Comment créer un mot de passe solide ?

Le message arrive toujours au mauvais moment : « votre mot de passe a été exposé », ou bien votre banque refuse celui que vous employez depuis des années. Comment créer un mot de passe solide, alors ? La réponse tient à beaucoup moins de choses que la salade de symboles imaginée par la plupart des gens : une seule habitude suffit à tout changer.

Vous trouverez plus bas ce qui rend réellement un mot de passe difficile à deviner, une méthode pour en construire un long que vous retiendrez sans effort, et une courte liste de questions pour juger celui dont vous vous servez déjà. Rien de tout cela ne demande plus qu'un après-midi.

La solidité, c'est le nombre d'essais à éliminer

Un programme qui cherche à entrer dans votre compte ne tape pas au clavier comme un être humain. Il part de listes déjà volées et de schémas prévisibles, puis enchaîne des millions de tentatives par seconde. La solidité ne tient donc pas à l'air compliqué du mot de passe : elle tient à la taille de la file d'essais à parcourir. Autrement dit, la seule question qui compte est celle-ci : combien de candidats faut-il éliminer avant de tomber sur le vôtre ?

Deux facteurs allongent cette file : le nombre de caractères possibles à chaque position, et le nombre de positions. Le second coûte bien moins cher. Sur un mot de passe de huit signes, passer des minuscules seules aux lettres, chiffres et symboles multiplie le total par environ trente mille. Ajouter trois minuscules à ce même mot de passe le multiplie par dix-sept mille ; dès la quatrième lettre ajoutée, vous dépassez l'apport des symboles, et sans avoir rien mémorisé de pénible.

Les spécialistes abrègent ces totaux en « bits », parce que les chiffres deviennent vite illisibles. Chaque bit double le nombre d'essais : dix bits d'écart, c'est une recherche mille fois plus longue ; vingt bits, un million de fois. Le Générateur de mot de passe affiche cette valeur pour chaque proposition, et faire glisser son curseur de longueur pendant quelques secondes suffit à voir où se situe chaque taille.

La suite de mots : long et pourtant mémorisable

Le seul vrai défaut d'un mot de passe long est qu'on l'oublie. Le remède consiste à enchaîner des mots tirés au hasard plutôt que des caractères : cinq mots vous amènent près de trente signes, lisibles d'un coup d'œil et stockés dans votre tête comme une petite scène plutôt que comme un code. « melon-rideau-ancre-lanterne-fourneau » en donne la forme, et cela se tape bien plus facilement sur un clavier de téléphone qu'une rangée de ponctuation.

Toute la méthode repose sur le caractère vraiment fortuit des mots. Les cinq premiers mots qui vous viennent à l'esprit ne sont pas fortuits : chacun puise dans des idées voisines, et les logiciels d'attaque connaissent ces raccourcis. Si vous vous demandez où aller chercher des mots sans lien entre eux, la source est déjà dans la pièce : ouvrez au hasard n'importe quel livre de votre étagère, cinq fois de suite ; à chaque ouverture, prenez le premier nom concret en haut de la page de gauche, puis refermez. Cinq ouvertures, un mot de passe.

Gardez cette méthode pour la poignée de mots de passe que vous devez retenir par cœur : la session de l'ordinateur, le déverrouillage du téléphone, la boîte e-mail, et le mot de passe principal d'un gestionnaire si vous en utilisez un. Fabriquer des chaînes de mots pour des dizaines de comptes devient vite une corvée ; ces comptes-là se remplissent mieux avec des mots de passe tirés au sort puis enregistrés.

• Les mots doivent être tirés au sort : « ça m'est venu comme ça » n'est pas du hasard
• Ne formez pas une phrase ; un ordre de mots familier figure en tête des listes d'attaque
• Séparez par des tirets ou des points : plus lisible, et cela rallonge
• Visez cinq mots, ne descendez jamais sous quatre
• Laissez dehors prénoms, années de naissance, équipes favorites et villes d'origine

Le même mot de passe partout : l'habitude la plus coûteuse

La façon la plus répandue de perdre un compte n'est pas qu'on ait cassé votre mot de passe, c'est qu'il ait fuité ailleurs. Une petite boutique en ligne ou un forum que vous aviez oublié subit une fuite ; votre adresse e-mail et votre mot de passe atterrissent sur une liste ; ce couple est ensuite essayé méthodiquement chez les banques, les réseaux sociaux et les fournisseurs de messagerie. Dans ce scénario, la solidité du mot de passe ne change strictement rien : personne ne devine, on se contente d'essayer ce qu'on a déjà.

L'unique antidote est de donner un mot de passe différent à chaque compte. Inutile de tout refaire aujourd'hui : traitez-les par ordre d'importance. Votre boîte e-mail vient toujours en premier, car c'est là qu'arrivent les liens « mot de passe oublié » de tous les autres comptes ; qui prend votre messagerie ouvre ensuite le reste à la chaîne. Viennent ensuite l'argent et l'administration : banque, applications de paiement, portail des impôts, prise de rendez-vous en préfecture ou au consulat, suivi d'un dossier de visa.

La seconde précaution consiste à activer, partout où c'est proposé, la validation en deux étapes. Même si votre mot de passe fuite, personne n'entre sans le code reçu sur votre téléphone ou produit par une application. Où trouver le réglage ? Ouvrez le menu de votre compte sur le site concerné, puis cherchez la rubrique « Sécurité » ou « Connexion et sécurité » ; l'option y porte le plus souvent le nom de vérification en deux étapes.

