Comment créer un mot de passe sécurisé : longueur, phrase de passe et MFA

Un mot de passe fort est long, aléatoire et propre à un seul compte. Les recommandations actuelles du gouvernement américain privilégient la longueur à la complexité : la CISA conseille au moins 16 caractères, par exemple une suite aléatoire générée par un gestionnaire de mots de passe ou une phrase de passe composée de 5 à 7 mots sans rapport entre eux.

La longueur et l'unicité comptent bien plus que le fait de remplacer des lettres par des symboles. Ajoutez l'authentification multifacteur (MFA) à vos comptes importants et vous serez protégé même si un mot de passe fuite.

Réponse rapide

• Faites-le long : visez au moins 16 caractères. Plus il est long, plus il est solide.
• Faites-le unique : utilisez un mot de passe différent pour chaque compte.
• Faites-le aléatoire : laissez un gestionnaire de mots de passe le générer, ou utilisez 5 à 7 mots sans rapport entre eux comme phrase de passe.
• Oubliez les anciennes règles : les symboles obligatoires et les changements réguliers ne sont pas nécessaires. Changez un mot de passe lorsqu'il a pu être exposé.
• Utilisez un gestionnaire de mots de passe pour créer, stocker et saisir vos mots de passe.
• Activez la MFA pour vos e-mails, votre banque, votre santé et vos autres comptes importants.

Qu'est-ce qui rend un mot de passe fort ?

Les pirates devinent rarement les mots de passe à la main. Ils utilisent des logiciels qui testent d'immenses listes de mots de passe courants, de mots de passe ayant fuité et de schémas prévisibles. Un mot de passe fort déjoue ces outils de trois façons.

1. La longueur. Chaque caractère supplémentaire multiplie le nombre de combinaisons possibles. C'est pourquoi le NIST comme la CISA mettent l'accent sur la longueur.
2. Le hasard. Les mots, les noms, les dates et les suites de touches comme « azerty » sont les premières choses que testent les pirates. Des choix vraiment aléatoires sont beaucoup plus difficiles à casser.
3. L'unicité. Lorsqu'un site web est piraté, les criminels essaient l'adresse e-mail et le mot de passe volés sur d'autres sites. Si vous réutilisez vos mots de passe, une seule fuite peut ouvrir l'accès à de nombreux comptes.

Ce que disent les recommandations actuelles

Le National Institute of Standards and Technology (NIST) américain rédige les règles sur les mots de passe que suivent de nombreuses organisations. Ses lignes directrices sur l'identité numérique indiquent que les services doivent :

• Exiger des mots de passe d'au moins 15 caractères lorsque le mot de passe est le seul moyen de se connecter, ou d'au moins 8 caractères lorsqu'il est utilisé avec la MFA.
• Accepter des mots de passe d'au moins 64 caractères.
• Ne pas imposer de mélange de types de caractères, comme « une majuscule, un chiffre, un symbole ».
• Ne pas imposer de changements réguliers, mais exiger un changement s'il existe des indices que le mot de passe a été compromis.
• Comparer les nouveaux mots de passe aux listes de mots de passe courants ou ayant déjà fuité.
• Autoriser les gestionnaires de mots de passe, la saisie automatique et le copier-coller.

La Cybersecurity and Infrastructure Security Agency (CISA) donne des conseils similaires au grand public : au moins 16 caractères, un mot de passe différent pour chaque compte, et un gestionnaire de mots de passe pour faire le travail.

Comment créer un mot de passe fort, étape par étape

Option 1 : laissez un gestionnaire de mots de passe le générer (la meilleure)

1. Choisissez un gestionnaire de mots de passe réputé. De nombreux navigateurs et téléphones en intègrent un, et il existe aussi des applications indépendantes.
2. Protégez le gestionnaire avec un mot de passe principal ou une phrase de passe longs et uniques, et activez la MFA pour celui-ci.
3. Lorsque vous créez ou modifiez un compte, utilisez l'option générer un mot de passe du gestionnaire.
4. Réglez la longueur sur au moins 16 caractères. Si le site le permet, allez plus loin.
5. Enregistrez-le dans le gestionnaire. Il saisira le mot de passe pour vous la prochaine fois, vous n'aurez donc jamais besoin de le mémoriser.

Option 2 : créez une phrase de passe facile à retenir

Utilisez cette méthode pour les quelques mots de passe que vous devez taper de mémoire, comme la connexion à votre ordinateur ou le mot de passe principal de votre gestionnaire.

1. Choisissez 5 à 7 mots sans rapport entre eux. Plus ils sont aléatoires, mieux c'est. Évitez les paroles de chansons, les citations et tout ce qui vous concerne.
2. Choisir les mots au hasard (par exemple en lançant des dés sur une liste de mots ou en ouvrant un dictionnaire à des pages au hasard) est plus sûr que de choisir des mots qui « semblent » aléatoires.
3. Enchaînez-les, avec ou sans espaces ou séparateur si le site l'autorise : par exemple, lanterne-gravier-huitre-toundra-cornichon. (N'utilisez pas cet exemple : il est désormais public.)
4. Vérifiez qu'elle fait au moins 16 caractères. La plupart des phrases de passe de cinq mots dépassent facilement ce seuil.
5. Utilisez-la pour un seul compte.

