Comprendre ce qui définit un mot de passe robuste
Un mot de passe robuste, ce n’est pas un mot de passe « compliqué à lire ». C’est un mot de passe tiré au hasard dans un ensemble de possibilités suffisamment grand. La nuance paraît théorique, elle est en réalité toute la question : ce qui protège, ce n’est pas l’apparence du mot de passe, c’est le nombre d’essais qu’un attaquant devra faire avant de tomber dessus.
D’où l’inutilité de piocher dans le dictionnaire. Un dictionnaire courant ne contient pas plus de 60 000 mots. Même en ajoutant les conjugaisons, les accords, la majuscule au début et le chiffre à la fin, l’ensemble reste ridiculement petit à l’échelle d’un ordinateur. Les logiciels de cassage commencent d’ailleurs toujours par là : mots courants et leurs variantes (voiture, turevoi, erutiov, voiture2026, voiture!), puis les schémas les plus fréquents observés dans les fuites de données.
Et non, vivre à La Réunion ne met personne à l’abri par éloignement. La grande majorité des attaques ne visent pas une personne en particulier : ce sont des campagnes de masse qui balaient Internet et récupèrent tout ce qui cède. Ce n’est qu’ensuite, une fois quelqu’un hameçonné, que l’attaquant concentre ses efforts. Sauf qu’ici, quand un compte tombe, la reprise en main se fait à distance, avec des supports lointains et des délais qui s’étirent.
Nota Bene : les sites ne stockent (en principe) pas votre mot de passe, mais son « empreinte », le résultat d’un calcul à sens unique. On ne remonte pas d’une empreinte au mot de passe, en revanche on peut tester des millions de candidats et comparer les empreintes obtenues. C’est exactement ce que fait un casseur.
La taille de l'ensemble des combinaisons : le seul critère qui compte
Le calcul est simple : si votre mot de passe fait c caractères et que chaque caractère est tiré dans un alphabet de n valeurs, l’ensemble des possibilités vaut n puissance c. Huit lettres minuscules, cela donne 26 puissance 8, soit un peu moins de 209 milliards de combinaisons. Impressionnant sur le papier, dérisoire en pratique : quelques heures sur un ordinateur ordinaire, quelques secondes pour quelqu’un qui aligne des processeurs de cartes graphiques.
En sécurité, on préfère compter en puissances de 2. Ces 209 milliards, c’est environ 2 puissance 37. La grille de référence française classe la robustesse en quatre niveaux, selon la taille de l’ensemble dans lequel le mot de passe a été tiré :
- moins de 2^64 : robustesse très faible
- de 2^64 à 2^80 : faible
- de 2^80 à 2^100 : moyen
- au-delà de 2^100 : fort
Traduction concrète, celle qu’il faut retenir : pour atteindre le niveau « fort » avec des caractères tirés au hasard, il faut au moins 17 caractères. C’est là qu’on comprend qu’un mot de passe sorti de la seule imagination humaine n’a aucune chance : générer du vrai aléatoire sur 17 signes, un cerveau ne sait pas faire.
Pourquoi un mot de passe long en apparence peut rester très faible
Prenons « b!sDzf5w,5 ». Dix caractères, majuscules, minuscules, chiffres, ponctuation : le genre de chaîne qu’on est fier d’avoir inventée, et qu’on est incapable de retenir. Faisons le compte : alphabet d’environ 70 signes, longueur 10, soit 70 puissance 10, environ 2 puissance 61. Selon la grille, c’est très faible. Le pire des deux mondes, en somme : illisible pour vous, cassable pour un adversaire équipé.
Ce genre de mot de passe arrête un amateur. Il n’arrête pas quelqu’un de déterminé, cas de figure loin d’être théorique dans un contexte professionnel, où les données valent quelque chose pour un concurrent.
L’autre piège, c’est la structure. Les casseurs évolués exploitent les statistiques issues des bases de mots de passe qui ont fuité et travaillent avec des « masques » : majuscule au début, minuscules ensuite, un ou deux chiffres, un caractère spécial pour finir. Ce schéma revient tellement souvent qu’il est testé en priorité. Certains outils ajoutent de l’intelligence artificielle pour générer les candidats les plus probables, ou des pré-calculs stockés à l’avance qui accélèrent le cassage. Un mot de passe fortement structuré est un mot de passe fortement prévisible.
