Le conseil entendu cent fois - mélanger majuscules, chiffres, symboles - n'est pas faux, mais c'est un facteur secondaire. En examinant la façon dont les gestionnaires de mots de passe sont conçus et les bases de données publiques de fuites, le constat est clair : la plupart des mots de passe cassés étaient courts (moins de 14 caractères) ou réutilisés, pas parce qu'il leur manquait un point d'exclamation.
La longueur compte à cause des attaques par force brute - chaque caractère rend le devinage exponentiellement plus dur.
Et une fois fort, inutile de le changer souvent - voyez à quelle fréquence changer son mot de passe.
Bloqué à l'instant ? Notre guide mot de passe oublié, que faire peut aider.
Voici ce qui rend vraiment un mot de passe fort, expliqué sans jargon.
La longueur prime sur la complexité. L'unicité prime sur la longueur. Un gestionnaire gère les deux automatiquement.
01 - Comment créer un mot de passe vraiment fort ?
Un mot de passe fort combine longueur (16+ caractères), unicité par site, et vraie aléatoire. La méthode la plus fiable : utiliser un gestionnaire de mots de passe pour générer une chaîne aléatoire de 20 caractères par site (tK3#mRpQ$wLnXb8v). Pour ton seul mot de passe maître à mémoriser : une passphrase Diceware de 6 mots (cave-invoquer-mousse-effroi-couverture-gémir ≈ 78 bits d'entropie). Éviter : mots du dictionnaire, dates, substitutions type p@ssw0rd - ces patterns sont les premiers testés par les outils de cracking.
02 - Pourquoi la longueur est la vraie variable
La solidité d'un mot de passe se mesure en bits d'entropie - le nombre de choix aléatoires qui ont servi à le créer. Chaque bit supplémentaire double l'espace de recherche qu'un attaquant doit couvrir.
Exemple concret :
| Mot de passe | Caractères | Entropie | Temps de cassage à 10 Md tentatives/s |
|---|---|---|---|
Eté24 | 5 | ~15 bits | Moins d'une seconde |
Été@2024! | 9 | ~30 bits | Quelques minutes |
cheval-correct-stable | 21 | ~60 bits | 36 000 ans |
| Aléatoire 16 car. (mixte) | 16 | ~95 bits | Fin de l'univers |
La colonne qui compte est la dernière. Eté@2024! semble complexe et respecte les règles de complexité la plupart des sites exigent. Mais il tombe en quelques minutes parce que les outils de cracking appliquent systématiquement ces mêmes règles.
La formule : chaque 3 caractères supplémentaires d'un mot de passe aléatoire ajoutent ~20 bits d'entropie. Passer de 12 à 16 caractères est le changement unique le plus impactant que tu puisses faire.
02 - L'entropie expliquée simplement
Pense à l'entropie comme au nombre de mots de passe possibles selon la façon dont le tien a été construit :
- 6 caractères minuscules uniquement (
singe) : 26^6 = 308 millions de combinaisons. Un GPU règle ça en secondes. - 8 caractères mixtes + chiffres (
MonChien7Q) : 62^8 = 218 billions de combinaisons. Matériel rapide : quelques heures. - 16 caractères entièrement aléatoires (
tK3#mRpQ$wLnXb8v) : 95^16 = 4×10^31 combinaisons. Hors de portée de tout attaquant.
L'erreur la plus fréquente : utiliser un vrai mot comme base. Les attaquants ne testent pas chaque combinaison de caractères - ils commencent par des dictionnaires des 10 milliards de mots de passe les plus courants, identifiants volés, noms, mots, puis appliquent des règles de mutation. P@ssw0rd! tombe en moins d'une seconde parce qu'il est DANS ces dictionnaires.
Aléatoire = imprévisible. C'est la seule chose que l'entropie mesure.
03 - La méthode Diceware / Phrase de passe
Si tu as besoin d'un mot de passe que tu peux vraiment taper et retenir (ton mot de passe maître pour un gestionnaire, ou ton login ordinateur), une phrase de passe est la meilleure option.
