Qu'est-ce qu'un mot de passe robuste ? Pourquoi la longueur compte plus que la complexité

« Au moins huit caractères, une majuscule, un chiffre et un symbole » : cette règle, vous l'avez croisée sur des dizaines de sites. Pourtant, elle produit des mots de passe comme Soleil2024!, faciles à deviner pour un programme et pénibles à retenir pour un humain. Cette leçon explique ce qui fait vraiment la solidité d'un mot de passe, et comment en choisir de bons sans y laisser votre mémoire.

Au chapitre précédent, vous avez dressé la carte de vos comptes et identifié votre messagerie principale comme pièce maîtresse. Nous allons maintenant renforcer la porte d'entrée de chacun d'eux. Nora, notre personnage fil rouge, découvre que ses habitudes de mots de passe ressemblent à celles de beaucoup de monde : quelques variantes d'un même mot, réutilisées partout.

Comment un mot de passe est attaqué

Pour choisir un bon mot de passe, il faut comprendre comment on cherche à le deviner. Il n'y a pas de magie : il existe deux grandes situations.

L'attaque « en ligne »

L'attaquant essaie des mots de passe directement sur la page de connexion d'un service. Les services sérieux limitent le nombre d'essais, ralentissent ou bloquent les tentatives répétées. Cette attaque est donc lente, et l'attaquant tente surtout les mots de passe les plus courants.

L'attaque « hors ligne »

Quand un service est piraté et que sa base de données fuite, les attaquants obtiennent souvent les mots de passe sous forme d'empreintes (un résultat mathématique du mot de passe, pas le mot de passe lui-même). Ils peuvent alors tester des milliards de combinaisons sur leurs propres machines, sans aucune limite d'essais. C'est ici que la solidité réelle du mot de passe se joue.

Dans les deux cas, l'attaquant ne commence pas par « aaaa », « aaab »… Il teste d'abord :

• les mots de passe les plus fréquents (listes issues de fuites passées) ;
• des mots de dictionnaire et leurs variantes prévisibles (majuscule au début, « 1 » ou « ! » à la fin, « a » remplacé par « @ ») ;
• des informations personnelles : prénoms, dates de naissance, noms d'animaux, équipes sportives ;
• des mots de passe déjà fuités sur d'autres services, parce que beaucoup de gens les réutilisent.

Voilà pourquoi Soleil2024! n'est pas solide : il respecte les règles de forme, mais suit exactement le modèle que les attaquants testent en premier.

Pourquoi la longueur prime sur la complexité

La robustesse d'un mot de passe se mesure à l'effort qu'il faudrait pour le deviner. Cet effort grandit très vite avec la longueur, car chaque caractère supplémentaire multiplie le nombre de possibilités. Ajouter un symbole à un mot court améliore un peu les choses ; ajouter des mots entiers les améliore énormément.

Prenons une analogie : un cadenas à code. Un cadenas à quatre chiffres offre dix mille combinaisons possibles. Un cadenas à huit chiffres en offre cent millions. Ajouter des lettres aux chiffres augmente aussi les possibilités, mais passer de quatre à huit positions apporte un gain bien plus grand. Pour les mots de passe, c'est pareil : chaque caractère de plus compte davantage que la présence d'un symbole exotique.

Il faut toutefois nuancer : la longueur n'aide que si le contenu est imprévisible. « motdepasse123456789 » est long, mais figure probablement dans toutes les listes. Une bonne longueur doit se combiner avec du hasard.

La phrase de passe

La méthode la plus accessible consiste à utiliser une phrase de passe : plusieurs mots sans lien entre eux, choisis au hasard, assemblés en une longue séquence. Par exemple, quatre à cinq mots courants tirés au hasard (avec des dés ou un tirage aléatoire, pas avec votre imagination) donnent quelque chose comme pomme-granit-velo-rideau-lampe. Ce mot de passe d'exemple est ici uniquement pédagogique : ne l'utilisez pas.

Pourquoi cela fonctionne :

• il est long, donc très coûteux à deviner ;
• il est mémorisable, grâce à une image mentale (une pomme posée sur un rideau, à côté d'un granit...) ;
• il est facile à saisir, y compris sur un téléphone.

Attention au mot « au hasard » : une citation célèbre, un titre de chanson ou une phrase qui a un sens pour vous sont à éviter, car ils sont prévisibles. Les mots doivent être sans rapport entre eux.