L'exemple qui fait mal : le mot de passe de Brigitte
Brigitte a suivi à la lettre les conseils lus sur un forum : lettres majuscules et minuscules, au moins un chiffre, au moins un caractère spécial. Résultat : « Anticonstitutionnellement1234! ». Trente caractères. Elle le teste sur cinq sites de mesure de robustesse, dont celui d’un éditeur d’antivirus et un site ministériel. Les cinq lui répondent « fort », et l’un d’eux annonce même qu’il faudrait plusieurs siècles pour le casser.
En réalité, ce mot de passe ne tient pas une seconde devant un casseur évolué. Il correspond au masque le plus banal qui existe : un mot du dictionnaire, une capitale au début, une suite de chiffres, un caractère spécial parmi les plus utilisés. Sa longueur ne compense rien, parce que l’attaquant n’explore pas 30 caractères au hasard, il explore une liste de recettes connues.
Alors comment obtenir long, robuste et mémorisable ? Par la phrase de passe : une suite de mots tirés au sort, pas des caractères. Sept mots choisis aléatoirement dans un dictionnaire de 60 000 mots offrent une robustesse comparable à un mot de passe aléatoire de 17 lettres, chiffres et signes. En utilisant des mots au lieu de caractères, on élargit énormément l’alphabet de départ.
Une condition non négociable : le tirage doit être réellement aléatoire. Si vous composez la phrase vous-même, elle sera faible, tout simplement parce qu’on tourne au quotidien avec quelques centaines de mots et des associations d’idées prévisibles. Laissez un outil piocher pour vous.
Les jauges de robustesse en ligne : à quoi elles servent (pas)
Vous connaissez ces barres de couleur qui passent du rouge au vert pendant que vous tapez. Elles rassurent, elles n’évaluent presque rien. La majorité de ces outils ne regardent que deux choses : la longueur, et les types de caractères employés (lettres, chiffres, symboles).
Autrement dit, ils calculent le temps d’une recherche exhaustive, comme si l’attaquant testait bêtement toutes les combinaisons dans l’ordre. Ils ne se demandent jamais quelles sont les chances d’un casseur évolué qui, lui, commence par les schémas les plus probables. C’est pour cette raison qu’un même mot de passe peut être noté « faible » sur un site et « fort » sur un autre.
Le plus souvent, vous n’avez pas le choix : la jauge est imposée par le formulaire d’inscription. Quand c’est vous qui choisissez d’utiliser un tel outil, deux réflexes : vérifier que la vérification se fait localement dans le navigateur, et que le mot de passe n’est pas envoyé au serveur du site. Sinon, vous venez de confier votre secret à un inconnu.
Faux verdicts, vraie fausse sécurité
Le problème de ces indicateurs n’est pas qu’ils soient imparfaits, c’est qu’ils se trompent dans le mauvais sens. Ils décernent des « fort » à des mots de passe fortement structurés, donc précisément à ceux que les outils de cassage traitent en premier. On ressort du test avec un sentiment de sécurité, et c’est ce sentiment qui coûte cher.
À l’inverse, une phrase de passe de sept mots en minuscules, sans chiffre ni ponctuation, se fera parfois recaler par un formulaire trop rigide, alors qu’elle est bien plus solide que le « Motdepasse2026! » que le même formulaire accepte sans broncher. La règle est simple : ne jugez jamais un mot de passe à la couleur d’une barre, jugez-le à la façon dont il a été produit. Tiré au hasard par une machine ? Bon signe. Sorti de votre tête ? Suspect par nature.
Et une précision qui vaut pour tout le monde ici : les attaques par essais successifs directement sur un site web sont peu praticables, car lentes et facilement détectées, le compte finit bloqué. Le vrai danger, c’est la base de données d’un site marchand qui fuite, avec ses milliers d’empreintes que l’attaquant casse tranquillement chez lui. D’où l’autre règle absolue, aussi importante que la robustesse : un mot de passe différent pour chaque service, et un changement régulier.
