Mots de passe : longueur, gestionnaire, double authentification

Un mot de passe sécurisé, en 2026, c’est d’abord un mot de passe long et unique : au moins 12 caractères variés, 14 sans symboles, ou une phrase de plusieurs mots tirés au hasard. Personne ne peut en retenir cinquante de ce genre, d’où le gestionnaire de mots de passe. Et sur les comptes qui comptent, la double authentification ferme la porte même quand le mot de passe a fuité.

Les longueurs recommandées par la CNIL

Dans sa recommandation de 2022, la CNIL raisonne en entropie, c’est-à-dire en nombre de combinaisons à essayer, et vise au moins 80 bits pour un compte protégé par un simple mot de passe. Elle donne trois exemples qui atteignent ce niveau :

Ces chiffres supposent un tirage au hasard. « Soleil2024! » coche toutes les cases de forme et ne vaut presque rien : les logiciels de cassage testent en priorité les mots du dictionnaire, les prénoms, les années et les substitutions du type « a » remplacé par « @ ». La CNIL ne recommande d’ailleurs plus de changer ses mots de passe à intervalles réguliers : un mot de passe robuste se garde, et on le remplace seulement en cas de fuite ou de doute.

Exemple chiffré : 8 caractères contre une phrase de 7 mots

Imaginons un pirate qui récupère une base de mots de passe mal protégée et teste dix milliards de combinaisons par seconde avec quelques cartes graphiques, ordre de grandeur courant pour un hachage faible.

• 8 lettres minuscules : 26 puissance 8, soit environ 209 milliards de combinaisons. Tout est essayé en une vingtaine de secondes.
• 8 caractères mêlant majuscules, minuscules et chiffres : environ 218 000 milliards de combinaisons, soit six heures de calcul au pire.
• 12 caractères avec symboles : de l’ordre de 10 puissance 24 combinaisons, soit plusieurs millions d’années au même rythme.
• 7 mots tirés dans une liste de 7 776 : plus de 10 puissance 27 combinaisons, environ 90 bits, et une phrase qu’on peut taper sans se tromper sur un téléphone.

La longueur bat la variété : chaque caractère ajouté multiplie le travail de l’attaquant, alors qu’un symbole glissé au milieu d’un mot connu ne change presque rien.

Un mot de passe par compte, sans exception

Le danger le plus courant n’est pas qu’on devine votre mot de passe, mais qu’on le récupère sur un site piraté pour l’essayer ailleurs. Les listes d’identifiants volés circulent par milliards, et des robots les testent en masse sur les messageries, les sites marchands, les comptes de streaming ou les plateformes de revente comme Leboncoin. Un mot de passe réutilisé, même excellent, ouvre toutes les portes d’un coup.

Les comptes à protéger en priorité :

• l’adresse e-mail principale, qui permet de réinitialiser tout le reste ;
• la banque en ligne et les applis de paiement ;
• le compte Apple, Google ou Microsoft du téléphone, qui contient photos et contacts ;
• les espaces administratifs : impôts, Ameli, CAF, France Travail.

Le service gratuit Have I Been Pwned indique si votre adresse figure dans une fuite connue. Si c’est le cas, changez le mot de passe du site concerné et de tous ceux où vous l’aviez réutilisé.

Le gestionnaire de mots de passe

Un gestionnaire retient tout à votre place, génère des mots de passe aléatoires et les remplit sur les bons sites, ce qui protège au passage du hameçonnage : il ne propose rien sur une fausse page qui imite votre banque. Il ne reste qu’un mot de passe à retenir, le mot de passe maître, qu’on choisit très long.

• Intégrés au système : l’app Mots de passe d’Apple, le gestionnaire de Google dans Chrome et Android. Gratuits, bien synchronisés, mais plus à l’aise dans leur propre écosystème.
• Indépendants : Bitwarden (version gratuite généreuse), 1Password, Dashlane, Proton Pass, utilisables sur tous les appareils et navigateurs.
• Hors ligne : KeePass et ses dérivés, gratuits et open source, avec un fichier chiffré que vous synchronisez vous-même.

Pour un foyer qui mélange iPhone, Android et PC Windows, je choisis un gestionnaire indépendant plutôt que celui du téléphone : le jour où l’on change de marque, tout suit sans export laborieux.

La double authentification, du SMS à la clé d’accès

La double authentification ajoute une preuve à la saisie du mot de passe. Toutes ne se valent pas :

1. Code par SMS : mieux que rien, mais exposé au détournement de ligne et aux faux sites qui relaient le code en direct.
2. Application d’authentification (Google Authenticator, Microsoft Authenticator, ou celle intégrée au gestionnaire) : un code à six chiffres renouvelé toutes les 30 secondes, sans dépendre du réseau mobile.
3. Validation dans l’appli : la banque ou le service demande de confirmer sur le téléphone ; pratique, à condition de ne jamais valider une demande qu’on n’a pas initiée.
4. Clé de sécurité physique ou clé d’accès (passkey) : liée au vrai site, elle résiste au hameçonnage. Les clés d’accès remplacent le mot de passe par le déverrouillage du téléphone, empreinte ou visage.

Activez-la au minimum sur la messagerie et sur le compte du téléphone, puis gardez les codes de secours fournis à l’activation. Je n’ai jamais rencontré de service où la mise en place prenait plus de cinq minutes.

Les cas particuliers de la maison

• La box internet : changez le mot de passe d’administration d’origine en plus de la clé Wi-Fi.
• Comptes partagés en famille : un coffre partagé dans le gestionnaire évite le fameux papier collé sur le frigo.
• Comptes des enfants : une phrase de passe de quatre ou cinq mots simples est plus facile à mémoriser pour eux qu’une suite de symboles, et bien plus solide que le prénom du chien.
• Succession : la plupart des gestionnaires et des comptes Apple ou Google proposent un contact d’accès en cas de décès ou d’urgence ; quelques minutes de réglage évitent des mois de démarches à vos proches.