Ce qui rend un mot de passe solide, en chiffres simples

Un mot de passe solide est long et aléatoire, et cet aléatoire doit venir d'un générateur, pas de vous. Chaque caractère ou mot aléatoire multiplie le nombre d'essais qu'un attaquant doit tenter, c'est pourquoi la longueur fait plus de travail que des astuces comme remplacer des lettres par des symboles. Générez un mot de passe unique pour chaque compte, conservez-le dans un gestionnaire de mots de passe et ne le réutilisez jamais.

Générateur de mot de passeBesoin d’un mot de passe solideEssayer gratuitement

Pourquoi les astuces ne suffisent pas

Les attaquants ne devinent presque jamais un compte à la main. Ils font passer des listes de mots de passe courants et de mots du dictionnaire par des schémas connus, comme @ pour a, 0 pour o, et un symbole ajouté à la fin. Ils essaient ces variantes en premier, parce que beaucoup de gens utilisent les mêmes schémas. Un mot de passe comme P@ssw0rd! paraît complexe à un humain, mais c'est l'une des premières variantes que la liste d'un attaquant testera. Sa complexité apparente dit peu de chose sur la difficulté à le deviner.

L'entropie en termes simples

L'entropie mesure le nombre de possibilités, toutes aussi probables, dont un mot de passe pourrait être issu, exprimé en bits. Chaque bit supplémentaire double le nombre d'essais nécessaires. Le point essentiel est que l'entropie décrit le processus qui a produit le mot de passe, et non son apparence. Une suite aléatoire et une phrase facile à retenir peuvent paraître tout aussi étranges, tout en ayant une entropie très différente. Un identifiant aléatoire n'est pas non plus un mot de passe, car il est conçu pour être unique plutôt que secret. UUID v4 ou v7 explique la différence.

Pour un mot de passe composé de caractères aléatoires, le calcul est le suivant :

bits = longueur × log2(taille de l'ensemble de caractères)

Pour une phrase de passe composée de mots aléatoires, il devient :

bits = nombre de mots × log2(taille de la liste de mots)

Le tableau présente des valeurs calculées. Chaque ligne suppose que tous les choix ont été faits au hasard et sont équiprobables.

Composition	Possibilités	Bits
8 lettres minuscules aléatoires	26^8	37,6
12 lettres et chiffres aléatoires	62^12	71,5
20 caractères aléatoires parmi 94 symboles imprimables	94^20	131,1
4 mots aléatoires d'une liste de 7 776 mots	7 776^4	51,7
5 mots aléatoires d'une liste de 1 024 mots	1 024^5	50,0
6 mots aléatoires d'une liste de 7 776 mots	7 776^6	77,5

La première ligne montre pourquoi les courtes suites aléatoires sont faibles : 38 bits laissent une marge très réduite pour un compte important. La troisième ligne montre ce que apporte la longueur. Un mot de passe que vous inventez, comme Sunset!2026, offre beaucoup moins de possibilités réelles que ne le suggère sa longueur, car vous l'avez choisi parmi un petit ensemble de formes familières.

Des phrases de passe que l'on peut taper

Si vous devez saisir un mot de passe, par exemple pour ouvrir une session sur un ordinateur ou pour le mot de passe principal d'un gestionnaire, une phrase de passe faite de mots aléatoires est le choix le plus pratique. Six mots aléatoires tirés d'une liste de 7 776 mots donnent environ 77,5 bits, et des mots sont bien plus faciles à retenir qu'une suite aléatoire de symboles. Les mots doivent être tirés au hasard. Quatre mots que vous avez choisis vous-même apportent beaucoup moins que leur nombre ne le laisse croire, car les gens choisissent des mots familiers, par paires familières. Les listes de mots tirées aux dés sont courantes pour cette raison : ce sont les dés qui font le choix, et non vos habitudes. Le générateur de mot de passe crée une phrase de passe de cette façon, avec un séparateur que vous choisissez et une majuscule ainsi qu'un chiffre facultatifs.

La réutilisation est le plus grand risque

La longueur compte, mais c'est la réutilisation qui transforme le plus souvent une fuite isolée en de nombreuses fuites. Lorsqu'un site est piraté, ses couples e-mail et mot de passe sont souvent testés sur d'autres sites populaires. On appelle cela le credential stuffing, ou bourrage d'identifiants. Un mot de passe solide sur le papier échoue complètement si vous l'utilisez aussi ailleurs.

Un gestionnaire de mots de passe supprime ce problème. Il génère un mot de passe unique pour chaque compte, le conserve et le remplit à votre place, de sorte que vous n'avez à retenir qu'un seul mot de passe principal solide. Les navigateurs et les systèmes des téléphones intègrent des gestionnaires, et il existe aussi des applications indépendantes. Quel que soit celui que vous utilisez, activez d'abord la double authentification pour votre messagerie et vos comptes bancaires, car votre messagerie est la clé qui permet de réinitialiser tous les autres.

Le NIST, l'organisme de normalisation américain, privilégie la longueur plutôt que les règles de complexité comme les symboles imposés, et il renonce aux changements périodiques obligatoires sauf en cas de signe de compromission. Un site qui vous oblige à changer de mot de passe tous les quelques mois, ou qui refuse les mots de passe longs ou le collage, suit des habitudes dépassées. C'est une faiblesse du site, et non une raison de choisir un mot de passe plus faible.

Une courte liste de contrôle

• Générez vos mots de passe au lieu de les inventer.
• Pour les comptes que vous ne pourriez pas récupérer facilement, visez au moins 16 caractères aléatoires, ou six mots aléatoires.
• Utilisez un mot de passe unique par compte et conservez-les dans un gestionnaire.
• Activez la double authentification partout où elle est proposée.
• Changez immédiatement un mot de passe si un service que vous utilisez signale une fuite de données.

Si le mot de passe concerne votre box internet, partager le Wi-Fi avec un code QR montre comment le transmettre sans le dire à voix haute.

Comment faire avec fixmint

1. Ouvrez le générateur de mot de passe et gardez Caractères aléatoires sélectionné.
2. Réglez Longueur sur au moins 16, et sur 20 ou plus pour un compte important. La valeur par défaut est 20, avec les quatre jeux de caractères cochés.
3. Lisez Solidité estimée. L'outil classe en faible en dessous de 50 bits, moyen de 50 à 69, solide de 70 à 99, et très solide à partir de 100.
4. Appuyez sur Régénérer pour obtenir un nouvel ensemble de cinq mots de passe, puis copiez-en un dans votre gestionnaire. Ne l'utilisez nulle part ailleurs.
5. Pour un mot de passe principal que vous devez saisir, choisissez Phrase de passe, réglez Mots sur six et gardez un séparateur que vous pouvez taper facilement.

Réponses rapides

Faut-il obligatoirement des symboles pour un mot de passe solide ?

Non. Des symboles aléatoires ajoutent quelques bits, mais la longueur en ajoute davantage, et une longue suite aléatoire de lettres et de chiffres est solide.

Combien de mots faut-il pour une phrase de passe solide ?

Six mots aléatoires tirés d'une liste de 7 776 mots donnent environ 77,5 bits, un objectif sûr pour la plupart des comptes.

Est-il prudent de laisser mon navigateur enregistrer les mots de passe générés ?

Pour la plupart des gens, c'est un choix raisonnable, à condition que l'appareil soit protégé par un verrouillage d'écran et que le profil du navigateur soit sécurisé. Le principal risque vient de l'appareil, et non du mot de passe.