Les bonnes pratiques pour un mot de passe solide qui protègent vraiment

Un mot de passe de 8 caractères se casse en quelques minutes. Pas en quelques heures. Quelques minutes, sur un simple GPU de gamer. Voilà la phrase que je répète à chaque fois qu'un proche m'appelle parce qu'il s'est fait pirater sa boîte mail. Et à chaque fois, la même réponse : « Mais j'avais mis des majuscules et un chiffre ! »

Oui. Et c'est justement le problème. La majuscule, le chiffre et le point d'exclamation collés à la fin, c'est exactement ce que tous les outils de cassage testent en premier. Ce n'est pas de la sécurité, c'est de la décoration. Dans cet article, je vous montre ce qui protège réellement un compte en 2026, avec les chiffres que les guides officiels oublient de traduire en temps de cassage.

Pourquoi vos majuscules ne servent à rien (et ce qui compte vraiment)

Il y a une intuition qu'on a tous : « plus c'est compliqué, plus c'est sûr ». Elle est fausse, ou plutôt elle est incomplète. Ce qui compte, ce n'est pas ce qui est difficile à retenir pour un humain. C'est ce qui est difficile à énumérer pour une machine.

Une machine ne devine pas. Elle énumère. Elle teste des milliards de combinaisons par seconde, en partant des schémas les plus probables : un mot du dictionnaire, une majuscule au début, un chiffre à la fin, un point d'exclamation optionnel. Ce sont exactement les règles qu'on nous a enseignées pendant vingt ans. Autrement dit, on a appris à tous créer des mots de passe selon le modèle que les attaquants connaissent le mieux.

Le chiffre qui change tout

Prenons deux exemples concrets, sur une machine grand public capable de tester environ 10 milliards de combinaisons par seconde (c'est le niveau d'un GPU de milieu de gamme en 2026) :

Mot de passe	Longueur	Temps de cassage estimé
P@ssw0rd1	9 caractères	Quelques secondes à quelques minutes
X7#kL9 !q	8 caractères aléatoires	Quelques heures
cheval-orage-9-lune	21 caractères (phrase de passe)	Des millions d'années

Vous voyez le paradoxe ? Le mot de passe le plus lisible est de loin le plus solide. C'est contre-intuitif, et c'est précisément pour ça que le message a du mal à passer.

L'erreur que je vois le plus souvent

Franchement, l'erreur n'est pas le manque de complexité. C'est la réutilisation. Je le dis sans détour : un mot de passe unique mais moyen vous expose moins qu'un mot de passe excellent recyclé partout.

Pourquoi ? Parce qu'un site marchand se fait pirater, sa base de données fuite, et votre couple identifiant/mot de passe se retrouve sur un forum. Dans l'heure qui suit, des scripts automatisés testent ce même couple sur Gmail, sur votre banque, sur vos réseaux sociaux. On appelle ça le credential stuffing. C'est mécanique, c'est gratuit pour l'attaquant, et ça marche.

Le problème ? Votre sécurité ne dépend plus de votre mot de passe. Elle dépend du site le plus mal protégé sur lequel vous l'avez posé. Et vous n'avez aucun moyen de connaître la qualité de ce site.

Comment créer une phrase de passe qu'on retient vraiment

On m'a souvent répondu : « Une phrase de passe de 20 caractères ? Jamais je ne la retiens. » Sauf que si. À condition de la construire dans le bon sens.

La méthode que j'utilise et que je conseille : ne partez jamais d'un mot de passe. Partez d'une image mentale absurde. Le cerveau retient une scène, pas une suite de caractères.

1. Choisissez une scène visuelle précise : un lieu, un objet, une action.
2. Ajoutez un détail incongru, ce qui la rend mémorable.
3. Collez un chiffre qui a un sens pour vous sans être une date de naissance.
4. Si le site l'exige, ajoutez un caractère spécial unique par site, toujours au même endroit.

Exemple : « chat-bleu-mange-3-crepes-tiede ». 30 caractères. Aucun rapport avec vous sur le papier, facile à visualiser, impossible à énumérer par force brute.

Exemple de mot de passe sécurisé : ce qu'il faut regarder, pas copier

Attention à un piège : dès qu'un exemple de mot de passe circulaire en ligne, il perd sa valeur. Les listes qu'on trouve sur le web finissent dans les dictionnaires d'attaque. Un exemple n'est là que pour illustrer une méthode, jamais pour être utilisé tel quel.

Donc regardez la structure, pas le contenu :

• Longueur minimale de 16 caractères, idéalement 20+.
• Aucun mot du dictionnaire seul. Mais plusieurs mots non liés entre eux, c'est parfaitement acceptable.
• Pas de substitution prévisible (a → @, o → 0, e → 3). Les machines testent ces variantes en priorité.
• Un suffixe unique par site : « ...-pour-ma-banque », « ...-pour-le-mail ».

Mot de passe avec 12 caractères : est-ce encore suffisant en 2026 ?

Oui, si — et seulement si — il est réellement aléatoire. Un mot de passe aléatoire de 12 caractères (majuscules, minuscules, chiffres, symboles) reste hors de portée d'une attaque par force brute classique aujourd'hui. Le problème n'est jamais les 12 caractères en eux-mêmes, c'est ce qu'on met dedans : « Soleil2026 ! » fait 12 caractères et se casse en quelques secondes.

