Comment créer un mot de passe solide et facile à retenir

La plupart des conseils sur les mots de passe n’ont pas changé depuis vingt ans : ajoutez une majuscule, un chiffre et un caractère spécial. Résultat, on obtient des mots de passe comme Soleil2024! qui semblent complexes, mais qui figurent parmi les premiers que les attaquants essaient. Ce qui rend vraiment un mot de passe solide est plus simple, et rend aussi les mots de passe plus faciles à vivre.

Ce qui rend un mot de passe solide

Un mot de passe est solide quand il est difficile à deviner, et la vraie mesure de cette difficulté, c’est le nombre de possibilités qu’un attaquant doit tester. Deux choses la déterminent : la longueur du mot de passe et le caractère aléatoire de son choix.

La longueur compte plus que tout. Chaque caractère aléatoire supplémentaire multiplie le nombre de mots de passe possibles. Un mot de passe aléatoire de 8 caractères mêlant lettres, chiffres et symboles offre environ 52 bits de robustesse. Avec 16 caractères aléatoires, on atteint environ 104 bits : ce n’est pas deux fois plus difficile à casser, mais des millions de milliards de fois plus.

Le hasard compte tout autant. Les attaquants n’essaient pas toutes les combinaisons dans l’ordre. Ils commencent par des listes de mots de passe divulgués, des mots du dictionnaire, des prénoms, des dates, des suites de touches et les astuces habituelles comme remplacer a par @ ou o par 0. Un mot de passe qui suit un schéma humain reste faible, quelle que soit sa longueur apparente. C’est pour cela qu’un générateur bat votre imagination : il n’a pas de schéma.

Les recommandations officielles ont suivi. Le NIST américain (National Institute of Standards and Technology) conseille de privilégier la longueur, d’autoriser les longues phrases de passe et d’abandonner les règles de composition imposées et les changements périodiques obligatoires. En France, l’ANSSI recommande elle aussi des mots de passe longs et les phrases de passe.

Mot de passe aléatoire ou phrase de passe ?

Un mot de passe aléatoire comme 7vQ#mL2x!pR9zT4k est idéal quand un gestionnaire de mots de passe le retient pour vous. Une phrase de passe comme orbite-velours-bougie-port convient mieux aux quelques mots de passe que vous devez taper ou retenir vous-même : le mot de passe principal de votre gestionnaire, la session de votre ordinateur ou votre téléphone.

Une phrase de passe n’est solide que si les mots sont tirés au hasard, et non choisis par vous. Avec une liste de 7 776 mots, chaque mot aléatoire ajoute environ 12,9 bits. Quatre mots donnent à peu près 52 bits, six mots environ 78 bits. Les paroles de chansons, les citations et les phrases qui ont un sens sont beaucoup plus faibles, parce qu’elles sont prévisibles.

Créer un mot de passe solide avec QodeCat

Le Générateur de mots de passe crée les mots de passe dans votre navigateur grâce à l’API Web Crypto, la même source d’aléa que celle utilisée par les navigateurs pour le chiffrement. Rien n’est envoyé à un serveur.

1. Ouvrez le générateur. Un mot de passe est créé immédiatement, et une jauge en dessous l’évalue : Faible, Moyen, Bon ou Robuste.
2. Dans l’onglet Mot de passe aléatoire, réglez le curseur Longueur (de 6 à 64, 16 par défaut) et choisissez les Jeux de caractères : majuscules, minuscules, chiffres et symboles. Activez Facile à lire dans la partie Avancé pour exclure les caractères qui se ressemblent, comme 1, l, 0 et O.
3. Pour un mot de passe que vous taperez, passez à l’onglet Phrase de passe. Choisissez le Nombre de mots (de 3 à 10), un séparateur (tiret, tiret bas, point ou espace) et, si besoin, Majuscule à chaque mot ou Ajouter un chiffre pour les sites qui l’exigent.
4. Cliquez sur le bouton d’actualisation pour en générer un autre, puis sur Copier (ou sur le mot de passe lui-même) pour le copier.
5. Collez-le dans le formulaire d’inscription et enregistrez-le aussitôt dans votre gestionnaire de mots de passe.

La liste Historique récent garde vos derniers résultats tant que la page est ouverte, au cas où vous auriez copié le mauvais. Elle n’est enregistrée nulle part et disparaît quand vous fermez l’onglet.

La jauge de robustesse donne une indication rapide, basée sur la longueur et la variété des caractères. En règle générale, visez au moins 16 caractères aléatoires ou 5 à 6 mots aléatoires pour tout compte important.

Erreurs fréquentes

• Réutiliser un mot de passe. Quand un site se fait pirater, les attaquants essaient la même adresse e-mail et le même mot de passe partout ailleurs. Chaque compte a besoin du sien.
• Les substitutions prévisibles comme P@ssw0rd ou M0tdeP@sse. Elles figurent dans tous les dictionnaires de cassage.
• Utiliser des informations personnelles : prénoms, dates de naissance, animaux, club de foot ou ville.
• Ajouter 1 ou ! à la fin pour satisfaire une règle. C’est la première chose que tentent les attaquants.
• Choisir soi-même ses mots « au hasard ». On choisit des mots courants et liés entre eux. Laissez un générateur décider.
• Compter uniquement sur le mot de passe. Activez la double authentification pour votre messagerie, votre banque et vos réseaux sociaux.

Pour mieux comprendre les codes de double authentification, le Générateur de codes 2FA montre comment les applications d’authentification les produisent.

Questions fréquentes

Quelle longueur doit faire un mot de passe ?

Pour un mot de passe aléatoire stocké dans un gestionnaire, 16 caractères ou plus. Pour une phrase de passe que vous retenez, au moins 5 mots aléatoires. Si un site limite la longueur, utilisez le maximum autorisé.

Faut-il changer ses mots de passe régulièrement ?

Pas s’ils sont solides et uniques. Changez un mot de passe quand il y a une raison : une alerte de fuite de données, une connexion suspecte ou si vous l’avez communiqué à quelqu’un.

Est-il sûr de générer un mot de passe en ligne ?

Oui, quand le mot de passe est créé sur votre appareil et n’est jamais envoyé nulle part, ce qui est le cas de ce générateur. Évitez les outils qui créent les mots de passe sur un serveur.