Créer des mots de passe solides et faciles à retenir

Les mots de passe restent la première protection de nos comptes en ligne. Pourtant, des mots de passe comme « 123456 », « azerty » ou un prénom suivi d’une année figurent toujours parmi les plus utilisés. Bonne nouvelle : il existe des méthodes simples pour créer des mots de passe à la fois solides et mémorisables.

Comment les mots de passe sont-ils piratés ?

Les attaquants disposent de plusieurs techniques :

• la devinette : essayer les mots de passe les plus courants, les prénoms, les dates de naissance ;
• la force brute : essayer automatiquement des milliards de combinaisons, d’autant plus rapidement que le mot de passe est court ;
• la réutilisation : lorsqu’un site se fait pirater, les identifiants dérobés sont testés sur d’autres sites (messagerie, banque, réseaux sociaux) ;
• l’hameçonnage : vous inciter à saisir vous-même votre mot de passe sur un faux site.

Un bon mot de passe résiste aux deux premières techniques. Un mot de passe unique protège contre la troisième. La vigilance protège contre la quatrième.

Ce qui rend un mot de passe solide

La longueur compte plus que la complexité. Chaque caractère supplémentaire multiplie le nombre de combinaisons possibles. Les recommandations actuelles, notamment celles de l’ANSSI et de la CNIL, insistent sur la longueur et l’imprévisibilité :

• au moins 12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux ;
• ou une phrase de passe plus longue, composée de plusieurs mots.

La méthode de la phrase de passe

Choisissez quatre à six mots sans lien logique entre eux, par exemple tirés au hasard dans un dictionnaire. Ajoutez éventuellement des séparateurs ou des chiffres. Le résultat est long, donc très difficile à casser, et bien plus facile à mémoriser qu’une suite aléatoire de caractères. Une petite image mentale associant les mots aide à les retenir.

Évitez les phrases célèbres, les paroles de chansons, les proverbes et les citations : elles figurent dans les dictionnaires utilisés par les attaquants.

La méthode des premières lettres

Autre technique : partir d’une phrase personnelle et en garder les premières lettres, les chiffres et la ponctuation. Par exemple, une phrase sur un souvenir précis, avec une année et un nombre, peut donner un mot de passe de plus de douze caractères, impossible à deviner, que vous seul pouvez reconstituer.

Un mot de passe différent pour chaque compte

C’est la règle la plus importante, et la plus difficile à respecter. Si vous utilisez le même mot de passe partout, le piratage d’un seul site (une boutique en ligne, un forum) donne accès à tous vos comptes.

Priorités absolues pour des mots de passe uniques et solides :

1. votre messagerie : elle permet de réinitialiser tous vos autres mots de passe ;
2. votre banque ;
3. vos comptes administratifs (impôts, Assurance maladie, FranceConnect) ;
4. vos réseaux sociaux ;
5. vos comptes de boutiques en ligne qui conservent votre carte bancaire.

Comment retenir des dizaines de mots de passe ?

Personne ne peut retenir des dizaines de mots de passe uniques. La solution recommandée est le gestionnaire de mots de passe, un coffre-fort numérique protégé par un mot de passe principal unique. Voir notre guide utiliser un gestionnaire de mots de passe.

Pour les personnes qui ne souhaitent pas utiliser d’outil numérique, un carnet papier rangé en lieu sûr au domicile reste préférable à un mot de passe unique réutilisé partout. Ne le gardez pas avec votre ordinateur, ni dans votre sac.

Ajouter une seconde protection

Même le meilleur mot de passe peut être dérobé, par exemple sur un faux site. La double authentification ajoute une seconde vérification : un code reçu par SMS, une application ou une clé de sécurité. Activez-la au moins sur votre messagerie, votre banque et vos réseaux sociaux. Voir la double authentification expliquée.

Quand changer de mot de passe ?

Inutile de changer de mot de passe tous les mois s’il est solide et unique. Changez-le en revanche immédiatement :

• si un service vous informe d’une fuite de données ;
• si vous avez saisi votre mot de passe sur un site suspect ;
• si vous constatez une activité anormale sur votre compte ;
• si vous l’avez communiqué à quelqu’un.

Des services en ligne permettent de vérifier si votre adresse e-mail apparaît dans des fuites de données connues.

Les erreurs à éviter

• Utiliser des informations personnelles (prénom, date de naissance, nom du chien).
• Réutiliser le même mot de passe en changeant seulement un chiffre.
• Noter ses mots de passe sur un post-it collé à l’écran.
• Envoyer un mot de passe par e-mail ou SMS.
• Accepter que le navigateur enregistre les mots de passe sur un ordinateur partagé.

À retenir

Long, unique, imprévisible, et protégé par une double authentification : avec ces quatre principes, vos comptes deviennent beaucoup plus difficiles à pirater.