Ma règle personnelle : 12 caractères pour des comptes secondaires jetables, 20 minimum pour la messagerie et la banque. La boîte mail est la clé de presque tout le reste, elle mérite le traitement le plus strict.

Le gestionnaire de mots de passe, ou comment arrêter de tricher

Avouons-le : personne ne mémorise 80 mots de passe différents de 20 caractères. C'est humainement impossible, et prétendre le contraire est le meilleur moyen de finir avec le même mot de passe partout.

Donc on externalise la mémoire. Un gestionnaire de mots de passe fait exactement ça : il génère des chaînes aléatoires, il les stocke chiffrées, il les remplit automatiquement. Vous n'en retenez qu'une : la phrase de passe principale, celle qui ouvre le coffre.

Ce que ça change concrètement

Quand j'ai basculé l'ensemble de mes comptes dans un gestionnaire, trois choses ont disparu du jour au lendemain :

• les clics sur « mot de passe oublié », qui étaient devenus ma principale méthode de connexion ;
• la tentation de réutiliser un ancien mot de passe par simple flemme ;
• les notes volantes dans un carnet ou un fichier texte.

Le point de vigilance reste le même : le gestionnaire crée un point unique de défaillance. Votre phrase de passe principale doit donc être la plus solide de toutes, et la double authentification sur ce compte n'est pas optionnelle.

La double authentification : le verrou que la plupart des gens ignorent

Voici un fait souvent mal compris : même avec votre mot de passe en main, un attaquant se heurte à un mur s'il n'a pas le second facteur. Cette barrière bloque la grande majorité des tentatives d'accès frauduleux, parce qu'elle exige quelque chose que vous seul possédez au moment de la connexion.

Mais tous les seconds facteurs ne se valent pas :

Méthode	Niveau de protection	Point faible
SMS	Correct	Interceptable via le transfert de carte SIM
Application d'authentification (TOTP)	Bon	Dépend de la sécurité du téléphone
Clé physique (FIDO2)	Excellent	Coût matériel, à avoir sur soi

Si vous ne devez activer la double authentification que sur un seul compte, choisissez votre messagerie principale. C'est la porte d'entrée de vos réinitialisations de mot de passe partout ailleurs.

Que faire après une fuite de données ?

Une fuite n'est pas une fatalité, c'est un incident à traiter. La procédure, dans l'ordre :

1. Changez immédiatement le mot de passe du service concerné, puis celui de tout compte où vous auriez réutilisé le même.
2. Vérifiez les sessions actives et déconnectez tout appareil que vous ne reconnaissez pas.
3. Activez ou reconfigurez la double authentification.
4. Surveillez les tentatives de connexion pendant les semaines qui suivent : les attaquants reviennent souvent.

Et surtout, ne changez pas tous vos mots de passe par réflexe. On en revient à un point que j'ai mis longtemps à comprendre.

Faut-il changer son mot de passe tous les 3 mois ?

Non. Cette recommandation a vécu, et elle est aujourd'hui considérée comme contre-productive. L'ANSSI et le NIST la déconseillent : quand on force un changement périodique, les gens se contentent d'incrémenter (« été2026 » devient « automne2026 »), et la sécurité ne progresse pas d'un millimètre.

La nouvelle logique est simple : on change un mot de passe quand il y a une raison de le changer. Une fuite avérée. Une suspicion de compromission. Un départ d'un service. Pas parce que le calendrier l'exige.

Un mot de passe long, unique et protégé par double authentification n'a pas besoin d'être renouvelé tous les trimestres. Il a besoin d'être surveillé. La différence est énorme, et elle va à l'encontre de ce qu'on nous a seriné pendant des années.

Les erreurs qui annulent tout le reste

Vous pouvez appliquer tout ce qui précède et tout perdre à cause d'un seul faux pas. J'en ai fait plusieurs, dont un que je raconte rarement.

Il y a quelques années, j'avais stocké l'ensemble de mes mots de passe dans un fichier texte synchronisé sur mon cloud. Le fichier s'appelait « mdp.txt ». Il était dans un dossier partagé par erreur. Rien ne s'est passé, mais pendant des mois, n'importe qui avec le lien aurait pu lire l'intégralité de ma vie numérique en clair. C'est le genre de négligence qui ne se voit qu'après coup.

Les pièges les plus fréquents :

• Le fichier texte, dans le cloud ou sur le bureau, à peine déguisé.
• Le post-it collé sous le clavier ou sur l'écran. Physique, mais visible de toute personne qui passe.
• Le partage par messagerie : envoyer un mot de passe par SMS ou par mail revient à le publier.
• Le mot de passe unique « passe-partout » qu'on réutilise parce qu'il est « solide ».
• Les réponses aux questions de sécurité qu'on remplit honnêtement — et qui finissent dans la même fuite.

Dernier point qui m'agace : la fameuse liste des « mots de passe les plus utilisés ». On la lit en souriant, comme une curiosité. Mais elle n'a aucun intérêt à être consultée — elle a un intérêt à être évitée. Chaque mot de passe de ce type est testé en premier par absolument tous les outils d'attaque.

La vrai question n'est pas « quel est le mot de passe le plus fort ? ». Elle est : « si ce service fuite demain, combien de mes autres comptes tombent avec lui ? ». Tant que la réponse est « aucun », vous êtes sur la bonne voie. Tant qu'elle est « tous », aucun nombre de caractères spéciaux ne vous sauvera.