Méthode :
- Prends un dé physique (ou utilise l'outil diceware en ligne de l'EFF)
- Lance 5 fois pour générer un nombre comme
25341 - Cherche le mot dans la EFF Large Wordlist (ou son équivalent français)
- Répète pour 5-6 mots
- Sépare avec des tirets ou espaces
Résultat : quelque chose comme cave-invoquer-mousse-effroi-couverture-gémir
- 5 mots : ~65 bits d'entropie
- 6 mots : ~78 bits d'entropie (équivalent à un mot de passe entièrement aléatoire de 13 caractères)
- Complètement mémorisable
- Aucun pattern exploitable par un attaquant
Pourquoi ça marche : les mots ont été choisis par vraie aléatoire (un dé physique), pas par ton cerveau. Les choix humains sont prévisibles - on choisit des mots qu'on connaît, des choses qu'on aime, des dates qui comptent. Un dé ne le fait pas.
04 - Les erreurs courantes qui sapent un mot de passe fort
Comprendre ce qui rend un mot de passe faible est aussi important que savoir ce qui le rend fort.
Substitutions prévisibles : p@ssword, 3mail, s3cur1ty - ces remplacements de caractères sont dans les règles de cracking depuis 15 ans. Ils n'apportent presque rien contre les outils modernes.
Chiffres et symboles ajoutés en fin : Mot de passe123!, Eté2024#. Les logiciels de cracking ajoutent les nombres 1-9999 et tous les symboles courants en premier passage. Prend des secondes.
Informations personnelles : dates d'anniversaire, noms d'animaux, équipes sportives, prénoms d'enfants. Ce sont les bases des attaques ciblées (spear-phishing) et souvent déjà dans les profils des data brokers.
Patterns clavier : azerty, 123456, qsdfghjklm. Attaqués en premier, à chaque fois.
Réutilisation sur plusieurs sites : c'est le tueur silencieux. Lorsqu'un des centaines de sites que tu utilises subit une fuite (et les fuites arrivent constamment - Have I Been Pwned recense 14 milliards d'identifiants volés), les attaquants testent ces paires identifiant/mot de passe sur tous les grands services automatiquement. Un mot de passe réutilisé = un point de défaillance unique pour toute ta vie numérique.
05 - Critères d'évaluation : sur quoi repose ce guide
Pour étayer les affirmations de cet article, on s'appuie sur la formule d'entropie standard (log₂(N)^L, où N est la taille du jeu de caractères et L la longueur), le comportement documenté des gestionnaires et des sources publiques :
Longueur de mot de passe et entropie
L'entropie croît avec la longueur. Le tableau ci-dessous applique le calcul standard log₂(N)^L pour un jeu de caractères complet :
| Longueur | Entropie typ. (jeu complet) | Verdict |
|---|---|---|
| 8 car. | ~52 bits | Insuffisant (crackable en quelques jours) |
| 12 car. | ~78 bits | Limite acceptable pour comptes secondaires |
| 16 car. | ~104 bits | Recommandé pour comptes importants |
| 20 car. | ~130 bits | Défaut courant des gestionnaires (recommandé) |
| 32 car. | ~208 bits | Pour mots de passe de chiffrement/API keys |
À retenir : configurer son gestionnaire sur 20 caractères par défaut (pas 16 - l'effort mémorisation est identique car le gestionnaire retient à ta place).
Types de caractères : impact réel sur l'entropie
La même formule appliquée à un mot de passe de 16 caractères selon le jeu de caractères :
| Jeu de caractères | Taille du jeu | Entropie (16 car.) |
|---|---|---|
| Minuscules uniquement | 26 | ~75 bits |
| + Majuscules | 52 | ~90 bits |
| + Chiffres | 62 | ~95 bits |
| + Symboles courants (~33) | 95 | ~104 bits |
| Jeu complet ASCII (~127) | 128 | ~112 bits |
Conclusion : l'ajout de symboles ajoute ~9 bits par rapport aux alphanumériques seuls sur 16 caractères. Soit l'équivalent de 1-2 caractères supplémentaires. La longueur est le levier dominant ; les types de caractères sont un amplificateur secondaire.
