Ce qu'est vraiment un mot de passe fort

Module 2: Mots de passe et connexion · Temps de lecture : 9 minutes

Objectif pédagogique : à l'issue de cette leçon, vous saurez expliquer pourquoi la longueur et l'unicité comptent plus que des caractères bizarres, et ce que dit la recommandation actuelle du NIST sur les mots de passe.

Notions clés : longueur, entropie, phrase de passe, attaque par dictionnaire, force brute, réutilisation, changement obligatoire

Comment un mot de passe est piraté

Quand on parle de « pirater un mot de passe », beaucoup pensent à quelqu'un qui devine votre mot de passe sur votre page de connexion. Cela arrive, mais ce n'est pas la menace principale. Une bonne page de connexion ralentit après plusieurs tentatives échouées ou bloque temporairement l'accès. Deviner par la porte d'entrée est donc lent.

Plus dangereux est le cassage hors ligne. Un site web ne conserve pas (normalement) votre mot de passe lui-même, mais un hash : une sorte d'empreinte à partir de laquelle on ne peut pas retrouver directement le mot de passe. Si la base de données d'une boutique en ligne fuite, l'attaquant dispose de ces empreintes sur ses propres ordinateurs. Là, plus aucun frein. Il essaie autant de mots de passe que son matériel le permet et compare chaque résultat à l'empreinte divulguée.

Il utilise pour cela deux méthodes :

• Attaque par dictionnaire : d'abord tout ce que les gens choisissent souvent. Des listes de millions de vrais mots de passe issus de fuites précédentes, des mots de dictionnaires, des noms, des lieux, des années. Avec des règles associées : majuscule au début, année à la fin, point d'exclamation à la fin, a devient @, o devient 0.
• Force brute : ensuite, toutes les combinaisons possibles de caractères, du plus court au plus long.

Un mot de passe comme Zomer2026! paraît fort : majuscule, chiffres, signe de ponctuation, dix caractères. Mais c'est exactement le schéma présent dans ces règles : un mot, une année, un signe. Un tel mot de passe tombe dès le premier tour, bien avant que la force brute ne commence.

La longueur l'emporte sur les caractères bizarres

La force d'un mot de passe dépend du nombre de possibilités qu'un attaquant doit essayer. Ce nombre se calcule ainsi : nombre de caractères possibles, élevé à la puissance de la longueur.

Sur un clavier ordinaire, il existe 95 caractères que vous pouvez taper (lettres majuscules et minuscules, chiffres, signes de ponctuation et l'espace). Un mot de passe aléatoire de 8 caractères offre donc 95 puissance 8 possibilités : environ 6,63 × 10^15. Cela paraît beaucoup, mais avec du matériel rapide et une méthode de stockage faible, ce chiffre est exploré en quelques jours.

Chaque caractère supplémentaire multiplie le nombre par 95. Un type de caractère supplémentaire (par exemple ajouter des signes de ponctuation à des lettres seules) ne multiplie la base que légèrement. C'est pourquoi la longueur rapporte bien plus que la complexité.

Cette dernière colonne est l'entropie : une mesure du caractère imprévisible de quelque chose, exprimée en bits. En langage courant : chaque bit supplémentaire double le travail de l'attaquant. Un mot de passe de 65 bits ne coûte donc pas un peu plus, mais environ 4 000 fois plus de travail qu'un mot de passe de 53 bits.

Important : ces chiffres ne valent que si le mot de passe est choisi réellement au hasard. Un mot de passe que vous inventez n'est presque jamais aléatoire. Bakkerij2026! compte treize caractères, mais son schéma figure dans toutes les listes de piratage.

La phrase de passe

Une phrase de passe est un mot de passe composé de plusieurs mots séparés, par exemple cinq ou six. L'avantage : c'est long, mais facile à mémoriser et à taper. L'ANSSI recommande de choisir quatre à six mots sans lien entre eux, et indique qu'une longue phrase composée uniquement de minuscules est plus sûre qu'un mot de passe court contenant tous les types de caractères.

Une phrase de passe n'est forte que si les mots sont choisis au hasard :

• Bonne méthode : un générateur (dans votre gestionnaire de mots de passe) ou des dés avec une liste de mots. La méthode connue avec cinq dés utilise une liste de 7 776 mots, car 6 puissance 5 vaut exactement 7 776. Les créateurs de ce type de liste recommandent six mots pour la plupart des usages.
• Mauvaise méthode : une phrase connue, les paroles d'une chanson, un proverbe ou quelque chose sur vous-même. ikhouvanmijnhondbobby est long, mais les mots sont liés entre eux et faciles à deviner pour quelqu'un qui vous connaît ou lit vos réseaux sociaux.

Une phrase de passe reste un mot de passe. Vous l'utilisez à un seul endroit et vous ne la partagez pas.

L'unicité compte plus que la complexité

Le mot de passe le plus fort ne sert à rien si vous l'utilisez à vingt endroits. Dans la leçon 1.4, vous avez découvert le credential stuffing : une adresse e-mail et un mot de passe divulgués sont automatiquement essayés sur la messagerie, la comptabilité, les boutiques en ligne et les réseaux sociaux. Si la fuite se produit chez le plus faible de ces vingt services, les vingt deviennent accessibles.

La réutilisation est donc la plus grande faiblesse en pratique. Et « quelques variantes » ne comptent pas comme unique. Example!Mail et Example!Shop sont faciles à deviner en quelques tentatives pour un attaquant disposant d'un mot de passe divulgué.

