Il y a quelques mois, un client m'appelle, paniqué. Sa boîte mail pro avait été piratée, et le pirate avait envoyé une demande de virement urgent à son comptable. En regardant de plus près, on a compris en trois minutes : son mot de passe, c'était Bureau2025!. Le même depuis quatre ans, utilisé aussi sur son compte bancaire et sur un vieux forum de moto.
Ce jour-là, je me suis dit qu'il fallait que j'écrive noir sur blanc ce que je répète à tous mes clients. Créer un mot de passe fort et sécurisé ne consiste pas à empiler des symboles au hasard — c'est une méthode, avec des règles simples, et surtout une hiérarchie : tous vos comptes ne méritent pas le même effort. Voici comment je procède, ce qui marche, et les erreurs que j'ai moi-même commises pendant des années.
Points clés à retenir
- La longueur bat la complexité : 16 caractères aléatoires résistent infiniment mieux qu'un P@ssword1! de 10.
- Un mot de passe fort ne sert à rien s'il est réutilisé ailleurs : c'est la réutilisation qui transforme une petite fuite en catastrophe.
- Le 2FA rattrape la plupart des erreurs de mot de passe — activez-le partout où c'est possible.
- Un gestionnaire de mots de passe n'est pas un luxe : c'est le seul moyen réaliste de tenir 40 comptes distincts.
- Vérifiez régulièrement si vos identifiants apparaissent dans une fuite, et réagissez compte par compte.
- Une phrase de passe longue mais retenable peut être plus sûre qu'un charabia de 8 caractères.
Pourquoi votre mot de passe actuel est déjà cassé (même si vous le trouvez solide)
Le problème, c'est que « solide » ne veut rien dire dans l'absolu. Un mot de passe est solide face à une attaque précise. Et les attaques ont changé.
Il y a quinze ans, un pirate essayait des millions de combinaisons une par une sur le site lui-même, ralenti par le serveur. Aujourd'hui, quand une base de données fuite, le pirate télécharge le fichier, le pose sur sa propre machine, et lance un logiciel qui teste des milliards de combinaisons par seconde sur son propre matériel. Plus rien ne le ralentit. Sauf une chose : la longueur de votre mot de passe et la façon dont il a été stocké côté serveur.
Le calcul que personne ne fait
Un mot de passe de 8 caractères en minuscules, c'est environ 200 milliards de possibilités. Ça paraît énorme. Sur une machine correcte, c'est l'affaire de quelques heures. Un mot de passe de 12 caractères mélangés : on passe à des siècles. De 16 : l'âge de l'univers, pour peu que le hachage soit correct.
C'est ce qui explique pourquoi les 12 caractères sont devenus le plancher raisonnable, et pourquoi je pousse mes clients vers 16 dès qu'ils le peuvent. Une longueur supplémentaire ne coûte rien à retenir si on utilise la bonne méthode — j'y reviens juste après.
Les trois attaques qui visent réellement votre mot de passe
Personne ne « devine » votre mot de passe. Ce qui se passe dans la vraie vie, c'est ça :
- La fuite de base de données — un site que vous utilisez se fait percer, vos identifiants partent en ligne. Vous n'y pouvez rien, sauf limiter les dégâts en n'ayant pas le même mot de passe ailleurs.
- Le credential stuffing — automatisation qui prend les identifiants d'une fuite et les teste sur des centaines d'autres sites. C'est la première cause de piratage de comptes que je vois chez mes clients.
- Le phishing, qui ne casse rien du tout : il vous demande gentiment de taper votre mot de passe vous-même sur une fausse page. Aucun mot de passe, aussi long soit-il, ne protège contre ça.
Vous voyez le point commun ? Les deux premières attaques exploitent la réutilisation, pas la faiblesse. Un mot de passe de 30 caractères utilisé sur dix sites reste vulnérable sur neuf d'entre eux.
Comment créer un mot de passe fort et sécurisé, concrètement
Voici la méthode que j'applique. Elle tient en deux familles, selon votre tolérance au copier-coller.
Méthode A — la phrase de passe
Vous prenez une phrase absurde, facile à retenir pour vous et pour personne d'autre, et vous la transformez en y glissant quelques caractères non alphabétiques.
Exemple : « le chat de ma voisine conduit un tracteur rouge » devient Lch@t2maV0isine!conduit1tracteurRouge. Longueur : 38 caractères. Vous la retenez en une lecture. Un ordinateur, lui, ne la cassera pas par force brute avant très longtemps, parce que la longueur et les variations font exploser le nombre de combinaisons.
Une règle simple : une phrase différente par site. Vous pouvez même l'ancrer sur le site — « le chat de ma voisine conduit un tracteur sur Amazon » — pour ne jamais confondre.
Méthode B — le générateur aléatoire
C'est ce que j'utilise pour tout ce qui est critique : banque, messagerie principale, gestionnaire de mots de passe. Vous ouvrez un générateur, vous réglez la longueur à 20, vous cochez majuscules, minuscules, chiffres et symboles, vous copiez. Vous ne le retiendrez jamais — et c'est parfaitement normal, puisque c'est le gestionnaire qui le stocke.
Spoiler : les mots de passe parfaits qu'on ne peut pas retenir sont ceux qui protègent le mieux, à condition d'être stockés correctement. Retenir par cœur est un objectif de débutant. Le vrai objectif, c'est de n'avoir qu'un seul mot de passe à retenir : celui de votre coffre.
