5 bonnes pratiques pour un mot de passe solide et inviolable

« Vous pouvez me donner votre mot de passe ? » La question m'a été posée au téléphone il y a quelques années, par une personne se présentant comme un technicien de ma banque. Le ton était rassurant, le prétexte crédible. J'ai raccroché sans donner suite — mais j'y ai repensé pendant des jours, parce que trente secondes plus tôt, ce mot de passe m'aurait semblé anodin à transmettre.

Voilà pourquoi les bonnes pratiques pour un mot de passe solide ne se résument jamais à une question de longueur ou de caractères spéciaux. Ce qui protège vraiment un compte, c'est un ensemble de décisions prises avant que le problème n'arrive. Et la plupart des gens — moi compris, pendant longtemps — ne les prennent qu'après une frayeur.

Pourquoi réutiliser un mot de passe est l'erreur qui coûte le plus cher

Un site de e-commerce se fait pirater sa base de données. Sur le moment, le client se dit qu'il perd un peu de temps à changer son mot de passe. Sauf que ce même mot de passe protège son adresse mail principale, son compte bancaire, ses réseaux sociaux. Et le pirate le sait très bien.

C'est le mécanisme du credential stuffing : des logiciels testent automatiquement les combinaisons email/mot de passe volées sur des dizaines de services, en quelques secondes. Aucun humain n'a besoin de s'en occuper. Il suffit qu'une seule liste soit exploitée pour que dix comptes tombent en cascade.

Une seule fuite suffit à tout faire tomber

Dans mon entourage professionnel, une personne — appelons-la Claire — a perdu l'accès à sa boîte mail un lundi matin, sans comprendre. Le mail de récupération pointait vers une adresse qu'elle n'utilisait plus. Le mot de passe correspondait, mot pour mot, à celui d'un vieux forum qu'elle avait oublié depuis des années. La chaîne de conséquences a mis trois semaines à être résorbée. Trois semaines pour un mot de passe repris sur un site secondaire.

Franchement, le conseil « un mot de passe différent par compte » est répété partout. Le problème, c'est qu'il est presque impossible à tenir à la main au-delà de dix ou quinze comptes. C'est là que la vraie solution entre en jeu.

Combien de comptes différents une personne gère-t-elle vraiment ?

La réponse honnête : personne ne le sait précisément, et c'est bien le problème. Entre les messageries, les administrations, les banques, les abonnements en tout genre, la plupart des adultes actifs dépassent sans peine la trentaine de comptes. Personne ne mémorise trente mots de passe distincts et solides. Personne.

Donc soit un outil s'en charge, soit on prend le raccourci — et le raccourci s'appelle la réutilisation.

Longueur ou complexité : ce qui protège réellement

On m'a longtemps répété qu'un bon mot de passe devait contenir majuscules, chiffres, caractères spéciaux, et ne pas dépasser une certaine longueur. Cette dernière partie est aujourd'hui clairement obsolète.

Le cadre de référence du NIST (l'institut américain chargé des standards technologiques) recommande depuis plusieurs années de privilégier la longueur sur la complexité, et de ne plus imposer d'expiration arbitraire tous les trois mois. Le raisonnement est simple : une contrainte de changement régulier pousse les utilisateurs vers des variantes prévisibles — Motdepasse1, Motdepasse2 — qui n'apportent presque rien en sécurité.

Pourquoi chaque caractère supplémentaire coûte cher à un attaquant

Un attaquant ne devine pas votre mot de passe en réfléchissant. Il essaie des milliards de combinaisons par seconde à l'aide de machines dédiées. Chaque caractère ajouté multiplie le nombre de possibilités à tester.

Passer de 8 à 16 caractères ne double pas le travail de l'attaquant. Il l'augmente d'un facteur qui se compte en centaines de milliards. C'est pour cette raison qu'une phrase de passe longue et simple — « chat-tulipe-train-soleil » — protège mieux qu'un mot de huit caractères truffé de symboles.

Le tableau ci-dessous compare les deux approches, du point de vue de quelqu'un qui doit retenir le résultat :

Critère	Mot court avec symboles	Phrase de passe longue
Longueur typique	8 à 10 caractères	20 caractères et plus
Coût de calcul pour un attaquant	Élevé, mais atteignable	Pratiquement hors de portée
Mémorisation par l'utilisateur	Difficile, souvent notée quelque part	Naturelle, si l'image mentale tient
Risque de réutilisation	Élevé	Faible
Compatible avec un gestionnaire	Oui	Oui

Faut-il encore changer son mot de passe tous les trois mois ?

Non, pas de façon systématique. Le changement régulier n'a de sens qu'en cas de suspicion de compromission — après une fuite annoncée par un site, après un appareil perdu, ou après un comportement étrange sur un compte. En dehors de ces cas, forcer un renouvellement tous les trimestres dégrade souvent la qualité réelle des mots de passe plutôt que de l'améliorer.

Comment construire une phrase de passe qui tient dans le temps

Une bonne phrase de passe n'est pas une phrase de roman. Elle repose sur une image mentale personnelle, absurde de préférence, parce que l'absurde se retient mieux que le raisonnable.

