Ce qu'est vraiment un mot de passe robuste

Module 2: Mots de passe et connexion · Temps de lecture : 9 minutes

Objectif pédagogique : à l'issue de cette leçon, vous pourrez expliquer pourquoi la longueur et le caractère unique d'un mot de passe comptent plus que des caractères bizarres, et ce que dit la norme NIST actuelle sur les mots de passe.

Notions clés : longueur, entropie, phrase de passe, attaque par dictionnaire, force brute, réutilisation, changement obligatoire

Comment un mot de passe est cassé

Quand on parle de « casser un mot de passe », beaucoup pensent à quelqu'un qui essaie de deviner le vôtre sur votre page de connexion. Cela existe, mais ce n'est pas la menace principale. Une bonne page de connexion ralentit ou bloque temporairement après plusieurs tentatives échouées. Deviner par la porte d'entrée est donc lent.

Plus dangereux est le cassage hors ligne. Un site web ne conserve pas (en principe) votre mot de passe lui même, mais un hash : une sorte d'empreinte à partir de laquelle on ne peut pas retrouver directement le mot de passe. Si la base de données d'une boutique en ligne fuite, l'attaquant récupère ces empreintes sur ses propres machines. Là, plus aucun frein. Il essaie autant de mots de passe que son matériel le permet et compare chaque résultat à l'empreinte divulguée.

Il utilise pour cela deux méthodes :

• Attaque par dictionnaire : d'abord tout ce que les gens choisissent souvent. Des listes de millions de vrais mots de passe issus de fuites précédentes, des mots de dictionnaires, des noms, des lieux, des années. Avec des règles fixes en plus : majuscule au début, année à la fin, point d'exclamation à la fin, a devient @, o devient 0.
• Force brute : ensuite, toutes les combinaisons possibles de caractères, du plus court au plus long.

Un mot de passe comme Zomer2026! semble robuste : majuscule, chiffres, ponctuation, dix caractères. Mais c'est exactement le schéma présent dans ces règles : un mot, une année, un signe. Un tel mot de passe tombe dès la première phase, bien avant que la force brute ne commence.

La longueur l'emporte sur les caractères bizarres

La robustesse d'un mot de passe dépend du nombre de possibilités qu'un attaquant doit essayer. Ce nombre se calcule ainsi : nombre de caractères possibles élevé à la puissance de la longueur.

Sur un clavier classique, il existe 95 caractères possibles à taper (lettres majuscules et minuscules, chiffres, signes de ponctuation et l'espace). Un mot de passe aléatoire de 8 caractères offre donc 95 puissance 8 possibilités : environ 6,63 × 10^15. Cela paraît beaucoup, mais avec du matériel rapide et une méthode de stockage faible, cela se parcourt en quelques jours.

Chaque caractère supplémentaire multiplie ce nombre par 95. Ajouter un nouveau type de caractère (par exemple des signes de ponctuation à des lettres seules) ne multiplie la base que légèrement. C'est pourquoi la longueur rapporte bien plus que la complexité.

Cette dernière colonne est l'entropie : une mesure de l'imprévisibilité, exprimée en bits. En langage courant : chaque bit supplémentaire double le travail de l'attaquant. Un mot de passe de 65 bits coûte donc non pas un peu, mais environ 4 000 fois plus de travail qu'un mot de passe de 53 bits.

Important : ces chiffres ne valent que si le mot de passe est vraiment choisi au hasard. Un mot de passe que vous inventez vous même n'est presque jamais aléatoire. Bakkerij2026! compte treize caractères, mais correspond, par son schéma, à toutes les listes de cassage.

La phrase de passe

Une phrase de passe est un mot de passe composé de plusieurs mots séparés, par exemple cinq ou six. L'avantage : elle est longue, mais reste facile à mémoriser et à taper. Le NCSC néerlandais recommande de choisir quatre à six mots sans rapport entre eux, et indique qu'une longue phrase composée uniquement de minuscules est plus sûre qu'un mot de passe court contenant tous les types de caractères.

Une phrase de passe n'est robuste que si les mots sont choisis au hasard :

• Bonne méthode : un générateur (dans votre gestionnaire de mots de passe) ou des dés avec une liste de mots. La méthode bien connue aux cinq dés utilise une liste de 7 776 mots, car 6 à la puissance 5 vaut précisément 7 776. Les créateurs de ce type de liste recommandent six mots pour la plupart des usages.
• Mauvaise méthode : une phrase connue, des paroles de chanson, un proverbe ou quelque chose sur vous même. ikhouvanmijnhondbobby est long, mais les mots forment un ensemble cohérent et sont devinables par quiconque vous connaît ou consulte vos réseaux sociaux.

Une phrase de passe reste un mot de passe. Vous l'utilisez à un seul endroit et vous ne la partagez pas.

L'unicité compte plus que la complexité

Le mot de passe le plus robuste ne sert à rien si vous l'utilisez sur vingt sites différents. À la leçon 1.4, vous avez découvert le credential stuffing : une adresse e-mail divulguée accompagnée de son mot de passe est automatiquement testée sur les services de messagerie, de comptabilité, les boutiques en ligne et les réseaux sociaux. Si ce mot de passe fuite chez le plus faible de ces vingt services, les vingt deviennent accessibles.

La réutilisation est donc, en pratique, la plus grande faiblesse. Et « quelques petites variantes » ne comptent pas comme unique. Example!Mail et Example!Shop sont devinables en quelques tentatives par un attaquant disposant d'un seul mot de passe divulgué.

