Un mot de passe protège un accès à condition de résister aux méthodes que les attaquants utilisent réellement : dictionnaires de mots de passe déjà exposés dans des fuites, force brute automatisée et hameçonnage. Créer des mots de passe forts repose sur des principes techniques précis, mis à jour par le NIST dans ses recommandations récentes, qui bouleversent plusieurs habitudes encore répandues.
Ce que le NIST a changé dans ses recommandations sur les mots de passe
Les directives du NIST constituent la référence en matière de politique de mots de passe. Leur dernière révision modifie trois points que la plupart des guides en ligne continuent de présenter comme des règles absolues.
Lire également : Comment chiffrer une piscine ?
Premier changement : la longueur prime désormais sur la complexité artificielle. Imposer un mélange obligatoire de majuscules, chiffres et caractères spéciaux pousse les utilisateurs vers des schémas prévisibles (un « ! » en fin de mot de passe, une majuscule en première position). Le NIST recommande d’autoriser des mots de passe allant jusqu’à 64 caractères et de privilégier la longueur brute.
Deuxième changement : la rotation périodique n’est plus recommandée. Forcer un changement tous les 30, 60 ou 90 jours incite à produire des variantes mineures du mot de passe précédent. Le mot de passe ne doit être changé que lorsqu’une compromission est suspectée ou avérée.
A lire en complément : Quelle est la raison du gainage des câbles ?
Troisième changement : les services doivent comparer chaque nouveau mot de passe à une liste de secrets déjà exposés dans des fuites. Si le mot de passe choisi figure dans cette liste, il est refusé, quelle que soit sa longueur ou sa complexité apparente.
Phrase de passe : pourquoi la longueur bat la complexité
Une phrase de passe est une suite de plusieurs mots ordinaires, idéalement sans lien logique entre eux. Quatre ou cinq mots aléatoires mis bout à bout produisent facilement un mot de passe de 20 à 30 caractères, bien plus résistant à la force brute qu’un code court truffé de symboles.
La raison est mathématique. Chaque caractère supplémentaire multiplie le nombre de combinaisons possibles. Un mot de passe de 8 caractères complexes se craque en quelques heures avec du matériel courant. Un mot de passe de 16 caractères, même composé uniquement de lettres minuscules, repousse le temps de calcul de plusieurs ordres de grandeur.
Construire une phrase de passe efficace
- Choisir au moins quatre mots sans rapport entre eux (par exemple : « girafe », « ciment », « orbite », « lacet »). L’absence de lien sémantique empêche les attaques par dictionnaire thématique.
- Éviter les citations, paroles de chansons ou proverbes connus, qui figurent dans les bases de données utilisées par les attaquants.
- Ajouter un séparateur inhabituel entre les mots (un chiffre, un tiret, un espace) pour augmenter l’espace de combinaisons sans sacrifier la mémorisation.
La phrase de passe résout le principal problème pratique : un secret long reste mémorisable parce que le cerveau retient mieux une suite de mots qu’une chaîne aléatoire de symboles.
Mots de passe compromis : le vrai risque que la complexité ne couvre pas
Un mot de passe peut respecter toutes les règles de longueur et de complexité et rester vulnérable s’il a déjà été exposé dans une fuite de données. Des milliards d’identifiants circulent dans des bases publiques ou revendues, et les attaquants les testent en priorité.
Le contrôle contre les mots de passe compromis doit intervenir à la création. Le NIST demande aux services en ligne de vérifier chaque nouveau mot de passe contre ces listes. Côté utilisateur, des outils gratuits permettent de vérifier si une adresse ou un mot de passe a été exposé.
Ce point explique pourquoi un mot de passe unique par compte reste une règle non négociable. Si un service subit une fuite, tous les comptes protégés par le même secret deviennent accessibles. La réutilisation transforme une brèche isolée en compromission généralisée.
Gestionnaire de mots de passe et authentification multifacteur
Retenir une phrase de passe différente pour chaque compte devient impraticable au-delà d’une dizaine de services. Un gestionnaire de mots de passe génère, stocke et remplit automatiquement des secrets longs et aléatoires pour chaque accès. L’utilisateur ne retient qu’un seul mot de passe maître, qui doit lui-même être une phrase de passe robuste.
Authentification multifacteur contre l’hameçonnage
Les recommandations récentes positionnent le mot de passe comme une protection minimale. Même un secret parfaitement construit peut être volé par hameçonnage si l’utilisateur le saisit sur un faux site.
L’authentification multifacteur ajoute une vérification indépendante du mot de passe : code temporaire, notification sur un appareil, ou clé physique. Parmi les options disponibles, les passkeys méritent une attention particulière.
- Les passkeys reposent sur une paire de clés cryptographiques liée à un site ou une application spécifique. La clé privée ne quitte jamais l’appareil de l’utilisateur.
- Ce mécanisme rend l’hameçonnage inefficace : même si l’utilisateur clique sur un lien frauduleux, la passkey ne fonctionne pas sur un domaine différent de celui pour lequel elle a été créée.
- Les passkeys éliminent aussi le problème de la réutilisation, puisque chaque accès dispose de sa propre paire de clés, générée automatiquement.
Stockage côté service : un angle rarement abordé
La sécurité d’un mot de passe ne dépend pas uniquement de l’utilisateur. Le service qui le stocke porte une responsabilité technique directe. Un mot de passe stocké en clair ou avec un algorithme de hachage obsolète peut être extrait en masse lors d’une intrusion.
Les bonnes pratiques de stockage imposent un hachage avec une fonction adaptée (lente par conception) et un sel unique par compte. Un mot de passe fort perd toute valeur si le service le stocke mal. Ce critère échappe au contrôle de l’utilisateur, mais il explique pourquoi l’unicité par compte et l’activation de l’authentification multifacteur restent les deux protections les plus fiables côté utilisateur.
Créer un mot de passe fort en 2026 ne se résume plus à cocher des cases de complexité. La longueur, la vérification contre les fuites connues et l’ajout d’un second facteur d’authentification forment un triptyque plus solide que n’importe quelle politique de rotation trimestrielle.
