Comment créer un mot de passe fort et vraiment utilisable

Un mot de passe fort est long, aléatoire et propre à un seul site. Tout le reste — majuscule, symbole, chiffre collé à la fin — pèse bien moins lourd. La plupart des comptes sont perdus non par une attaque astucieuse, mais parce qu'un mot de passe a été réutilisé sur un site victime d'une fuite, ou qu'il était court au point d'être deviné.

La méthode rapide ici : ouvrez le générateur de mot de passe, choisissez Mot de passe aléatoire pour ce que le navigateur retiendra ou Phrase de passe (mots) pour ce que vous taperez, réglez la longueur, collez le résultat dans le champ du site. Chaque caractère vient de la source d'aléa cryptographique du navigateur, et l'entropie en bits s'affiche au fil des réglages. Rien n'est transmis ni enregistré.

Quel type de mot de passe pour quel usage

Type	Pour quoi	Contrepartie
16 à 20 caractères aléatoires	Connexions courantes, dans un gestionnaire	Impossible à taper à la main
Phrase de passe de 7 à 8 mots aléatoires	Session de l'ordinateur, mot de passe maître du gestionnaire	Plus longue, mais facile à taper sur téléphone
Chaîne aléatoire sans symboles	Systèmes refusant la ponctuation, clés Wi-Fi, clés d'API	Moins de possibilités par caractère
Rien du tout : une clé d'accès (passkey)	Les sites compatibles	Pas encore proposée partout

Ce que « fort » veut dire, en chiffres

La robustesse se mesure en bits d'entropie : le nombre moyen d'essais d'un attaquant. Pour des caractères tirés au hasard, la formule est longueur × log₂(taille du jeu de caractères) ; l'apparence n'y change rien.

Tous les types activés, ce générateur puise dans 89 caractères : 26 minuscules, 26 majuscules, 10 chiffres, 27 symboles. Cela donne :

Longueur	Bits	Mots de passe possibles
8	51,8	environ 3,9 × 10¹⁵
12	77,7	environ 2,5 × 10²³
16	103,6	environ 1,5 × 10³¹
20	129,5	environ 9,7 × 10³⁸

Sans les symboles, le jeu tombe à 62 caractères : 16 caractères valent alors 95,3 bits au lieu de 103,6 — une vraie différence, bien plus petite que celle entre 8 et 16 caractères. Plus net encore : 15 minuscules aléatoires valent 70,5 bits, et 12 caractères aléatoires mêlant lettres et chiffres en valent 71,5. Trois caractères de plus rapportent autant que deux classes de caractères.

Les phrases de passe

Pour la poignée de mots de passe à taper de mémoire, utilisez plusieurs mots aléatoires. La liste de cet outil contient 1 269 mots courts : chaque mot apporte log₂(1269) = 10,3 bits.

• 6 mots : 61,9 bits
• 7 mots : 72,2 bits
• 8 mots : 82,5 bits

Une liste plus longue rapporte plus par mot : celle de l'EFF, 7 776 mots, donne 12,9 bits par mot, donc 77,5 bits pour six mots. Dans les deux cas, les mots doivent être tirés par le générateur : une expression que vous inventez, un autre peut l'inventer. Cocher Ajouter un nombre ajoute un nombre à deux chiffres tiré au hasard, environ 6,5 bits, utile pour les sites qui exigent un chiffre.

Ce que disent les recommandations actuelles

Le NIST américain publie les lignes directrices sur l'identité numérique que suit la plupart des organisations (SP 800-63B). Ses exigences pour les systèmes d'authentification disent quelles règles sont périmées :

• Un mot de passe utilisé seul doit faire au moins 15 caractères ; avec un second facteur, au moins 8.
• Les systèmes doivent accepter au moins 64 caractères, ainsi que les espaces et l'Unicode.
• Les systèmes ne doivent pas imposer de règles de composition : pas de « une majuscule, un chiffre, un symbole ».
• Les systèmes ne doivent pas imposer de changement périodique : seuls des indices de compromission le justifient.
• Les nouveaux mots de passe doivent être confrontés aux listes de mots de passe courants ou divulgués.

Si un site impose encore une rotation tous les 90 jours et refuse votre phrase de passe de 40 caractères faute de majuscule, c'est lui qui est en retard, pas vous.