Algorithme de génération : crypto.getRandomValues vs Math.random
Un point critique souvent ignoré : la qualité du générateur aléatoire utilisé.
Math.random()(JavaScript) : pseudo-aléatoire, pas cryptographiquement sûr. Utilisé par certains générateurs en ligne bas de gamme. À éviter absolument pour des mots de passe.crypto.getRandomValues()(Web Crypto API) : CSPRNG alimenté par le système d'exploitation (Windows CryptGenRandom, Linux /dev/urandom, macOS SecRandomCopyBytes). Standard actuel pour les gestionnaires sérieux./dev/urandom(Linux/macOS natif) : même source côté serveur. Tous les gestionnaires sérieux (Bitwarden, 1Password, NordPass) utilisent l'équivalent système.
Notre générateur de mots de passe utilise exclusivement crypto.getRandomValues() - vérifiable en inspectant le code source de la page (aucune requête réseau lors de la génération).
Stockage local vs cloud : compromis sécurité/praticité
| Mode | Exemples | Avantages | Inconvénients |
|---|---|---|---|
| Local uniquement | KeePassXC (fichier .kdbx) | Aucune exposition serveur, contrôle total | Sync manuelle, pas de remplissage auto mobile sans effort |
| Cloud zero-knowledge | Bitwarden, NordPass, 1Password | Sync automatique tous appareils, remplissage auto, alertes breach | Dépend de la solvabilité du fournisseur + qualité du zero-knowledge |
| Cloud zero-knowledge + self-host | Bitwarden + Vaultwarden | Contrôle du serveur + sync auto | Maintenance serveur requise (mises à jour, sauvegardes) |
Verdict : pour la plupart des utilisateurs, le cloud zero-knowledge audité (Bitwarden, NordPass, 1Password) offre le meilleur équilibre. Le local pur (KeePassXC) est pertinent uniquement pour les profils à risque élevé (journalistes, dissidents) ou les usages sans besoin de sync mobile. Le self-host est une bonne option pour les profils techniques qui veulent contrôle + praticité.
06 - Pourquoi un gestionnaire de mots de passe est la vraie solution
L'objectif de la sécurité des mots de passe est d'avoir un mot de passe unique, aléatoire et long pour chaque compte. C'est genuinement impossible à faire de tête une fois qu'on a 50+ comptes.
Un gestionnaire de mots de passe résout ça entièrement :
- Générateur : crée un mot de passe aléatoire de 20 caractères à la demande (
tK3#mRpQ$wLnXb8v) - tu ne le vois ou penses plus jamais à lui. Tu peux en générer un immédiatement avec notre générateur de mots de passe gratuit - Coffre chiffré : stocke tout derrière un chiffrement AES-256 ou XChaCha20, modèle zéro connaissance (le fournisseur ne peut pas voir tes mots de passe)
- Remplissage automatique : remplit le bon mot de passe sur le bon site - protège aussi contre le phishing (si l'URL ne correspond pas, il ne remplit pas)
- Alertes de fuite : surveille tes e-mails dans les bases de données d'identifiants volés, t'avertit quand un site que tu utilises est compromis
Tu dois mémoriser seulement un mot de passe : ton mot de passe maître. Fais-en une phrase de passe Diceware de 6 mots. Note-la sur papier dans un endroit sûr. C'est tout.
Essayer Bitwarden gratuitement →Open source · Plan gratuit illimité · Sans limite d'appareils→07 - Comparer les meilleures options
Trois gestionnaires qui valent le détour à différents prix :
Bitwarden (gratuit ou 10 USD/an Premium)
- Open source, code audité publiquement par Cure53 et Insight Risk
- Plan gratuit illimité sur tous les appareils - sans astérisque
- Excellent choix pour les utilisateurs soucieux de leur confidentialité ou techniques
- Auto-hébergeable avec Vaultwarden
Proton Pass (gratuit ou 1,99 €/mois Pass Plus)
- Clients open source, juridiction suisse
- Intégré à l'écosystème Proton (Mail, VPN, Drive)
- Bonne option si tu utilises déjà des services Proton
NordPass (1,49 €/mois en plan 2 ans)
- UX moderne et soignée avec biométrie native
- Chiffrement XChaCha20 + Argon2id
- Audits Cure53 2022 + SOC 2 Type 2 publiés
- Écosystème Nord Security (NordVPN, NordLocker)
Les trois génèrent des mots de passe aléatoires forts et les stockent en sécurité. Le bon choix dépend de ton écosystème existant et de combien tu veux payer.
