Créer un mot de passe fort (et ne plus jamais l’oublier)
La quasi-totalité des piratages de comptes du quotidien n'ont rien de sophistiqué : ils exploitent des mots de passe courts, prévisibles, ou — surtout — réutilisés sur plusieurs sites. Quand une fuite de données expose votre mot de passe quelque part, des robots le testent automatiquement partout ailleurs : messagerie, banque, réseaux sociaux. C'est ce qu'on appelle le credential stuffing, et c'est la première cause de comptes volés.
Les règles qu'on nous a inculquées — une majuscule, un chiffre, un caractère spécial, changé tous les trois mois — sont largement dépassées, et les recommandations officielles (ANSSI, NIST) ont évolué. Voici ce qui protège réellement en 2026, et comment l'appliquer sans avoir dix mots de passe à mémoriser.
Ce qui rend un mot de passe faible (ce n’est pas ce qu’on croit)
Un attaquant ne devine pas votre mot de passe à la main : il utilise des programmes qui testent des milliards de combinaisons par seconde, en commençant par les dictionnaires de mots de passe déjà fuités et leurs variantes évidentes. « P@ssw0rd! » ou « Julien2024! » satisfont toutes les règles classiques de complexité et tombent pourtant en quelques secondes, car les substitutions (a→@, o→0) et le schéma « mot + année + ! » figurent dans tous les outils de cassage.
Le facteur qui compte vraiment est la longueur. Chaque caractère ajouté multiplie le nombre de combinaisons possibles : un mot de passe aléatoire de 8 caractères se casse en heures, un de 12 en années, un de 16 en durées géologiques. Mieux vaut une longue suite de mots simples qu'un mot court hérissé de symboles.
La méthode de la phrase de passe
Pour les quelques mots de passe que vous devez connaître par cœur, la méthode la plus efficace est la phrase de passe : quatre à six mots sans lien logique entre eux, par exemple « tulipe-marteau-nuage-73-fauteuil ». C'est très long (donc très résistant), facile à mémoriser (une image mentale absurde suffit) et facile à taper, y compris sur mobile.
Évitez en revanche les phrases célèbres, paroles de chansons ou citations : elles figurent dans les dictionnaires d'attaque. Les mots doivent être choisis au hasard — idéalement tirés au sort — et non former une phrase qui « veut dire quelque chose ». Et bannissez tout élément personnel devinable : prénoms, dates de naissance, nom de l'animal, que les attaquants récoltent en quelques minutes sur les réseaux sociaux.
La règle d’or : un mot de passe unique par compte
Un mot de passe même excellent devient un danger s'il est réutilisé : il suffit qu'un seul des sites où vous l'employez soit compromis pour que tous vos comptes tombent. Les fuites de données sont fréquentes, massives et souvent silencieuses — la question n'est pas « si » l'un de vos mots de passe fuitera, mais « quand ».
L'unicité compte davantage encore pour votre boîte e-mail : c'est elle qui reçoit les liens de réinitialisation de tous vos autres comptes. Un attaquant qui la contrôle contrôle tout le reste. Votre messagerie mérite donc votre meilleur mot de passe, unique, doublé d'une double authentification.
Le gestionnaire de mots de passe : la solution au problème de mémoire
Retenir un mot de passe unique et long pour chaque compte est impossible — et c'est normal : ce n'est pas votre travail, c'est celui d'un gestionnaire de mots de passe. Ce coffre-fort chiffré génère un mot de passe aléatoire différent pour chaque site, les remplit automatiquement, et ne vous demande de retenir qu'une seule phrase de passe maîtresse (voir la méthode ci-dessus).
Le remplissage automatique apporte au passage une protection anti-phishing méconnue : le gestionnaire ne propose vos identifiants que sur le domaine exact où ils ont été enregistrés. S'il reste muet devant une page de connexion, méfiance — vous êtes peut-être sur une copie frauduleuse. Les gestionnaires intégrés aux navigateurs et aux téléphones ont beaucoup progressé et conviennent très bien pour débuter ; les gestionnaires dédiés offrent en plus le partage familial et un fonctionnement identique sur tous vos appareils.
Les passkeys : la suite logique
De plus en plus de services (Google, Apple, Amazon, PayPal…) proposent les passkeys (clés d'accès) : une paire de clés cryptographiques remplace le mot de passe, et vous vous connectez en déverrouillant simplement votre téléphone ou votre ordinateur (empreinte, visage, code). Il n'y a plus rien à retenir, rien à taper… et surtout rien à voler : aucun secret réutilisable ne transite ni n'est stocké côté site.
Les passkeys sont par conception résistantes au phishing : la clé ne fonctionne que sur le vrai domaine du service, une copie frauduleuse ne peut rien en tirer. Quand un service vous propose d'en créer une, acceptez — et conservez le mot de passe classique comme solution de secours tant que la transition n'est pas générale.
[ FAQ // QUESTIONS FRÉQUENTES ]
▸Faut-il changer ses mots de passe régulièrement ?
Non, plus systématiquement : les recommandations modernes (NIST, ANSSI) ont abandonné le changement périodique imposé, qui pousse à des variantes prévisibles (motdepasse1, motdepasse2…). Changez un mot de passe quand il y a une raison : fuite de données chez le service, soupçon de compromission, ou mot de passe partagé qui ne doit plus l'être.
▸Le gestionnaire de mots de passe n’est-il pas un point de défaillance unique ?
C'est un risque concentré mais maîtrisé : le coffre est chiffré localement et même l'éditeur ne peut pas le lire. Protégez-le par une phrase de passe maîtresse solide et une double authentification, et ce compromis reste très largement gagnant face à l'alternative réelle — des mots de passe réutilisés partout.
▸Un mot de passe de combien de caractères en 2026 ?
Visez au minimum 12 caractères, et 16 ou plus pour les comptes sensibles (e-mail, banque, gestionnaire). Avec un gestionnaire qui génère et retient tout, autant générer directement 20 caractères aléatoires : la longueur ne coûte rien quand on n'a pas à s'en souvenir.
▸Comment savoir si mon mot de passe a déjà fuité ?
Le service gratuit Have I Been Pwned indique si votre adresse e-mail apparaît dans des fuites de données connues, et la plupart des gestionnaires de mots de passe intègrent une surveillance équivalente qui vous alerte automatiquement. Si un mot de passe apparaît dans une fuite, changez-le partout où il était utilisé.
[ PASSEZ À L’ACTION ]
Votre site est-il concerné ?
Lancez un audit de surface gratuit et obtenez en quelques secondes la liste exacte de vos failles, avec le correctif pour chacune. Anonyme, sans inscription.
▶ Auditer mon site[ À LIRE AUSSI ]
[ CheckCyber // MIS À JOUR LE 2026-07-17 ]