La solution n'est pas de mémoriser, mais de conserver : un gestionnaire de mots de passe crée pour chaque service un mot de passe long et aléatoire et le mémorise pour vous. C'est l'objet de la leçon 2.2. Il ne vous reste alors que quelques éléments à retenir : le mot de passe principal du gestionnaire et éventuellement le mot de passe de votre ordinateur.

Ce que dit la recommandation NIST

Le NIST américain (National Institute of Standards and Technology) publie la recommandation la plus connue en matière de connexion : SP 800-63B. La quatrième version est devenue définitive le 31 juillet 2025. De nombreuses organisations dans le monde la suivent. Les points principaux concernant les mots de passe :

• Si le mot de passe est la seule méthode de connexion, il doit compter au moins 15 caractères. S'il fait partie d'une authentification à deux facteurs (2FA), au moins 8.
• Un service doit autoriser des mots de passe d'au moins 64 caractères.
• Pas de règles de composition : un service ne peut pas imposer « au moins une majuscule, un chiffre et un signe de ponctuation ».
• Ne pas imposer de changement périodique. Changer uniquement en cas d'indice de fuite du mot de passe.
• Vérifier les nouveaux mots de passe par rapport à une liste de mots de passe fréquemment utilisés et divulgués.
• Autoriser le collage et les gestionnaires de mots de passe.
• Pas de questions de sécurité (« nom de votre premier animal de compagnie ») ni d'indices de mot de passe.

Pourquoi le changement obligatoire n'est plus recommandé

Pendant des années, vous deviez choisir un nouveau mot de passe tous les trois mois au travail. L'idée : un mot de passe volé ne fonctionnerait alors que brièvement. En pratique, les gens font ceci : Zomer2026! devient Herfst2026!, puis Winter2026!. Un attaquant disposant de l'ancien mot de passe devine le nouveau en quelques tentatives. Et celui qui doit sans cesse inventer un nouveau mot de passe en choisit des plus courts et les note sur un papier.

Le changement obligatoire rend donc les mots de passe plus prévisibles. En revanche, vous changez immédiatement en cas de raison valable : une alerte de fuite, une connexion suspecte, un collègue qui part et connaissait le mot de passe, ou si vous l'avez saisi par mégarde quelque part.

En pratique : une politique de mots de passe sur une page

Pour une petite entreprise comme Boulangerie Example, une politique courte suffit :

1. Chaque compte a son propre mot de passe personnel. Pas d'identifiant partagé pour info@example.com dont cinq personnes connaîtraient le mot de passe.
2. Les mots de passe sont créés par le gestionnaire de mots de passe : aléatoires, au moins 15 caractères, ou une phrase de passe d'au moins cinq mots aléatoires que vous devez taper.
3. Jamais le même mot de passe à deux endroits.
4. Authentification à deux facteurs (2FA) activée sur la messagerie, la comptabilité, la banque, l'hébergement et l'enregistrement de domaine (leçon 2.3).
5. Changement uniquement en cas de raison valable, et alors immédiatement.
6. Les mots de passe ne doivent jamais être envoyés par e-mail, par chat ou notés sur un papier collé à l'écran.

Votre panneau d'hébergement suit également cette logique. Dans l'environnement WebOké, vous pouvez par exemple faire générer un mot de passe aléatoire pour le mot de passe DA et pour les boîtes mail ; chez d'autres fournisseurs, ce bouton s'appelle souvent « Générer » ou « Generate ». Faites toujours générer au moins 15 caractères ; vous pouvez souvent choisir la longueur vous-même.

Résumé

• Les attaquants cassent surtout hors ligne, après une fuite, à l'aide de listes et de règles. Les schémas prévisibles tombent immédiatement.
• La longueur et le véritable hasard apportent bien plus que des caractères bizarres. Chaque bit d'entropie double le travail.
• Une phrase de passe composée de mots choisis au hasard est longue et pourtant facile à mémoriser.
• L'unicité compte plus que la complexité : la réutilisation transforme une fuite en vingt fuites.
• NIST SP 800-63B-4 : au moins 15 caractères comme seul facteur, pas de règles de composition, pas de changement périodique, mais vérification par rapport aux mots de passe divulgués.

Quiz

Exercice

Exercice A2.1 : Calculer et évaluer. Vous ne saisissez nulle part votre propre mot de passe. Partie 1 : calculez combien de possibilités offrent une phrase de passe et un mot de passe aléatoire (les nombres de mots et de caractères vous sont fournis), lequel des deux est le plus fort et de combien de fois. Partie 2 : évaluez six exemples de mots de passe fictifs : prévisible, trop court, réutilisé ou fort. Le programme vérifie vos réponses et donne une explication pour chacune.

Pour aller plus loin

Les étapes des articles WebOké concernent l'environnement de WebOké ; chez d'autres fournisseurs, le fonctionnement est similaire.

• Guide DirectAdmin 3.7: Mots de passe sécurisés et que faire en cas de mot de passe compromis
• Comment modifier le mot de passe ou les limites de mon adresse e-mail ?
• ANSSI, conseils pour créer un mot de passe robuste : https://cyber.gouv.fr/
• Cybermalveillance.gouv.fr, ressources pour sécuriser vos mots de passe : https://www.cybermalveillance.gouv.fr/
• NIST SP 800-63B-4, Authentication and Authenticator Management (en anglais) : https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (en anglais, la liste de mots pour la méthode des dés) : https://www.eff.org/dice