Option 3 : renforcez un mot de passe faible existant

1. Commencez par vos comptes les plus importants : e-mail, banque et tout compte qui permet de réinitialiser les autres.
2. Remplacez les mots de passe courts ou réutilisés par un mot de passe généré ou une nouvelle phrase de passe.
3. Activez la MFA pendant que vous êtes dans les paramètres de sécurité du compte.
4. Traitez les autres comptes au fil du temps, en utilisant comme liste de tâches la liste des mots de passe réutilisés ou faibles de votre gestionnaire.

Mots de passe faibles et mots de passe forts

Le tableau présente des schémas, pas de vrais mots de passe. N'utilisez jamais un exemple de mot de passe trouvé sur un site web.

Activez l'authentification multifacteur (MFA)

La MFA ajoute une seconde étape à la connexion, si bien qu'un mot de passe volé ne suffit pas à lui seul. La CISA recommande de l'activer pour vos e-mails, votre banque, vos services de santé et vos autres comptes importants. Votre messagerie passe en premier, car quiconque la contrôle peut réinitialiser vos autres mots de passe.

Les méthodes de MFA courantes comprennent :

• Les applications d'authentification, qui affichent un nouveau code toutes les 30 secondes.
• Les codes envoyés par SMS ou par e-mail. C'est mieux que pas de MFA du tout, mais la CISA souligne que les codes par SMS et par appel vocal sont vulnérables à l'hameçonnage et aux attaques par échange de carte SIM : considérez-les comme un dernier recours.
• La biométrie, comme l'empreinte digitale ou la reconnaissance faciale.
• La connexion basée sur FIDO, comme une clé de sécurité physique. La CISA décrit FIDO/WebAuthn comme la seule méthode largement disponible qui résiste à l'hameçonnage.

Pour la configurer, cherchez dans les paramètres Sécurité ou Connexion du compte des options comme « validation en deux étapes » ou « authentification multifacteur ». Conservez les codes de secours en lieu sûr.

Erreurs courantes à éviter

• Réutiliser ses mots de passe. C'est le plus grand risque. Une seule fuite peut exposer tous les comptes qui partagent le même mot de passe.
• Compter sur les substitutions de caractères. Remplacer « a » par « @ » ou ajouter « 1! » à la fin est prévisible, et les outils de piratage le testent automatiquement.
• Utiliser des informations personnelles. Le nom de votre animal, votre date de naissance ou votre équipe préférée sont faciles à trouver en ligne.
• Noter ses mots de passe dans une note ou un tableur non protégés. Utilisez plutôt un gestionnaire de mots de passe chiffré.
• Partager ses mots de passe ou ses codes MFA. Les vraies entreprises ne vous demandent jamais votre mot de passe ou un code de connexion par téléphone, SMS ou e-mail. Apprenez à repérer les arnaques en ligne et l'hameçonnage.
• Changer de mot de passe à intervalles réguliers sans raison. Le NIST ne recommande plus les changements périodiques obligatoires, qui entraînent souvent de petites modifications prévisibles. Changez un mot de passe lorsqu'un signe indique qu'il a été exposé.

Questions fréquentes

Quelle longueur doit faire un mot de passe fort ?

La CISA recommande au moins 16 caractères, et plus c'est long, mieux c'est. Le NIST indique que les services doivent exiger au moins 15 caractères lorsque le mot de passe est le seul facteur de connexion. Un gestionnaire de mots de passe rend les mots de passe longs faciles à utiliser.

Les phrases de passe sont-elles vraiment plus sûres que les mots de passe complexes ?

Une longue phrase de passe composée de mots vraiment aléatoires est généralement plus solide qu'un mot de passe court rempli de symboles, et elle est bien plus facile à retenir. La longueur apporte plus de solidité que les règles de complexité.

Dois-je changer mes mots de passe régulièrement ?

Selon les recommandations actuelles du NIST, il n'est pas nécessaire de changer vos mots de passe selon un calendrier fixe. Changez-en un immédiatement si un service signale une fuite de données, si vous remarquez une activité suspecte ou si vous l'avez partagé par erreur.

Les gestionnaires de mots de passe sont-ils sûrs ?

Un gestionnaire de mots de passe réputé, protégé par un mot de passe principal fort et la MFA, est bien plus sûr que réutiliser ses mots de passe ou les noter. Il permet aussi d'utiliser facilement un mot de passe unique partout.

Que faire si mon mot de passe figure dans une fuite de données ?

Changez ce mot de passe immédiatement, ainsi que celui de tout compte où vous l'avez utilisé. Activez la MFA et vérifiez l'activité récente du compte. Si le compte sert à des transactions financières, vérifiez aussi vos relevés.

Est-il sûr de laisser mon navigateur enregistrer mes mots de passe ?

Les gestionnaires de mots de passe intégrés aux principaux navigateurs et téléphones sont un choix raisonnable pour beaucoup de gens, surtout avec un verrouillage de l'appareil et la MFA activés. Avant de vider le cache de votre navigateur, assurez-vous de ne pas supprimer aussi des mots de passe enregistrés dont vous avez besoin.

---

Sources

• NIST SP 800-63B – Digital Identity Guidelines: Authentication and Authenticator Management
• CISA Secure Our World – Passwords Tip Sheet
• CISA Secure Our World – Turn On Multifactor Authentication
• CISA – Implementing Phishing-Resistant MFA (fact sheet)