Un client m'appelle un matin, paniqué. Sa boîte mail professionnelle vient de servir à envoyer 400 messages de phishing à ses propres contacts. Le mot de passe ? « Brest2024! ». Le nom de sa ville, l'année de création de son entreprise, un point d'exclamation pour faire « sécurisé ». Il l'utilisait partout depuis onze ans.
Ce n'est pas un cas isolé. C'est même la norme. La plupart des gens que j'accompagne sur ce sujet ne manquent pas de vigilance : ils manquent d'un système. Ils connaissent la théorie du mot de passe long et unique, mais dans la pratique, ils retapent le même identifiant sur douze sites parce que personne ne leur a expliqué comment faire autrement sans y passer leurs soirées.
Alors voilà la promesse de cet article : vous repartez avec une méthode concrète pour créer des mots de passe solides, des exemples réels que vous pouvez copier, et une façon de les gérer qui tient debout sur la durée. Pas de la théorie qu'on oublie dans la semaine.
Points clés à retenir
- La longueur bat la complexité : 16 caractères aléatoires résistent infiniment mieux que 8 caractères « compliqués ».
- Un mot de passe unique par compte reste la règle non négociable. La réutilisation est ce qui transforme une petite fuite en catastrophe.
- La méthode de la phrase transformée donne d'excellents résultats sans générateur.
- Pour gérer plus de dix comptes sérieusement, un gestionnaire n'est pas un luxe : c'est la seule approche tenable.
- La double authentification rattrape la plupart des erreurs de mot de passe.
- En cas de fuite, l'ordre des actions compte : changer, révoquer, vérifier.
Comment créer un mot de passe vraiment solide (et pas juste « compliqué »)
Il faut qu'on casse un mythe tout de suite. Un mot de passe n'est pas solide parce qu'il contient des symboles bizarres. Il est solide parce qu'il est long et imprévisible.
Pourquoi ? Parce qu'un attaquant ne devine pas caractère par caractère. Il teste des milliards de combinaisons à la seconde avec du matériel dédié, en essayant d'abord les mots du dictionnaire, les variantes connues, les substitutions évidentes (« a » remplacé par « @ », « o » par « 0 »). Une machine ne se fatigue pas et ne s'énerve pas. Elle compte, simplement.
Le calcul est brutal : chaque caractère supplémentaire multiplie le nombre de combinaisons possibles. Passer de 8 à 12 caractères ne double pas la difficulté, elle explose. C'est pour ça que la recommandation de référence en France tourne autour de 12 caractères minimum, et que les gestionnaires sérieux poussent souvent vers 16 ou plus.
La différence entre longueur et complexité
Prenons deux exemples face à face.
| Mot de passe | Longueur | Faiblesse réelle |
|---|---|---|
| P@ssw0rd! | 9 caractères | Substitution classique, présent dans toutes les listes de mots de passe fuités |
| cheval-guitare-orage-71 | 24 caractères | Aucune connue : aléatoire, long, imprévisible |
| Brest2024! | 10 caractères | Ville + année, devinable en quelques minutes par un attaquant ciblé |
Vous voyez le piège ? Le premier « fait sérieux » mais tombe en une fraction de seconde. Le deuxième paraît naïf, il est bien plus costaud. La longueur écrase le reste.
Exemple de mot de passe sécurisé (à ne pas réutiliser tel quel)
Je vous donne des modèles, pas des mots de passe à copier. Dès qu'un exemple circule publiquement, il perd de sa valeur.
- Une suite de mots sans lien logique, séparés par des tirets : nuage-trombone-cactus-48
- Des caractères aléatoires générés : k7$Lm2Qz!vR9wTn4
- Une phrase d'ouverture de livre modifiée : IlEtaiT1eureEtLeNavirePartit
Comment créer un mot de passe avec 12 caractères ?
Douze caractères, c'est le seuil qui commence à devenir sérieux. Voici une méthode en trois étapes que j'utilise systématiquement :
- Choisissez trois mots courants sans rapport entre eux — par exemple « plage », « moteur », « silence ».
- Séparez-les par un symbole non évident, pas un espace : un tiret, un point, un underscore.
- Ajoutez deux chiffres et une majuscule placée de façon inattendue, pas en début de mot.
Résultat : plage-moteur6Silence. C'est 21 caractères, ça se retient en trente secondes, et ça n'apparaît dans aucune liste de fuite connue.
Faut-il passer par un générateur de mot de passe ?
Question qu'on me pose à chaque formation. Ma réponse est franche : oui, si vous utilisez un gestionnaire. Non, si vous comptez le mémoriser.
Le problème du générateur, c'est l'humain qui est derrière l'écran. Un mot de passe généré du type x8#Kp2!mQz9 est excellent en soi. Mais personne ne le retient. Alors on le note sur un post-it, on l'envoie par mail à soi-même, on le colle dans une note de téléphone. Et là, le gain de sécurité s'évapore complètement.
