Votre mot de passe est-il solide ?

Ce qui rend un mot de passe solide : la longueur avant la complexité

Un mot de passe résiste à une attaque quand le nombre de combinaisons à essayer est trop grand pour la machine qui les essaie. Ce nombre dépend de deux facteurs seulement : la taille de l'alphabet employé et la longueur. L'alphabet, c'est le nombre de caractères différents parmi lesquels chaque position est tirée : vingt-six si vous n'utilisez que des minuscules, cinquante-deux en ajoutant les majuscules, soixante-deux avec les chiffres, environ quatre-vingt-quinze en comptant les symboles du clavier.

Ces deux facteurs ne pèsent pas le même poids, et c'est le point que presque tout le monde comprend à l'envers. Ajouter un symbole fait passer l'alphabet de soixante-deux à quatre-vingt-quinze possibilités, soit un gain d'environ cinquante pour cent par caractère. Ajouter un caractère de plus multiplie l'ensemble des combinaisons par la taille de l'alphabet, soit un facteur soixante-deux. La longueur agit comme un exposant, la complexité comme une simple multiplication. C'est pourquoi un mot de passe de huit caractères couvrant tous les types reste plus faible qu'une suite de seize lettres minuscules.

On exprime cette résistance en bits d'entropie. Chaque bit supplémentaire double le travail de l'attaquant. En dessous de cinquante bits, un mot de passe volé tombe en quelques heures. Autour de soixante-dix bits, il tient plusieurs années. Au-delà de quatre-vingts bits, l'attaque par force brute cesse d'être un scénario réaliste, et l'attaquant cherchera une autre porte : vous piéger par un faux e-mail, ou attendre que le service où vous êtes inscrit se fasse voler sa base de données.

Le référentiel américain NIST, dont s'inspirent la plupart des politiques de sécurité européennes, a tiré les conséquences de ce raisonnement dans sa publication SP 800-63B. Quand le mot de passe est le seul facteur d'authentification, il doit compter au minimum quinze caractères. Le service doit par ailleurs en accepter au moins soixante-quatre, afin de ne jamais empêcher une phrase de passe. Ce sont les deux seules contraintes de forme qui subsistent.

Pourquoi les règles classiques d'entreprise produisent des mots de passe faibles

Vous connaissez la formule : au moins huit caractères, une majuscule, un chiffre, un caractère spécial, et un changement obligatoire tous les trois mois. Cette politique a été écrite au début des années deux mille et elle a produit exactement l'inverse de son objectif.

Le problème est que les êtres humains résolvent ces contraintes tous de la même façon. La majuscule va au début. Le chiffre et le caractère spécial vont à la fin. Le chiffre est souvent une année, celle en cours ou celle d'une naissance. Le caractère spécial est un point d'exclamation dans la grande majorité des cas. Le résultat ressemble à « Printemps2026! » : conforme à la règle, et cassé en quelques secondes. Les logiciels de cassage connaissent ces habitudes depuis longtemps et les appliquent automatiquement à leurs listes de mots. C'est ce que notre test reproduit quand il signale un mot courant malgré une entropie théorique correcte.

Ces règles ne sont plus seulement inefficaces, elles sont désormais déconseillées. Le NIST écrit qu'un service ne doit imposer aucune règle de composition, c'est-à-dire aucune exigence de mélange entre majuscules, minuscules, chiffres et symboles. Ce qu'il exige à la place est de comparer chaque nouveau mot de passe à une liste de mots de passe connus, courants ou déjà compromis, et de le refuser s'il s'y trouve. Autrement dit : on ne contraint plus la forme, on vérifie le fond.

Le changement forcé tous les trois mois aggrave encore la situation. Un collaborateur qui doit renouveler son mot de passe quatre fois par an ne réinvente rien : il incrémente. Le mot de passe passe de « Soleil1! » à « Soleil2! », puis « Soleil3! ». Un attaquant qui a obtenu une version ancienne devine la suivante en quelques essais. C'est pour cette raison que les référentiels actuels, en particulier ceux du NIST américain, recommandent d'abandonner l'expiration périodique et d'exiger à la place de la longueur.

La dernière conséquence de ces politiques est la plus visible dans les bureaux : le mot de passe devenu impossible à mémoriser finit sur un papier collé sous le clavier, dans un carnet, ou dans un fichier appelé « codes.xlsx » posé sur le serveur partagé. Une règle de sécurité qui rend la mémorisation impossible sans proposer d'alternative déplace le risque, elle ne le supprime pas.

La phrase de passe, expliquée avec des exemples

La phrase de passe est la réponse simple à ce problème. Au lieu d'un mot court et tordu, vous assemblez plusieurs mots sans rapport entre eux. La longueur explose, la mémorisation devient facile, et l'entropie monte très au-dessus de ce qu'un mot de huit caractères peut atteindre.

Comparez. « Tr0ub4dor&3 » compte onze caractères et paraît solide : il est en réalité constitué d'un mot du dictionnaire déguisé, et les substitutions de lettres par des chiffres font partie des toutes premières transformations testées. Notre outil le classe faible, avec environ vingt-quatre bits. À l'inverse, « girafe agrafe tuile bison » compte vingt-cinq caractères, quatre mots sans rapport entre eux, et n'est rattaché à aucune expression existante. L'outil le classe solide, avec environ septante bits.