• 1er rang : votre boîte e-mail — toutes les récupérations passent par elle
• 2e rang : banque, paiement, portefeuille mobile
• 3e rang : impôts, démarches en ligne, consulat, dossiers scolaires
• 4e rang : réseaux sociaux et sites d'achat
• Dernier rang : les inscriptions faites une fois puis oubliées

Mon mot de passe est-il bon ? Six questions

Vous pouvez juger votre mot de passe sans le taper nulle part. Une seule réponse « oui » aux six questions ci-dessous suffit à décider qu'il mérite d'être remplacé. Méfiez-vous des pages qui proposent d'évaluer votre mot de passe : rien ne vous oblige à confier votre secret à un inconnu pour savoir s'il est court ou prévisible.

• Fait-il moins de 12 signes ? Un mot de passe court reste faible face au matériel actuel, aussi tarabiscoté soit-il
• Contient-il votre prénom, votre année de naissance, le nom d'un enfant ou d'un animal ?
• Est-il fait d'un mot du dictionnaire avec un chiffre devant et un point d'exclamation derrière ?
• Suit-il des touches voisines sur le clavier ?
• Sert-il aussi sur un autre site ?
• Traîne-t-il quelque part en clair : dans un e-mail, dans les notes du téléphone, dans un fichier posé sur le bureau ?

Où conserver tous ces mots de passe ?

Retenir des dizaines de mots de passe solides est hors de portée, et ce n'est pas le but. Trois solutions raisonnables existent. La première est le gestionnaire de mots de passe : il garde tout dans un coffre chiffré et vous ne retenez que le mot de passe principal — c'est exactement l'usage de la méthode des mots tirés au sort. La deuxième est le coffre intégré à votre navigateur, moins souple mais infiniment préférable à l'inaction. La troisième est un carnet papier gardé chez vous : démodé, certes, mais c'est le seul support qu'aucun réseau ne peut atteindre.

La liste des mauvaises habitudes est courte : s'envoyer ses mots de passe par e-mail, se les expédier dans une messagerie instantanée, ou tenir la liste dans un simple fichier texte. Si vous tenez malgré tout à un fichier, servez-vous de la protection par mot de passe offerte par votre logiciel de traitement de texte ou de tableur au moment de l'enregistrement : le document ne s'ouvre alors qu'avec ce mot de passe, et il ne vous reste plus qu'une chose à retenir. Gardez-en une copie ailleurs que sur l'appareil, car un fichier protégé perdu est perdu pour de bon.

Quand faut-il changer un mot de passe ?

« Changez votre mot de passe tous les trois mois » a longtemps été la règle d'or des politiques d'entreprise ; la plupart des guides de sécurité s'en éloignent aujourd'hui. La raison vient de l'observation : contraintes de changer sans arrêt, les personnes ne fabriquent pas un mot de passe solide, elles augmentent d'un le chiffre final, et la suite obtenue devient plus prévisible que la précédente. Remplacer sans motif un mot de passe long et unique ne le renforce en rien.

Les situations qui commandent un changement sont nettes, et toutes demandent d'agir sans attendre : un service vous signale une fuite, vous découvrez que le même mot de passe sert ailleurs, vous l'avez communiqué à quelqu'un, vous vous êtes connecté depuis un ordinateur partagé ou un cybercafé, ou une activité inconnue apparaît sur le compte. Dans ce dernier cas, changer le mot de passe ne suffit pas : cherchez sur le même écran la liste des appareils connectés et fermez toutes les autres sessions, faute de quoi l'intrus poursuivra tranquillement depuis la sienne.

Questions fréquentes

Combien de caractères doit faire un mot de passe ?

Pour ceux que vous retenez par cœur, seize signes constituent une bonne cible et il ne faut pas descendre sous douze. Pour ceux que vous enregistrez et ne retaperez jamais, allonger ne vous coûte rien : vingt signes et davantage passent sans aucune gêne.

Pouvez-vous donner des exemples de mots de passe solides ?

N'utilisez jamais tel quel un exemple publié : un mot de passe écrit quelque part n'est plus un secret. Les exemples ne servent qu'à montrer la forme, cinq mots fortuits reliés par des tirets, ou une suite tirée au sort de seize à vingt signes. Le plus rapide reste de produire une série avec le Générateur de mot de passe et d'enregistrer celle qui vous convient.

Faut-il changer de mot de passe tous les trois mois ?

Non, ce n'est pas nécessaire. Remplacer sans raison un mot de passe long, réservé à un seul compte, n'améliore pas la sécurité et pousse vers des variantes faciles où seul le dernier chiffre bouge. Les vrais motifs de changement sont une fuite signalée, un mot de passe partagé, ou une activité inconnue sur le compte.

Un gestionnaire de mots de passe, n'est-ce pas risqué ?

Tout réunir au même endroit inquiète au premier abord, mais l'alternative consiste presque toujours à répéter le même mot de passe partout, et ce risque-là est certain. Si vous en adoptez un, bâtissez son mot de passe principal avec la méthode des mots tirés au sort, activez la validation en deux étapes lorsqu'elle existe, et pensez à sauvegarder le coffre.

Comment savoir si mon mot de passe a fuité ?

La plupart des navigateurs récents et des gestionnaires comparent vos mots de passe enregistrés aux listes de fuites connues et affichent une alerte en cas de correspondance ; ce contrôle se trouve dans les réglages consacrés aux mots de passe de votre navigateur. Si une alerte apparaît, changez d'abord le compte concerné, puis tous ceux où le même mot de passe servait.

Dernière mise à jour : 27 août 2026