Générer du vrai aléatoire : KeePass, gratuit et certifié
Puisqu’un humain ne sait pas produire de l’aléatoire, il faut déléguer. KeePass fait très bien ce travail : c’est un gestionnaire de mots de passe gratuit, certifié par l’agence nationale de sécurité des systèmes d’information, et il n’est pas hébergé dans le cloud. Votre coffre-fort est chiffré et stocké sur votre propre ordinateur ou téléphone, ce qui reste l’approche la plus sûre.
En pratique, la méthode tient en quatre gestes. On installe le logiciel, on crée un coffre protégé par un mot de passe maître. Pour chaque compte, on demande au générateur de fabriquer le mot de passe (longueur généreuse, tirage aléatoire) et on le colle dans le site, sans jamais chercher à le mémoriser. Et on n’utilise jamais deux fois le même, y compris pour les comptes qui vous semblent sans importance : un compte anodin sert souvent de porte d’entrée vers les autres.
Corollaire à graver : on ne stocke pas ses mots de passe ailleurs. Le fichier Excel, même chiffré, est à bannir. Un vrai gestionnaire n’affiche pas tout à l’écran, il ne déchiffre que le mot de passe utile à l’instant où il est utilisé, et il gère mieux la mémoire pour éviter les fuites. Les gestionnaires intégrés aux navigateurs, eux, sont à éviter : le navigateur est la partie la plus exposée de votre machine, et il n’est pas toujours clair de savoir où et comment vos mots de passe sont protégés.
Seul inconvénient de la solution locale : vos mots de passe ne sont pas synchronisés entre vos appareils. Si vous jonglez entre ordinateur du bureau, portable et téléphone, cela peut vite agacer.
Le mot de passe maître : tout repose dessus
Un gestionnaire résout d’un coup les trois contraintes impossibles à tenir à la main : mots de passe aléatoires, différents pour chaque usage, changeables facilement. Mais il concentre aussi tout le risque en un seul point. La sécurité de l’ensemble ne vaut que celle du mot de passe maître.
Ce mot de passe maître doit donc être le plus fort possible tout en restant mémorisable, ce qui désigne clairement la phrase de passe de plusieurs mots tirés au hasard. C’est le seul secret que votre cerveau devra retenir, autant y consacrer l’effort.
Une remarque utile pour couper court à un débat fréquent : la crainte d’une faille dans le logiciel, voire d’une porte dérobée volontaire, n’est pas un risque propre aux gestionnaires de mots de passe et ne doit pas détourner l’attention du risque principal. Le risque principal, c’est un maître faible. Un attaquant qui met la main sur un coffre chiffré ne cherche pas une faille exotique : il attaque le mot de passe maître.
Retenir une phrase de passe forte, sans jouer à la roulette russe
Oublier son mot de passe maître, c’est perdre l’accès à tous ses comptes d’un coup, sans recours : il n’existe aucun moyen de le retrouver. Autant traiter la mémorisation comme une étape du processus, pas comme un détail.
La bonne nouvelle, c’est qu’une suite de mots s’ancre beaucoup mieux qu’une bouillie de symboles. Générez la phrase, puis saisissez-la volontairement plusieurs fois de suite le premier jour, puis chaque jour de la première semaine. Une phrase de passe utilisée quotidiennement finit par passer dans les doigts. Ne remplacez pas des mots par des chiffres pour « faire plus sérieux », vous ne gagnerez presque rien en robustesse et vous perdrez beaucoup en mémorisation.
À éviter aussi : les changements trop fréquents imposés à répétition. Quand on force quelqu’un à changer sans arrêt de mot de passe, il finit par en choisir des faciles à retenir, donc faciles à casser, ou par les écrire n’importe où. Un maître solide, gardé longtemps, vaut mieux qu’un maître médiocre renouvelé tous les mois.
La copie de secours : l'enveloppe cachetée, version tropicale
Écrire son mot de passe maître et le ranger dans un endroit sûr n’est pas une hérésie, c’est un choix assumé entre confidentialité et disponibilité. Si la personne dont vous vous protégez n’est pas un proche vivant sous votre toit, une enveloppe cachetée conservée à la maison est une solution acceptable. La règle qui va avec est stricte : enveloppe volée, décachetée ou simplement suspecte, vous changez immédiatement tous vos mots de passe.