La solution n'est pas de mémoriser, mais de conserver : un gestionnaire de mots de passe crée pour chaque service un mot de passe long et aléatoire et le retient pour vous. C'est l'objet de la leçon 2.2. Vous n'avez alors plus besoin de retenir que quelques éléments : le mot de passe principal du gestionnaire et, éventuellement, celui de votre ordinateur.

Ce que dit la norme NIST

Le NIST américain (National Institute of Standards and Technology) publie la norme la plus connue en matière de connexion : SP 800-63B. La quatrième version est devenue définitive le 31 juillet 2025. De nombreuses organisations dans le monde la suivent. Les points principaux concernant les mots de passe :

• Si le mot de passe est la seule méthode de connexion, il doit compter au moins 15 caractères. S'il fait partie d'une authentification à deux facteurs (2FA), au moins 8.
• Un service doit autoriser des mots de passe d'au moins 64 caractères.
• Pas de règles de composition : un service ne doit pas exiger « au moins une majuscule, un chiffre et un signe de ponctuation ».
• Pas de changement périodique obligatoire. Il ne faut en changer que s'il existe un indice que le mot de passe a fuité.
• Vérifier les nouveaux mots de passe par rapport à une liste de mots de passe courants et divulgués.
• Autoriser le collage et les gestionnaires de mots de passe.
• Pas de questions de sécurité (« nom de votre premier animal de compagnie ») ni d'indices de mot de passe.

Pourquoi le changement obligatoire n'est plus recommandé

Pendant des années, vous deviez choisir un nouveau mot de passe au travail tous les trois mois. L'idée : un mot de passe volé ne fonctionnerait alors que peu de temps. En pratique, les gens font ceci : Zomer2026! devient Herfst2026!, puis Winter2026!. Un attaquant disposant de l'ancien mot de passe devine le nouveau en quelques tentatives. Et une personne devant sans cesse inventer un nouveau mot de passe en choisit de plus courts et les note sur un papier.

Le changement obligatoire rend donc les mots de passe plus prévisibles. En revanche, changez immédiatement de mot de passe dès qu'il existe une raison : une notification de fuite, une connexion suspecte, un collègue qui part et qui connaissait le mot de passe, ou si vous l'avez saisi par erreur quelque part.

En pratique : une politique de mots de passe tenant sur une page

Pour une petite entreprise comme Boulangerie Example, une politique courte suffit :

1. Chaque compte dispose de son propre mot de passe personnel. Pas de connexion partagée pour info@example.com dont cinq personnes connaîtraient le mot de passe.
2. Les mots de passe sont créés par le gestionnaire de mots de passe : aléatoires, d'au moins 15 caractères, ou une phrase de passe d'au moins cinq mots choisis au hasard que vous devez taper.
3. Jamais le même mot de passe à deux endroits.
4. Authentification à deux facteurs (2FA) activée sur la messagerie, la comptabilité, la banque, l'hébergement et l'enregistrement du domaine (leçon 2.3).
5. Changement uniquement en cas de raison précise, et alors immédiatement.
6. Les mots de passe ne doivent jamais être envoyés par e-mail, par chat, ni notés sur un papier collé à l'écran.

Votre panneau d'hébergement suit également cette logique. Dans l'environnement WebOké, vous pouvez par exemple faire générer un mot de passe aléatoire pour le mot de passe DA et pour les boîtes mail ; dans d'autres panneaux, ce bouton s'appelle souvent « Genereer » ou « Generate ». Laissez toujours un tel générateur créer au moins 15 caractères ; vous pouvez souvent choisir vous même la longueur.

Résumé

• Les attaquants cassent surtout hors ligne, après une fuite, à l'aide de listes et de règles. Les schémas prévisibles tombent immédiatement.
• La longueur et un véritable hasard rapportent bien plus que des caractères bizarres. Chaque bit d'entropie double le travail.
• Une phrase de passe composée de mots choisis au hasard est longue tout en restant mémorisable.
• L'unicité compte plus que la complexité : la réutilisation transforme une seule fuite en vingt fuites.
• NIST SP 800-63B-4 : au moins 15 caractères comme seul facteur, pas de règles de composition, pas de changement périodique, mais une vérification par rapport aux mots de passe divulgués.

Quiz

Exercice

Exercice A2.1 : Calculer et évaluer. Vous ne saisissez nulle part votre propre mot de passe. Partie 1 : calculez combien de possibilités offrent une phrase de passe et un mot de passe aléatoire (vous recevez les nombres de mots et de caractères), lequel des deux est le plus robuste et combien de fois. Partie 2 : évaluez six exemples de mots de passe fictifs : prévisible, trop court, réutilisé ou robuste. Le programme vérifie vos réponses et donne une explication pour chacune.

Pour aller plus loin

Les étapes décrites dans les articles WebOké valent pour l'environnement WebOké ; chez d'autres fournisseurs, le fonctionnement est comparable.

• Guide DirectAdmin 3.7: Mots de passe sécurisés et que faire en cas de mot de passe compromis
• Comment modifier le mot de passe ou les limites de mon adresse e-mail ?
• NCSC néerlandais, conseils pour imaginer un mot de passe robuste (en néerlandais) : https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• NCSC néerlandais, quatre étapes pour rendre vos mots de passe plus sûrs (en néerlandais) : https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (en anglais) : https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (en anglais, la liste de mots utilisée avec des dés) : https://www.eff.org/dice