Comparaison des deux approches
| Critère | Phrase de passe | Mot de passe aléatoire |
|---|---|---|
| Longueur typique | 25 à 40 caractères | 16 à 24 caractères |
| Mémorisable sans outil | Oui | Non |
| Résistance à la force brute | Très élevée | Très élevée |
| Idéal pour | Compte principal, coffre-fort | Tous les autres comptes |
| Risque principal | Phrase devinable (culture personnelle) | Aucun, si stocké proprement |
Mon conseil, après avoir testé les deux sur des dizaines de comptes : combinez. Une phrase de passe longue pour votre gestionnaire, de l'aléatoire pour tout le reste. C'est le meilleur rapport sécurité/effort que je connaisse.
Comment créer un mot de passe avec 12 caractères ?
Douze caractères, c'est le minimum que je recommande, et c'est atteignable en quelques secondes. La méthode la plus fiable : prenez trois mots sans lien entre eux, ajoutez un chiffre et un symbole, et vous êtes à 12 ou 13 caractères.
Exemple concret : girafe7pluie!velo. Treize caractères, trois types de caractères, aucun mot du dictionnaire ne suffit à le casser par attaque par dictionnaire, et vous le retenez en trois secondes. C'est un exemple de mot de passe à 12 caractères que je donne souvent à mes clients pour leur montrer qu'aucun sacrifice de mémoire n'est nécessaire.
Attention tout de même : 12 caractères reste un plancher pour les comptes secondaires. Pour votre messagerie principale ou votre banque, visez 16. Douze, c'est bien. Seize, c'est mieux, et ça ne coûte rien de plus avec un gestionnaire.
Ce que les listes de « mots de passe forts » oublient de vous dire
Vous trouverez partout des listes de mots de passe dits « forts » à recopier. Je vous le dis franchement : ne les utilisez jamais. Une liste publique est, par définition, connue de tout le monde, y compris des pirates qui la testent en premier. Un mot de passe qui figure sur une liste n'est pas fort — il est documenté.
Il y a pourtant une utilité à ces listes : elles montrent ce qu'il ne faut pas faire. Regardez-les comme un catalogue d'exemples à bannir, pas comme une réserve dans laquelle piocher.
L'authentification à deux facteurs : le vrai multiplicateur
Si je ne devais garder qu'une seule recommandation de tout cet article, ce serait celle-ci. Le 2FA (ou MFA) ajoute un deuxième facteur — un code temporaire, une clé physique, une notification — en plus de votre mot de passe. Même si votre mot de passe fuite, l'attaquant n'a pas le deuxième facteur.
J'ai vu un client passer de « piraté une fois par an » à « jamais piraté » simplement en activant le 2FA sur ses trois comptes critiques. Le mot de passe n'avait pas changé. C'est dire à quel point un compte réellement sécurisé, ce n'est pas un mot de passe fort — c'est un mot de passe fort plus un deuxième facteur.
Que faire si votre mot de passe apparaît dans une fuite
Ça arrivera. Pas « peut-être » : ça arrivera, parce que la fuite vient du site, pas de vous. La bonne réaction se joue en trois temps.
- Vérifiez d'abord si l'adresse concernée figure dans une fuite connue. Le service Have I Been Pwned est l'outil de référence pour ça — il croise votre adresse avec les fuites publiques.
- Changez le mot de passe du site concerné, puis celui de tous les comptes où vous aviez réutilisé le même. C'est là que la discipline paie : si vous n'avez jamais réutilisé, vous n'avez qu'un seul changement à faire.
- Priorisez : commencez par votre messagerie principale. C'est la clé de tout le reste, puisqu'elle sert à réinitialiser les autres comptes.
Et si le site touché stockait les mots de passe en clair — ça arrive encore plus souvent qu'on ne le croit — considérez que le mot de passe est public, point final.
Le rôle du gestionnaire de mots de passe
Franchement, sans gestionnaire, la méthode tient deux semaines. Vous aurez 40 comptes, 40 mots de passe uniques impossibles à retenir, et vous finirez par revenir à votre vieux Bureau2025! par pure flemme.
Le gestionnaire résout exactement ce problème : il stocke tout dans un coffre chiffré, protégé par un seul mot de passe maître — celui-là, vous le retenez précieusement, et vous le rendez long (une phrase de passe, minimum 20 caractères). Il remplit automatiquement les formulaires, ce qui coupe au passage une bonne partie du risque de phishing.
Le choix de l'outil importe peu, tant qu'il est chiffré de bout en bout et réputé. Ce qui compte, c'est de vous y tenir : un gestionnaire utilisé à moitié ne protège qu'à moitié.
Les erreurs que je vois le plus souvent
Après plusieurs années à auditer les pratiques de mes clients, un constat revient : la plupart des gens croient faire ce qu'il faut et font l'inverse. Mes trois erreurs les plus fréquentes :
- Ajouter un « ! » à la fin d'un mot de passe et se croire protégé. Les logiciels de cassage testent cette variante en priorité.
- Réutiliser partout parce que « de toute façon, personne ne s'intéresse à mon compte ». C'est faux, c'est automatisé, et vous n'êtes pas une cible — vous êtes un numéro dans un fichier.
- Changer tous les mots de passe tous les trois mois, par réflexe hérité d'anciennes consignes. Aujourd'hui, cette pratique pousse surtout les gens à choisir des mots de passe simples et à les faire varier à la marge. Mieux vaut un mot de passe long et unique, gardé longtemps.
Ce qu'il faut retenir
La sécurité d'un compte ne se joue pas sur un caractère bizarre ajouté à la fin d'un mot familier. Elle se joue sur trois choix, faits une fois pour toutes : de la longueur, de l'unicité, et un deuxième facteur. Le reste, ce sont des détails.
Alors voilà la question que je vous laisse : quand avez-vous vraiment vérifié, la dernière fois, ce que contient votre coffre ? Parce que dans mon expérience, la faille n'est presque jamais le mot de passe qu'on croit faible. C'est celui qu'on a oublié de changer quelque part, sur un site dont on ne se souvenait même plus qu'il existait.