Consulte notre comparatif des meilleurs gestionnaires de mots de passe 2026 pour le benchmark complet, et notre avis détaillé sur Bitwarden pour un regard technique approfondi sur le modèle de sécurité de Bitwarden.
Essayer Proton Pass gratuitement →Open source · Juridiction suisse · Écosystème Proton→08 - Plan d'action pratique
Si tu ne retiens qu'une chose de ce guide :
- Aujourd'hui : Vérifie haveibeenpwned.com avec ton e-mail principal. Si une fuite apparaît, change ces mots de passe immédiatement. Utilise notre testeur de solidité de mot de passe pour évaluer tes mots de passe actuels avant de les remplacer.
- Cette semaine : Installe Bitwarden (gratuit). Importe tes mots de passe enregistrés depuis ton navigateur. Il gère la migration automatiquement.
- Désormais : À chaque création de compte ou mise à jour de mot de passe, laisse le gestionnaire le générer. Ne tape plus jamais quelque chose que tu as inventé toi-même.
- Mot de passe maître : Crée une phrase de passe Diceware de 6 mots. Note-la sur papier dans un endroit sûr. Ne la stocke nulle part en numérique.
Le problème des mots de passe est un problème résolu - les gestionnaires l'ont résolu. La seule étape qui reste est d'en utiliser un.
Consulte notre comparatif Proton Pass vs Bitwarden si tu hésites entre les deux options open source.
Pour une référence rapide des termes techniques de ce guide (entropie, PBKDF2, Argon2id, force brute, credential stuffing), consulte le glossaire sécurité des mots de passe PwdFortress.
PwdFortress peut recevoir une commission sur les achats effectués via les liens de cet article. Cela n'affecte pas nos recommandations éditoriales - tous les gestionnaires mentionnés sont comparés selon les mêmes critères.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Verrouille tes comptes → NordPassMots de passe forts et uniques · scanner de fuites · offre gratuite→Questions fréquentes
Qu'est-ce que l'entropie d'un mot de passe et pourquoi est-ce important ?
L'**entropie** (en bits) mesure l'imprévisibilité d'un mot de passe. Chaque bit supplémentaire **double** le nombre de tentatives nécessaires à un attaquant. Un mot de passe de 10 bits = 1 024 possibilités ; 60 bits = plus d'un milliard de milliards. Règle pratique NIST SP 800-63B : cibler 60-80 bits pour les comptes personnels (passphrase Diceware 5 mots ≈ 65 bits), 100+ bits pour un mot de passe maître. La longueur est le levier le plus efficace : 3 caractères supplémentaires aléatoires ≈ +20 bits.
Quelle longueur pour un mot de passe fort ?
**Au moins 16 caractères** pour les comptes qui comptent (e-mail, banque, mot de passe maître du gestionnaire). Les mots de passe de 12 caractères peuvent être cassés en moins d'une journée avec du matériel moderne sur des patterns courants. 16 caractères aléatoires donnent environ 95 bits d'entropie - il faudrait ~3,9×10^28 tentatives même à 10 milliards d'essais/seconde, bien au-delà des capacités d'attaque étatique.
Une phrase de passe est-elle plus solide qu'un mot de passe aléatoire ?
Une **phrase de passe Diceware de 5 mots** (ex. 'lunaire-gobelet-givre-paroisse-enclume') offre ~65 bits d'entropie et est beaucoup plus facile à retenir qu'une chaîne aléatoire de 12 caractères. 6 mots atteignent ~78 bits - équivalent à un mot de passe entièrement aléatoire de 13 caractères. Les deux sont solides ; les phrases de passe gagnent sur la mémorabilité. Pour tout le reste, laisse un gestionnaire générer une chaîne aléatoire de 20 caractères - pas besoin de mémorisation.
