Le mot de passe que vous utilisez pour votre messagerie est probablement le même que celui de votre compte bancaire, ou à peu de chose près. Vous le savez. Tout le monde le sait. Et pourtant, on continue. Moi le premier, pendant des années, j'avais trois mots de passe en rotation pour une bonne trentaine de comptes. Jusqu'au jour où une alerte de connexion m'a fait comprendre que l'un d'eux traînait dans une fuite publique depuis des mois.
Créer des mots de passe solides et uniques, ce n'est pas une question de mémoire exceptionnelle. C'est une question de méthode. Et la méthode change complètement selon ce que vous êtes prêt à accepter : retenir de tête, ou déléguer à un outil.
Points clés à retenir
- Un mot de passe solide commence à 12 caractères, mais la longueur ne sert à rien si le mot de passe est réutilisé ailleurs.
- L'unicité par compte compte plus que la complexité brute.
- Un gestionnaire de mots de passe résout 90 % du problème, à condition d'accepter de ne plus rien retenir.
- Les phrases de passe restent la meilleure option pour les rares identifiants que vous devez mémoriser.
- Vérifier si un mot de passe a fuité prend trente secondes, et presque personne ne le fait.
Un mot de passe solide, c'est d'abord une question de longueur
On m'a longtemps répété qu'il fallait « un mot de passe complexe ». Majuscule, minuscule, chiffre, caractère spécial. Le fameux cocktail. Sauf que cette histoire de complexité est en partie un mythe hérité d'une époque où les attaques se faisaient à la main.
Aujourd'hui, une machine teste des milliards de combinaisons par seconde. Elle ne devine pas intelligemment : elle essaie tout, très vite. Et devinez quoi ? La longueur résiste bien mieux que la complexité. Un mot de passe de 16 caractères en minuscules uniquement est plus difficile à casser qu'un « P@ssw0rd! » de 8 caractères.
Comment créer un mot de passe avec 12 caractères ?
Douze caractères, c'est le plancher que recommande la CNIL, et c'est un bon point de départ si vous tenez à retenir vos identifiants de tête. Concrètement, deux approches fonctionnent :
- La génération aléatoire : vous laissez un outil produire une suite du type k7#Lm2vQx9@Rt. Imbattable en robustesse, impossible à mémoriser sans support.
- La phrase de passe raccourcie : vous prenez quatre mots sans lien entre eux et vous les collez. cheval-tempete-27-guitare fait 26 caractères et se retient en dix secondes.
Un exemple de mot de passe sécurisé à 12 caractères ? Vr7$kLp2mQz! — oui, c'est solide. Non, vous ne le retiendrez pas. C'est exactement le problème que règlent les gestionnaires.
L'unicité : le critère que tout le monde néglige
Voilà le point qui fâche. Vous pouvez avoir le mot de passe le plus long du monde, si vous l'utilisez sur douze sites et que l'un d'eux se fait pirater, les onze autres tombent avec lui. C'est ce qu'on appelle le credential stuffing : les attaquants récupèrent un couple identifiant/mot de passe fuité et le testent partout ailleurs, automatiquement.
Je l'ai vécu de près. Un forum de niche sur lequel je m'étais inscrit vers 2014 s'est fait vider sa base. J'utilisais le même mot de passe sur mon compte de messagerie secondaire. Résultat : trois jours de nettoyage, une bonne centaine d'e-mails indésirables envoyés depuis mon adresse, et une leçon retenue.
Comment savoir si un mot de passe a déjà fuité ?
Il existe une méthode simple et gratuite : le service Have I Been Pwned de Troy Hunt. Vous tapez votre adresse e-mail, il vous dit dans quelles fuites connues elle apparaît. Pour tester un mot de passe précis, le site utilise un principe de k-anonymat : il ne reçoit que les cinq premiers caractères d'une empreinte cryptographique, jamais votre mot de passe en clair. Techniquement propre.
Franchement, trente secondes pour vérifier valent mieux que six mois de doute. C'est le genre de réflexe que presque personne n'a.
Le générateur de mot de passe : utile, mais mal utilisé
Les générateurs sont partout : dans votre navigateur, dans les gestionnaires, dans des outils en ligne gratuits. Ils produisent une suite aléatoire de caractères selon la longueur et les types que vous choisissez.
