Créer un mot de passe solide et facile à retenir
En bref :
- La longueur compte plus que la complexité : visez 14 caractères ou plus, ou une phrase de passe de plusieurs mots.
- Un mot de passe unique par site : si l’un fuit, les autres restent protégés.
- Un gestionnaire de mots de passe retient tout à votre place et génère des mots de passe aléatoires.
- Activez la double authentification (ou les passkeys) sur vos comptes importants.
Un mot de passe solide n’est pas un mot de passe illisible : c’est un mot de passe long, imprévisible et utilisé une seule fois. Les attaques testent des milliards de combinaisons et reprennent les mots de passe issus de fuites. Voici comment en créer un qui résiste.
Ce qui rend un mot de passe solide
La CNIL, dans sa recommandation sur les mots de passe (mise à jour en 2022), vise un niveau d’au moins 80 bits d’entropie et donne trois exemples de règles : 12 caractères de quatre types (majuscules, minuscules, chiffres, caractères spéciaux), 14 caractères avec trois types, ou une phrase de passe d’au moins 7 mots.
| Critère | Faible | Solide |
|---|---|---|
| Longueur | 8 caractères ou moins | 14 caractères ou plus, ou 5 à 7 mots |
| Contenu | Prénom, date de naissance, mot du dictionnaire seul | Suite aléatoire ou mots sans lien entre eux |
| Unicité | Le même partout | Un mot de passe différent par service |
| Temps pour le casser | Très court, de quelques instants à quelques heures | Hors de portée d’une attaque réaliste |
Le temps de cassage dépend de l’attaquant et du stockage par le site : aucun chiffre ne vaut garantie. Mais chaque caractère ajouté multiplie le travail de l’attaquant.
Méthode de la phrase de passe
Choisissez plusieurs mots sans rapport entre eux, tirés au hasard (au dé ou avec un générateur), et assemblez-les : « bateau-prune-lundi-ficelle-orage » est bien plus solide que « Azerty123! », et plus facile à mémoriser. N’utilisez pas une citation ou un proverbe connu. Pour la méthode détaillée, voyez la phrase de passe Diceware.
Méthode des premières lettres
Pensez à une phrase personnelle, longue, que vous seul connaissez, et gardez l’initiale de chaque mot avec la ponctuation et les chiffres. Exemple à ne pas réutiliser : « Chez ma tante Odile, il y a 3 chats et 2 chiens ! » devient CmtO,iya3cet2c!. Ajoutez une particularité propre au site pour ne pas répéter la même base. Moins solide qu’un mot de passe aléatoire, elle convient à ce que vous devez vraiment retenir.
Un mot de passe par site : pourquoi
Quand un service est piraté, les mots de passe volés sont aussitôt testés sur les messageries, les banques et les boutiques. Avec le même partout, une seule fuite ouvre tous vos comptes. Soignez surtout la messagerie, qui sert à réinitialiser tous les autres mots de passe.
Utiliser un gestionnaire de mots de passe
Retenir des dizaines de mots de passe différents est irréaliste. Un gestionnaire les stocke chiffrés derrière un seul mot de passe maître, les remplit automatiquement et en génère de nouveaux. Pour comparer les offres, lisez notre guide quel gestionnaire de mots de passe choisir en 2026 ou la liste des gestionnaires gratuits. Parmi les options : Bitwarden, KeePassXC, hors ligne, Proton Pass ou le Trousseau iCloud d’Apple. Si vous hésitez à tout laisser à votre navigateur, voyez enregistrer ses mots de passe dans Chrome. Pour les mots de passe aléatoires, le générateur intégré fait très bien l’affaire.
Double authentification et passkeys
Un bon mot de passe peut être volé par hameçonnage. La double authentification ajoute une seconde preuve : code d’une application, clé de sécurité, ou validation sur le téléphone. Privilégiez l’application ou la clé plutôt que le SMS quand c’est possible. Les passkeys (clés d’accès) vont plus loin : elles remplacent le mot de passe par une clé cryptographique stockée sur votre appareil et déverrouillée par empreinte, visage ou code. Activez-les partout où le service les propose.
Vérifier si un mot de passe a fuité
Le site Have I Been Pwned permet de saisir votre adresse e-mail pour savoir si elle apparaît dans une fuite de données connue. S’il y en a une, changez immédiatement le mot de passe du service concerné et de tout autre compte où vous l’aviez réutilisé.
Les erreurs fréquentes
- Remplacer des lettres par des chiffres (« P@ssw0rd ») : les attaques connaissent ces astuces.
- Ajouter un chiffre ou « ! » à un ancien mot de passe.
- Les noter dans un fichier non protégé ou les envoyer par message.
Si vous avez perdu l’accès à un compte, voyez comment récupérer un compte iCloud ou retrouver le mot de passe Wi-Fi de votre box.
Cas pratique : remettre de l’ordre en une soirée
Julie utilise le même mot de passe depuis des années. Elle installe un gestionnaire, crée une phrase de passe de cinq mots comme mot de passe maître, puis change sa messagerie, sa banque et ses impôts avec des mots de passe aléatoires de 20 caractères, avec double authentification. Elle vérifie enfin son adresse sur Have I Been Pwned. Les autres comptes suivront au fil des connexions.
Questions fréquentes
Quel est un bon exemple de mot de passe fort ?
Une suite de plusieurs mots au hasard, ou un mot de passe aléatoire d’au moins 14 caractères. Ne copiez jamais un exemple trouvé en ligne : générez le vôtre.
Comment créer un mot de passe sécurisé que l’on retient ?
Utilisez une phrase de passe de plusieurs mots sans lien, ou la méthode des premières lettres d’une phrase personnelle. Pour le reste, confiez-vous à un gestionnaire.
Combien de caractères faut-il minimum ?
Selon la CNIL, 12 caractères avec quatre types, 14 avec trois types, ou une phrase de passe d’au moins 7 mots. Plus c’est long, mieux c’est.
Faut-il changer régulièrement ses mots de passe ?
Un renouvellement systématique n’est plus recommandé pour un compte personnel. Changez-le dès que vous soupçonnez une fuite ou un piratage.
Un gestionnaire de mots de passe est-il sûr ?
Oui, s’il chiffre vos données et que votre mot de passe maître est solide, avec la double authentification activée sur le gestionnaire lui-même.