Ajouter des symboles et des chiffres rend-il un mot de passe plus fort ?
Ajouter des symboles **élargit l'espace de caractères** (de 26 à ~95 caractères), ce qui aide - mais l'effet est plus faible qu'on ne le croit. Passer de 'lettres uniquement' à 'lettres + chiffres + symboles' ajoute environ 15-20 bits d'entropie pour un mot de passe de 10 caractères. **Ajouter 4 caractères supplémentaires apporte autant**. Le vrai levier, c'est la longueur, pas la variété de caractères.
Qu'est-ce qui rend un mot de passe prévisible même s'il semble complexe ?
Les attaquants utilisent le **cracking par règles** : ils prennent un mot de base, puis appliquent des transformations connues (majuscule sur la première lettre, ajouter '123', substituer 'a' → '@', mettre '!' à la fin). 'P@ssword123!' tombe en secondes sur du matériel moderne. Tout mot de passe dérivé d'un vrai mot, nom, date ou pattern clavier est vulnérable peu importe les symboles saupoudrés.
Comment un gestionnaire de mots de passe aide-t-il à créer des mots de passe forts ?
Un gestionnaire a un **générateur de mots de passe aléatoires** intégré : clique sur 'Générer', il crée '3tK#m9nRpQvL$8wX' pour ce site, le stocke chiffré en AES-256 ou XChaCha20, et le remplit automatiquement la prochaine fois. Tu ne le vois ou tapes plus jamais. Tu mémorises seulement ton mot de passe maître (fais-en une phrase de passe de 6 mots). Bitwarden est gratuit et open source ; NordPass Premium offre une UX soignée à 1,49 €/mois.
Qu'est-ce que l'entropie et pourquoi est-elle importante pour les mots de passe ?
L'**entropie** (mesurée en bits) est la mesure mathématique de l'imprévisibilité d'un mot de passe. Chaque bit d'entropie double le nombre de tentatives nécessaires à un attaquant. Un mot de passe à 10 bits = 1 024 possibilités. Un à 60 bits = 1 152 921 504 606 846 976 possibilités. La recommandation NIST SP 800-63B met l'accent sur la longueur plutôt que sur des règles de complexité arbitraires. Cible pratique : 60-80 bits pour les comptes personnels, 100+ bits pour les mots de passe maîtres.
Peut-on vraiment faire confiance à un gestionnaire de mots de passe ?
Oui, sous trois conditions vérifiables : (1) **Modèle zero-knowledge** - le fournisseur ne peut techniquement pas accéder à tes mots de passe (le déchiffrement se fait localement, jamais côté serveur). (2) **Audits indépendants publiés** - cherche des audits Cure53, NCC Group ou Insight Risk datant de moins de 2 ans, accessibles publiquement. (3) **Historique propre** - NordPass, Bitwarden, 1Password et Proton Pass n'ont eu aucune compromission de coffre en activité. LastPass est la contre-référence : la brèche de décembre 2022 a exfiltré des coffres chiffrés de millions d'utilisateurs. Un gestionnaire audité en zero-knowledge est intrinsèquement plus sûr que d'inventer des mots de passe et les stocker dans un fichier texte ou un tableur.
Qu'est-ce que le zero-knowledge dans un gestionnaire de mots de passe ?
Le **modèle zero-knowledge** signifie que le fournisseur du gestionnaire n'a jamais accès à tes mots de passe en clair. Mécanisme : ton mot de passe maître sert à dériver une clé de chiffrement localement (via PBKDF2 ou Argon2id) ; ton coffre est chiffré sur ton appareil avant d'être envoyé aux serveurs. Le fournisseur reçoit et stocke un blob chiffré opaque - sans la clé dérivée de ton mot de passe maître, il ne peut rien déchiffrer. Conséquence : si les serveurs du fournisseur sont compromis, tes mots de passe restent inaccessibles. C'est ce qui distingue un vrai gestionnaire de mots de passe d'un simple outil de synchronisation.