Le piège est ailleurs. Beaucoup de gens génèrent un mot de passe solide… puis le collent dans un fichier texte sur le bureau, ou l'envoient par mail à eux-mêmes. La robustesse du mot de passe devient alors décorative.
| Méthode | Robustesse | Mémorisable | Idéal pour |
|---|---|---|---|
| Génération aléatoire pure | Très élevée | Non | Tous les comptes, via gestionnaire |
| Phrase de passe (4-5 mots) | Élevée | Oui | Compte principal, messagerie |
| Mot de passe « personnalisé » (nom + date + symbole) | Faible | Oui | À éviter absolument |
| Réutilisation d'un ancien mot de passe | Nulle | Oui | Nulle part |
Le générateur de mot de passe Google, intégré à Chrome et à Android, fait très bien le travail pour un usage courant. Mais il vous enferme dans l'écosystème Google. Si vous changez de navigateur ou de téléphone, la synchronisation peut devenir pénible. Je l'ai testé un an, puis je suis passé à un gestionnaire tiers, principalement pour cette raison.
Un générateur de mot de passe facile à retenir, ça existe ?
Oui, mais pas au sens strict du terme. Un générateur produit de l'aléatoire, et l'aléatoire ne se retient pas. Ce que vous voulez dans ce cas, c'est un générateur de phrases de passe : il assemble quatre ou cinq mots tirés d'un dictionnaire, séparés par un symbole. Le résultat est long, résistant aux attaques par force brute, et suffisamment mémorisable pour un usage quotidien.
Mon conseil : utilisez les phrases de passe pour les deux ou trois comptes que vous ouvrez tous les jours, et laissez la génération aléatoire faire le reste.
Comment garantir un mot de passe unique pour chaque site
C'est ici que la plupart des articles s'arrêtent, et c'est dommage. Parce que l'unicité ne se décrète pas : elle se construit.
La méthode manuelle : une graine mentale
Vous partez d'une base fixe et vous y accolez un fragment lié au service. Par exemple, base Tempete27! + trois premières lettres du site + un chiffre qui change chaque année. Ça donne Tempete27!fac8 pour Facebook, Tempete27!ban8 pour votre banque. C'est mieux que rien, mais présente un défaut majeur : si quelqu'un obtient deux de vos mots de passe, il reconstitue la règle en quelques secondes. À réserver aux comptes sans enjeu.
La méthode gestionnaire : la seule qui tient dans le temps
Un gestionnaire de mots de passe génère un identifiant différent pour chaque site, le chiffre, et le remplit automatiquement. Vous n'en connaissez qu'un seul : celui du coffre. C'est la seule approche qui combine unicité, robustesse et praticité.
Le point de friction est psychologique. On n'aime pas confier ses clés à un tiers. Je l'ai longtemps refusé, persuadé que ma mémoire suffisait. Elle ne suffisait pas. Il m'a fallu une fuite et trois heures de réinitialisation pour l'admettre.
- Choisissez un mot de passe maître long, une phrase de passe de préférence.
- Activez la double authentification sur le compte du gestionnaire lui-même.
- Exportez régulièrement une sauvegarde chiffrée, stockée hors ligne.
- Prenez le temps de changer les mots de passe de vos comptes critiques en priorité : messagerie, banque, cloud.
Trois erreurs que je vois encore trop souvent
La première : croire qu'un mot de passe « compliqué » est forcément solide. P@ssw0rd2026! coche toutes les cases des politiques de complexité et figure dans absolument toutes les listes de mots de passe compromis. Les attaquants ont des dictionnaires de ce genre de variantes.
La deuxième : changer tous ses mots de passe tous les trois mois. Cette règle, longtemps imposée, pousse à créer des variantes minuscules (motdepasse1, motdepasse2) qui n'apportent rien. Mieux vaut un mot de passe unique par site, jamais renouvelé sauf en cas de fuite.
La troisième : stocker ses identifiants dans les notes de son téléphone. Non chiffrées, synchronisées dans le cloud, accessibles dès que l'appareil est déverrouillé. J'ai vu ça chez un proche, avec l'intégralité de ses accès bancaires dedans.
Par où commencer, concrètement
Ne cherchez pas à tout changer en un week-end, vous abandonnerez. Commencez par vos trois comptes les plus sensibles. Installez un gestionnaire, laissez-le générer de nouveaux identifiants, activez la double authentification partout où c'est proposé.
Une fois cette première étape passée, le reste suit naturellement : chaque nouvelle inscription passe par le gestionnaire, sans effort, sans réflexion.
Ce qui me frappe, avec le recul, c'est à quel point le problème n'a jamais été technique. Les outils existent depuis des années, ils sont gratuits pour la plupart. Le vrai obstacle, c'est d'accepter de lâcher le contrôle et de faire confiance à une machine pour retenir ce qu'on retenait soi-même. Une fois ce cap franchi, on se demande pourquoi on a attendu si longtemps.
Reste une question que personne ne pose vraiment : si votre gestionnaire disparaissait demain, auriez-vous encore accès à quelque chose ? Si la réponse vous inquiète, vous savez ce qu'il vous reste à faire ce week-end.