L'erreur que je voyais le plus souvent, quand j'aidais des proches à sécuriser leurs comptes : partir d'une citation connue ou d'une phrase religieuse. Ces formules se trouvent dans des listes publiques utilisées par les attaquants. Il faut du personnel, pas du culturel.

Deux façons de bâtir une phrase de passe

• Une scène inventée : « mon-voisin-a-acheté-trois-oies-en-juin ». Longue, insolite, impossible à deviner.
• Des mots sans rapport entre eux, séparés par un symbole : cuillère&orage&tramway&poivre. Quatre mots suffisent à dépasser largement le seuil de résistance.
• Évitez tout ce qui figure dans votre vie publique : prénoms d'enfants, date de mariage, nom de rue, équipe favorite — un attaquant qui consulte vos réseaux sociaux dispose déjà de la moitié de la réponse.

Et là, un point que je répète à chaque fois qu'on me le demande : ces phrases de passe ne sont pas destinées à être tapées à la main tous les matins. Elles servent de mot de passe maître, celui qui ouvre le coffre. Le reste, c'est l'outil qui s'en occupe.

Le gestionnaire de mots de passe : pourquoi je ne reviendrais pas en arrière

Il y a une objection qui revient systématiquement : « et si le gestionnaire se fait pirater ? » Elle est légitime. Mais elle compare un risque théorique à un risque déjà matérialisé.

Un gestionnaire de mots de passe stocke vos identifiants dans un coffre chiffré, dont la clé n'existe que chez vous. Même si les serveurs de l'éditeur étaient compromis, le contenu resterait illisible sans votre mot de passe maître. À l'inverse, la réutilisation de mots de passe expose vos comptes en continu, sans attendre aucune catastrophe.

Sur quels critères choisir un outil

Je ne recommande jamais un nom en particulier, parce que le bon outil dépend surtout de l'usage. En revanche, quatre critères éliminent l'essentiel du mauvais matériel :

1. Le chiffrement doit être de bout en bout — l'éditeur ne doit jamais pouvoir lire vos données.
2. L'export de vos données doit être possible à tout moment, sans dépendre du bon vouloir de l'entreprise.
3. La synchronisation entre appareils doit exister, sinon l'outil devient une contrainte qu'on abandonne.
4. Un audit de sécurité indépendant doit avoir été publié — pas une simple page marketing.

J'ai testé pendant des mois l'alternative « tout dans ma tête », avec un carnet papier pour les cas difficiles. Résultat : deux mots de passe finissaient toujours par se ressembler dangereusement, et le carnet devenait un point de défaillance unique, plus fragile encore qu'un coffre chiffré. J'ai arrêté.

La double authentification, le filet qui rattrape tout

Un mot de passe solide reste une serrure. La double authentification (2FA), c'est la deuxième serrure, sur une porte différente. Si le mot de passe fuite, le compte tient encore.

Le mécanisme est simple : après votre mot de passe, le service demande un second élément — un code à usage unique, une validation sur une application dédiée, ou une clé physique.

Pourquoi le SMS n'est pas la meilleure option

Le code reçu par SMS reste vulnérable au détournement de ligne téléphonique, une technique qui consiste à faire transférer votre numéro vers une autre carte SIM. Ce n'est pas fréquent, mais ça arrive — et quand c'est le cas, la seconde serrure saute avec la première.

Une application d'authentification génère les codes localement, sur votre téléphone. Une clé physique, elle, exige une présence matérielle. Les deux sont nettement préférables au SMS pour un compte sensible : messagerie principale, banque, espace professionnel.

Que faire quand un site annonce une fuite de données

Le réflexe utile tient en trois étapes, dans cet ordre :

1. Changez d'abord le mot de passe du site concerné.
2. Changez ensuite, sans attendre, le mot de passe de tout autre service où vous utilisiez le même — c'est là que le danger principal se trouve.
3. Vérifiez les appareils connectés et les adresses de récupération sur votre messagerie principale : c'est souvent la cible réelle.

Et la règle non négociable que j'ai fini par appliquer sans exception : aucun mot de passe ne se communique par téléphone, par mail ou par SMS, même si l'interlocuteur semble légitime. Aucun service sérieux ne le demande, jamais.

Ce qui compte vraiment, au fond

Un mot de passe solide n'est pas un exploit de mémoire. C'est une décision : arrêter de compter sur soi-même pour retenir des dizaines de combinaisons, et laisser un outil faire ce travail à sa place.

La longueur, l'unicité, la double authentification, le gestionnaire — quatre pièces d'un même mécanisme. Enlever une seule pièce, et l'ensemble tient nettement moins bien.

Ce qui m'a le plus surpris, avec le recul, c'est à quel point la partie difficile n'est pas technique. Elle est psychologique : accepter de ne plus connaître ses propres mots de passe. Après quelques semaines, cette sensation bizarre de ne plus savoir ce qui protège ses comptes devient exactement ce qu'on veut — parce qu'elle signifie qu'aucun humain, vous compris, ne peut les deviner.