Le point important est la manière dont ces septante bits se calculent. Ils ne viennent pas de la longueur en caractères, mais du nombre de mots. Un attaquant qui vise une phrase de passe ne teste pas des caractères au hasard : il teste des combinaisons de mots. En supposant qu'il pioche dans un dictionnaire de soixante-cinq mille mots, chaque mot lui coûte seize bits. Quatre mots en valent donc soixante-quatre, cinq mots quatre-vingts, six mots quatre-vingt-seize. C'est le principe de la méthode Diceware, où l'on tire les mots aux dés dans une liste de sept mille sept cent septante-six entrées, soit environ treize bits par mot. Son auteur recommande aujourd'hui six mots, et la Electronic Frontier Foundation en dit autant.

C'est aussi ainsi que raisonnent les bibliothèques d'évaluation sérieuses, comme zxcvbn, développée par Dropbox. Elles découpent la saisie en motifs, calculent le coût de chaque découpage possible, et retiennent le moins cher pour l'attaquant. Notre outil applique la même règle : il compare la force brute, l'attaque par mots et l'attaque par motif, puis affiche le plus défavorable des trois. C'est pourquoi une phrase de quatre mots ressort solide alors que chacun de ses mots, pris isolément, ne vaut rien.

Trois conditions font la différence entre une bonne et une mauvaise phrase de passe. D'abord, les mots doivent être choisis au hasard : tirez-les d'un livre ouvert au hasard, ou laissez votre gestionnaire les générer. Une citation, un titre de chanson ou un proverbe ne conviennent pas, car ils figurent dans les listes des attaquants. Ensuite, il en faut au moins quatre, et six pour un accès critique comme votre messagerie ou votre gestionnaire de mots de passe. Enfin, ils ne doivent avoir aucun lien logique entre eux : « chien chat lapin cheval » forme une catégorie, donc un espace de recherche beaucoup plus étroit.

Vous pouvez conserver les espaces, la plupart des services les acceptent. Si l'un d'eux les refuse, collez les mots ou séparez-les par un tiret. Vous n'avez besoin de mémoriser ainsi que deux ou trois phrases de passe au total : celle de votre session d'ordinateur, celle de votre messagerie, et celle de votre gestionnaire de mots de passe. Tout le reste est géré par le logiciel.

Le gestionnaire de mots de passe est la vraie solution

Une PME utilise couramment entre trente et quatre-vingts services en ligne : messagerie, banque, comptabilité, facturation, fournisseurs, assurances, plateformes de commande, réseaux sociaux. Aucun cerveau humain ne retient quatre-vingts phrases de passe distinctes. Sans outil, une seule issue existe, et c'est la pire : réutiliser le même mot de passe partout. Le jour où l'un de ces services se fait voler sa base de données, l'attaquant essaie automatiquement le couple identifiant et mot de passe sur des centaines d'autres sites. Cette technique porte un nom, le bourrage d'identifiants, et elle représente une part importante des compromissions de boîtes e-mail professionnelles.

Un gestionnaire de mots de passe résout le problème en entier. Il génère un mot de passe différent, long et aléatoire pour chaque service, le retient, et le remplit à votre place. Vous ne mémorisez plus qu'une seule phrase de passe, celle qui ouvre le coffre. Le remplissage automatique apporte un bénéfice inattendu et considérable : le gestionnaire ne propose vos identifiants que sur le site auquel ils correspondent réellement. Sur une imitation, il ne propose rien. Il détecte donc les tentatives d'hameçonnage que l'œil humain laisse passer.

Pour une entreprise, préférez une version professionnelle, qui permet de partager un accès à une équipe sans se transmettre le mot de passe par messagerie, et de le révoquer d'un clic lors d'un départ. Le coût se situe généralement entre trois et six francs par personne et par mois. Notre check-up cyber vous indique où ce point se situe parmi vos priorités, et le reste de nos outils gratuits couvre les autres volets.

Les limites de ce test

Ce test compare trois scénarios d'attaque et retient le plus favorable à l'attaquant : la force brute caractère par caractère, l'attaque par combinaisons de mots, et l'attaque par mot courant assorti d'une transformation prévisible. Les hypothèses de chacun sont affichées sous le résultat, y compris la taille de dictionnaire retenue. Ce sont des estimations, pas des mesures : un attaquant réel peut disposer d'un dictionnaire plus large, ou au contraire ignorer votre langue.

Le test mesure la résistance d'une chaîne de caractères, et rien d'autre. Il ne connaît pas votre vie. Si vous saisissez le prénom de votre fille suivi de sa date de naissance, le calcul d'entropie le jugera peut-être acceptable, alors qu'une personne qui vous connaît le devinerait en trois tentatives. Aucun outil automatique ne peut détecter ce type de faiblesse.

La liste de mots courants intégrée à cette page compte quelques dizaines d'entrées. Les dictionnaires réellement utilisés par les attaquants en contiennent des centaines de millions, alimentés par toutes les fuites publiées depuis quinze ans. Un mot de passe qui passe notre test peut donc figurer dans l'une de ces listes. Pour cette question précise, consultez notre outil dédié : votre mot de passe a-t-il fuité ?

Enfin, l'hypothèse de vitesse retenue est celle d'une attaque hors ligne. Quand l'attaquant essaie directement sur un site web, le service bloque après quelques tentatives et l'attaque devient impraticable, même contre un mot de passe médiocre. Inversement, si le service stockait vos mots de passe sans protection adéquate, la vitesse réelle pourrait dépasser notre hypothèse. Le chiffre affiché est donc un ordre de grandeur destiné à comparer des mots de passe entre eux, pas une promesse de durée.

Retenez surtout ceci : la solidité d'un mot de passe est nécessaire, mais elle n'est jamais suffisante. Elle ne vous protège ni d'un faux site qui vous le fait saisir, ni d'un vol chez le prestataire. Seule la double authentification neutralise ces deux scénarios, et c'est pourquoi elle reste la mesure la plus rentable que vous puissiez mettre en place cette semaine.