les formulaires de connexion ;
• partager des identifiants à l’aide de fonctionnalités sécurisées dédiées plutôt que par messages ou par e-mail ;
• remplacer plus efficacement les mots de passe compromis.

Le NIST recommande que les systèmes d’authentification prennent en charge les fonctionnalités des gestionnaires de mots de passe, comme le remplissage automatique et les opérations de collage, au lieu de les bloquer délibérément. La CISA recommande également les gestionnaires de mots de passe comme moyen pratique de créer et de conserver des mots de passe forts et uniques.

Votre gestionnaire de mots de passe doit lui-même être protégé par un mot de passe maître ou une phrase de passe forte et, chaque fois que possible, par une authentification multifacteur.

À quelle fréquence faut-il changer son mot de passe ?

Vous avez peut-être déjà vu des politiques de sécurité exigeant le remplacement des mots de passe tous les 30, 60 ou 90 jours. Les recommandations actuelles du NIST adoptent une approche différente.

Un mot de passe fort n’a pas besoin d’être changé simplement parce qu’un certain nombre de jours s’est écoulé. Les changements de mots de passe de routine encouragent souvent des comportements prévisibles. Un utilisateur peut simplement remplacer Company2026! par Company2027! ou alterner entre un petit ensemble de mots de passe familiers.

Le NIST indique donc que les services ne doivent pas imposer de changements périodiques de mots de passe sans raison précise. Un mot de passe doit plutôt être changé lorsqu’il existe des éléments indiquant qu’il a pu être compromis.

Changez rapidement votre mot de passe lorsque :

• un service vous informe d’une faille de sécurité impliquant des identifiants ;
• votre mot de passe apparaît dans une base de données connue de violations ;
• vous le divulguez ou le partagez accidentellement ;
• vous l’avez saisi sur un site web suspect ou de phishing ;
• vous découvrez un malware ou un keylogger sur votre appareil ;
• vous avez réutilisé le mot de passe sur un autre compte qui a été compromis ;
• vous remarquez une activité de connexion suspecte.

Si un mot de passe réutilisé a été exposé, le remplacer sur un seul site web ne suffit pas. Changez-le partout où il a été utilisé et remplacez-le par un mot de passe unique différent pour chaque service.

Un mot de passe ne doit pas être votre seule ligne de défense

Même un excellent mot de passe ne peut pas vous protéger contre toutes les attaques. Une page de phishing suffisamment convaincante peut vous pousser à le saisir volontairement, tandis qu’un malware exécuté sur un appareil compromis peut capturer ce que vous tapez.

Le NIST souligne explicitement que les mots de passe ne sont pas résistants au phishing. C’est pourquoi la sécurité d’un compte ne doit pas s’arrêter au choix d’un bon mot de passe.

Activez l’authentification multifacteur

L’authentification multifacteur, généralement abrégée en MFA, exige une autre forme de vérification en plus de votre mot de passe. Selon le service, cela peut impliquer une application d’authentification, une clé de sécurité matérielle, la biométrie ou une autre méthode d’authentification prise en charge.

Activez la MFA en particulier pour :

• les comptes e-mail ;
• les gestionnaires de mots de passe ;
• les services bancaires et de paiement ;
• les comptes de réseaux sociaux ;
• le stockage cloud ;
• les panneaux d’administration de sites web ;
• les comptes d’hébergement et de gestion de domaines ;
• les systèmes d’entreprise contenant des données clients ou d’entreprise.

La CISA recommande d’activer la MFA sur chaque compte qui la prend en charge, car l’étape d’authentification supplémentaire réduit le risque qu’un mot de passe volé suffise à donner à un attaquant l’accès au compte.

Utilisez les passkeys lorsqu’elles sont disponibles

Vous pouvez également rencontrer des services qui proposent une passkey à la place d’un mot de passe traditionnel, ou en complément de celui-ci. Les passkeys utilisent la cryptographie à clé publique et permettent aux utilisateurs de s’authentifier à l’aide d’un appareil, d’une clé de sécurité ou d’une vérification biométrique sans transmettre de mot de passe réutilisable au site web.

Vous n’avez pas besoin d’abandonner les mots de passe partout immédiatement. Toutefois, si un service important propose une méthode d’authentification résistante au phishing et bien mise en œuvre, il vaut la peine de l’envisager dans le cadre de votre stratégie de sécurité.

Checklist pour un mot de passe fort

Avant de créer votre prochain compte, utilisez cette courte checklist :

• Visez 16 caractères ou plus lorsque c’est possible.
• Utilisez un mot de passe unique pour chaque compte.
• Générez des mots de passe aléatoires avec un gestionnaire de mots de passe lorsque vous n’avez pas besoin de les mémoriser.
• Pour les mots de passe que vous devez retenir, envisagez une longue phrase de passe composée de mots sans rapport entre eux.
• N’utilisez pas de noms, de dates de naissance, de noms d’entreprise ou d’informations disponibles sur les réseaux sociaux.
• Ne vous reposez pas sur des substitutions prévisibles comme P@ssw0rd!.
• Ne réutilisez pas des mots de passe avec de petites modifications.
• Ne changez pas périodiquement un mot de passe sécurisé sans raison ; changez-le lorsqu’une compromission est suspectée ou confirmée.
• Utilisez un gestionnaire de mots de passe pour stocker les identifiants en toute sécurité.
• Activez la MFA chaque fois qu’elle est disponible.
• Envisagez les passkeys et les autres méthodes d’authentification résistantes au phishing sur les services qui les prennent en charge.

Comment créer un mot de passe efficace – résumé

La définition d’un mot de passe fort a évolué. La sécurité ne vient plus du simple ajout mécanique d’une majuscule, d’un chiffre et d’un point d’exclamation. La longueur, l’unicité et l’imprévisibilité comptent davantage.

Pour les comptes du quotidien, visez des mots de passe d’au moins 16 caractères lorsque c’est possible, ne les réutilisez jamais et laissez un gestionnaire de mots de passe générer et stocker des identifiants aléatoires. Si vous préférez quelque chose de mémorisable, utilisez une longue phrase de passe basée sur des mots sans rapport entre eux plutôt que sur des informations personnelles ou une citation familière.

Enfin, souvenez-vous que même un mot de passe très fort n’est qu’un élément de la sécurité d’un compte. Activez la MFA et utilisez des méthodes d’authentification résistantes au phishing, comme les passkeys, lorsqu’elles sont disponibles. Protéger vos comptes est particulièrement important lorsqu’ils contrôlent votre site web, votre domaine, votre e-mail ou d’autres parties de votre activité numérique.

Une présence en ligne sécurisée dépend également de la technologie qui se trouve derrière votre site web. Explorez l’écosystème technologique cyber_Folks et découvrez des solutions qui accompagnent les entreprises à différents stades de leur croissance en ligne.