Aléatoire doit vraiment vouloir dire aléatoire

Ete2026! satisfait presque toutes les règles de complexité jamais écrites et figure dans toutes les listes d'essai des attaquants ; M0tDeP@sse aussi. Nous produisons des motifs même en cherchant à les éviter : majuscule au début, chiffre et symbole à la fin. Un générateur n'a pas ces habitudes : c'est toute la raison de s'en servir. Le générateur de chaînes aléatoires fait de même quand l'alphabet doit être fixé à la main — un système qui n'accepte que A–Z et 0–9, par exemple.

Un mot de passe par site

Après une fuite, les couples adresse-mot de passe divulgués sont testés automatiquement sur banques, messageries et boutiques. Ce bourrage d'identifiants ne marche que parce que les mots de passe sont réutilisés. L'unicité transforme la mauvaise journée d'une entreprise en un seul compte à réinitialiser au lieu de douze.

Vous ne pouvez pas retenir cent mots de passe aléatoires, et ce n'est pas attendu. Un gestionnaire — celui du navigateur, du téléphone, ou une application dédiée — les génère, les stocke chiffrés et les remplit. Il refuse aussi de saisir le mot de passe de votre banque sur un domaine sosie, meilleure défense contre l'hameçonnage que la vigilance.

Ajoutez un second facteur

Pour la messagerie, la banque et tout compte capable de réinitialiser les autres, activez la validation en deux étapes. Une application d'authentification ou une clé de sécurité matérielle est nettement plus solide qu'un code SMS, qu'un détournement de carte SIM intercepte. Les clés d'accès, là où le site les accepte, remplacent le mot de passe par une clé gardée sur votre appareil : ni hameçonnables ni réutilisables.

Aucun mot de passe ne rend un compte inviolable. Si le fournisseur est compromis de la bonne manière, ou si vous le saisissez sur un faux site convaincant, sa longueur ne vous sauvera pas. Longueur, unicité et second facteur réduisent les façons dont les choses peuvent mal tourner et limitent les dégâts le jour venu.

Là où ça coince

Le site tronque votre mot de passe en silence. Certains vieux systèmes coupent à 16 ou 20 caractères. Si un long mot de passe cesse de marcher sans que vous l'ayez changé, essayez ses 16 premiers caractères.

Les symboles sont refusés après coup. Un site accepte # à l'inscription et le refuse à la connexion : générez sans symboles plutôt que de lutter.

Vous perdez le mot de passe avant de l'enregistrer. Enregistrez-le d'abord dans le gestionnaire, puis collez-le dans le formulaire.

Il faut le taper sur un téléviseur ou une console. Prenez une phrase de passe, ou un mot de passe avec Éviter les caractères ambigus activé : il retire l, 1, O, 0 et quelques autres, laissant 83 caractères.

Un mot de passe partagé traîne dans une conversation. Pour le Wi-Fi, imprimez un QR code — voir Créer un QR code Wi-Fi. Sinon, passez par le gestionnaire.

Questions fréquentes

12 caractères, est-ce suffisant ? Avec un second facteur, en général oui. Pour une connexion à facteur unique, 15 caractères ou plus correspondent aux recommandations actuelles ; monter à 16–20 ne coûte rien quand un gestionnaire les saisit pour vous.

Faut-il changer ses mots de passe régulièrement ? Non, pas selon un calendrier. Changez-en un quand il y a une raison : avis de fuite, appareil partagé, soupçon.

Les gestionnaires sont-ils sûrs ? Ils concentrent le risque en un point et suppriment celui, bien plus grand, de la réutilisation. Protégez le coffre par une longue phrase de passe et un second facteur.

Peut-on les écrire sur papier ? Pour un compte domestique, un carnet dans un tiroir vaut mieux que le même mot de passe partout. La menace est distante et automatisée, pas cambrioleuse.

Hacher mon mot de passe le rend-il plus fort ? Non. Le générateur de hash calcule des empreintes SHA-256 et assimilées pour vérifier des fichiers. Les sites hachent les mots de passe sur leurs serveurs avec des algorithmes lents et salés ; une empreinte saisie n'est qu'un mot de passe plus long.

Pour aller plus loin

• Générer un mot de passe ou une phrase de passe : générateur de mot de passe
• Générer une clé sur un alphabet imposé : générateur de chaînes aléatoires
• Partager son Wi-Fi sans le dicter : Créer un QR code Wi-Fi