Les générateurs gratuits : utiles, avec une limite
Un générateur en ligne gratuit fait très bien le travail de création. Il produit une chaîne aléatoire, parfois vous indique sa solidité, et vous la copiez en un clic. Plusieurs sont proposés par des autorités publiques françaises, ce qui est rassurant sur l'intention.
La limite est ailleurs. Un générateur crée un mot de passe. Il ne le stocke pas, ne le retrouve pas, ne le remplace pas quand vous l'avez oublié trois semaines plus tard. Si vous générez dix identifiants sans gestionnaire, vous vous retrouvez avec dix choses impossibles à mémoriser et un carnet quelque part. Retour au point de départ.
Les « listes de mots de passe forts » : à fuir
Vous avez sûrement croisé des pages qui proposent une « liste de mots de passe forts gratuits ». Je comprends l'attrait : c'est simple, on copie, on colle. Mais un mot de passe qui figure dans une liste publique, consultée par des milliers de personnes, n'a plus rien de secret. Les attaquants lisent ces mêmes pages.
Une liste peut servir d'inspiration pour comprendre une structure. Jamais comme réservoir où piocher votre identifiant réel.
Gérer efficacement : la partie que tout le monde néglige
Créer un bon mot de passe, c'est facile. Le gérer sur cinquante comptes pendant des années, c'est là que ça se joue. Et c'est précisément là que la plupart des gens craquent.
Le gestionnaire de mots de passe, sans détour
Un gestionnaire fait une chose simple : il garde tous vos identifiants dans un coffre chiffré, protégé par un seul mot de passe maître que vous, vous connaissez. Vous n'avez plus qu'un secret à retenir, et il peut être très long.
Trois critères comptent vraiment au moment de choisir, et ce ne sont pas ceux qu'on met en avant :
- Le modèle de chiffrement : vos données doivent être illisibles même pour l'éditeur (on parle de « zero-knowledge »).
- La synchronisation entre appareils, sans laquelle vous abandonnerez au bout d'une semaine.
- L'export possible de vos données, pour ne pas être prisonnier si vous voulez partir.
Je ne vais pas vous donner un classement : le bon outil est celui que vous utiliserez tous les jours. Un gestionnaire moyen utilisé sérieusement protège mieux qu'un excellent outil ouvert deux fois par mois.
La double authentification, votre filet de sécurité
Même le meilleur mot de passe peut fuir. La double authentification (2FA) ajoute une seconde preuve au moment de la connexion, généralement un code temporaire généré par une application. Concrètement : même si quelqu'un connaît votre mot de passe, il ne peut pas se connecter sans ce second facteur.
Activez-la en priorité sur votre messagerie principale. C'est elle qui permet de réinitialiser tous vos autres comptes. Si votre boîte mail tombe, tout tombe.
Que faire quand un mot de passe fuite ?
C'est la situation que personne n'anticipe et qui fait le plus de dégâts. L'ordre des actions compte :
- Changez le mot de passe du compte concerné immédiatement, puis partout où vous l'aviez réutilisé.
- Révoquez les sessions actives : un attaquant déjà connecté le reste même après votre changement.
- Vérifiez les paramètres du compte — adresse de récupération, appareils de confiance, règles de transfert. Les pirates ajoutent souvent une règle de transfert invisible dans la messagerie.
- Activez la 2FA si ce n'était pas fait.
Mon client de tout à l'heure a mis deux jours à reprendre la main. Le changement de mot de passe a pris dix minutes. Le nettoyage des sessions et des règles cachées, le reste.
Trois erreurs que je vois systématiquement
D'abord, croire qu'un mot de passe « personnel » est plus sûr. Votre date de naissance, votre prénom d'enfant, le nom de votre chien : tout ça traîne sur vos réseaux sociaux. Un attaquant qui vous cible commence par là.
Ensuite, la variation paresseuse. Passer de Brest2024! à Brest2025! n'est pas changer de mot de passe. C'est recycler le même avec une couche de peinture.
Enfin, le carnet papier « rangé dans un tiroir ». Franchement, si vous vivez seul et que personne n'accède à votre bureau, ce n'est pas le pire scénario — je l'ai dit à une cliente qui refusait tout gestionnaire, et son carnet a tenu cinq ans sans incident. Mais dès qu'on partage un logement ou qu'on a des enfants, la donne change. Le carnet n'est pas un système, c'est un sursis.
Le vrai changement, c'est le système
La bonne nouvelle : tout ça s'apprend en une soirée. Créez un mot de passe maître long et mémorisable, installez un gestionnaire, importez vos comptes un par un, activez la 2FA sur les cinq plus critiques. Comptez deux heures pour la première fois, dix minutes ensuite.
Ce qui reste après, c'est une question qu'il faut se poser honnêtement : combien de vos comptes, aujourd'hui, partagent encore le même mot de passe qu'un site dont vous ne vous souvenez même plus ? Chaque compte oublié est une porte laissée entrouverte sur tout le reste. C'est rarement celui auquel on pense qui pose problème — c'est celui qu'on a oublié depuis des années.