Variante pour les plus prudents, valable si la phrase est longue : noter le début à la maison et la fin sur le lieu de travail. Aucun des deux fragments ne suffit à quiconque met la main dessus.
Ici, une précaution que personne ne pense à prendre : le papier vieillit très mal sous nos latitudes. Humidité permanente, moisissures, encre qui bave, sans parler d’un dégât d’eau en pleine saison cyclonique ou d’une gouttière qui se déclare pendant un gros épisode pluvieux. Glissez l’enveloppe dans une pochette bien fermée, loin d’une varangue, d’une fenêtre ou du sol, et vérifiez-la une fois par an. Une phrase de passe illisible sur un papier gondolé, c’est un mot de passe perdu.
Coffre dans le cloud : 1Password, Bitwarden et la bonne question à poser
Si la synchronisation entre appareils vous manque, les gestionnaires renommés hébergés dans le cloud font le travail proprement. Avec 1Password (payant) ou Bitwarden (gratuit), votre coffre est chiffré sur votre appareil avant d’être envoyé sur les serveurs. Le prestataire ne stocke qu’un bloc illisible, vous êtes le seul à pouvoir le déchiffrer.
C’est la seule question qui compte au moment de choisir : le chiffrement a-t-il lieu chez moi ou chez eux ? La différence est loin d’être cosmétique. Certains gestionnaires intégrés aux navigateurs, dans leur configuration par défaut, transmettent les mots de passe et ne les chiffrent qu’une fois arrivés côté serveur, ce qui revient à confier ses secrets en clair à un tiers. D’autres, comme Firefox, chiffrent obligatoirement sur l’appareil avant d’envoyer.
Pour qui vit sur l’île, cette synchronisation a un intérêt très concret. Un téléphone qui rend l’âme après quelques années d’air salin et de chaleur, un ordinateur immobilisé le temps qu’une pièce arrive par fret, un appareil perdu : avec un coffre uniquement local et aucune copie, vos accès partent avec la machine. Avec un coffre synchronisé, ou une sauvegarde du fichier de coffre sur un support externe rangé ailleurs, vous rouvrez vos comptes depuis un autre appareil le jour même.
À l'échelle d'une entreprise, le maillon faible existe toujours
Pris individuellement, chacun de nous est capable de choisir un mot de passe maître solide. Mais dans une équipe, il y aura toujours quelques personnes dont le maître est faible, c’est statistique. Or lorsque les coffres sont stockés dans le cloud, toute personne capable d’accéder à cet espace de stockage, légitimement ou non, peut récupérer les coffres chiffrés et casser tranquillement les maîtres faibles. À la clé : l’intégralité des mots de passe de ces utilisateurs.
Ce n’est pas une hypothèse d’école. Le gestionnaire LastPass a subi plusieurs attaques en 2022, qui ont exposé les coffres-forts chiffrés de ses utilisateurs. Dans un monde où le renseignement économique est monnaie courante, une entreprise a tout intérêt à considérer ce scénario comme probable. Héberger soi-même le gestionnaire de ses employés n’est pas un excès de prudence, à une condition : être réellement en mesure de protéger cet espace de stockage, sinon le remède devient pire que le mal.
Pour une petite structure d’ici, sans service informatique interne et loin des prestataires de secours, l’arbitrage est plus terre à terre. Un gestionnaire reconnu à chiffrement local, une phrase de passe générée imposée comme maître (pas inventée par chacun), une copie de secours au coffre ou en enveloppe cachetée chez le dirigeant, et un second facteur d’authentification là où c’est proposé : c’est déjà un niveau que peu d’entreprises atteignent.
En résumé, la marche à suivre tient en cinq gestes : installez un gestionnaire de mots de passe digne de ce nom, protégez-le par une phrase de passe de plusieurs mots tirés au hasard, laissez le logiciel générer un mot de passe unique pour chaque compte, mettez la phrase maître à l’abri en double exemplaire et changez vos mots de passe importants régulièrement. Commencez par vos comptes sensibles, la messagerie d’abord, puis la banque, l’assurance et les impôts : c’est là que se joue tout le reste.