Ce que disent les recommandations officielles

Les recommandations actuelles des organismes de référence, comme l'ANSSI en France ou le NIST aux États-Unis, ont évolué ces dernières années. En résumé :

• privilégier la longueur plutôt que des règles de composition rigides ;
• utiliser un mot de passe différent pour chaque service ;
• ne pas imposer de changement périodique systématique sans raison, car cela pousse à choisir des mots de passe faibles et prévisibles (par exemple en ajoutant « 1 » puis « 2 »). On change un mot de passe quand on a un doute ou une fuite ;
• vérifier qu'un mot de passe ne figure pas dans les listes de mots de passe déjà compromis ;
• activer, quand c'est possible, une seconde vérification (leçon 3 de ce chapitre).

Vous pouvez consulter les guides de l'ANSSI sur le sujet depuis cyber.gouv.fr et les ressources pratiques de cybermalveillance.gouv.fr.

Les erreurs à éviter

Mauvaise habitude	Pourquoi c'est risqué	Meilleure pratique
Réutiliser le même mot de passe partout	Une seule fuite ouvre tous vos comptes (« bourrage d'identifiants »)	Un mot de passe unique par compte
Utiliser une variante (MonMotDePasse1, MonMotDePasse2)	Un attaquant devine facilement les autres variantes	Des mots de passe sans lien entre eux
Choisir une information personnelle	Elle se retrouve sur vos réseaux ou dans l'entourage	Une phrase de passe aléatoire
Noter ses mots de passe dans un fichier non protégé ou un message à soi-même	Toute personne qui accède à l'appareil ou au compte les lit	Un gestionnaire de mots de passe
Partager un mot de passe par message	Il reste dans l'historique de plusieurs appareils	Le partage sécurisé d'un gestionnaire, ou un accès personnel

Le « bourrage d'identifiants », en clair

Lorsqu'un service est piraté, les paires adresse de messagerie / mot de passe fuitent et circulent. Des programmes les testent ensuite automatiquement sur des centaines d'autres sites, en espérant que la personne ait réutilisé son mot de passe. C'est ce que l'on appelle le credential stuffing. Le mot de passe de votre petit forum de loisirs peut ainsi ouvrir votre messagerie… si vous l'avez réutilisé. C'est la raison numéro un de recommander « un mot de passe unique par compte ».

Vous pouvez savoir si votre adresse apparaît dans des fuites connues grâce à des services de vérification de fuites reconnus, ou en consultant les ressources de cybermalveillance.gouv.fr. Si c'est le cas, changez le mot de passe concerné et tous ceux qui lui ressemblent.

Carnet de sécurité : page 2, vos mots de passe

Dans votre carnet, ajoutez une page « Mots de passe » avec trois points :

1. Les trois comptes prioritaires dont vous allez renforcer le mot de passe en premier (messagerie principale, banque, compte de stockage de fichiers ou de photos) ;
2. Les mots de passe que vous savez réutilisés ou faibles (notez les comptes, pas les mots de passe eux-mêmes) ;
3. Le mot de passe maître que vous allez créer au chapitre suivant : choisissez dès maintenant votre phrase de passe de cinq mots aléatoires, et entraînez-vous à la saisir plusieurs jours de suite.

Ne notez jamais vos mots de passe en clair dans le carnet. Il décrit votre plan, il ne contient aucun secret.

À vous de jouer

Classez ces quatre mots de passe d'exemple du plus faible au plus solide, et justifiez : (A) Nora1985! ; (B) azerty123456 ; (C) cheval-brume-tapis-orage-citron ; (D) K7$mP2!x.

Voir une solution

Ordre du plus faible au plus solide : B, A, D, C. (B) est dans toutes les listes de mots de passe courants. (A) contient un prénom et une date, avec une structure prévisible. (D) est aléatoire mais court (huit caractères) et difficile à retenir : correct s'il est généré par un gestionnaire, insuffisant pour les comptes les plus sensibles. (C) est long, composé de mots aléatoires sans lien, mémorisable : c'est le plus solide, à condition d'avoir été tiré réellement au hasard et de ne servir qu'à un seul compte.

Mais retenir des dizaines de mots de passe longs et uniques est impossible. C'est le rôle de l'outil que nous allons voir dans la leçon suivante : le gestionnaire de mots de passe.