Créer un mot de passe fort : longueur, entropie et la solution gestionnaire

Le conseil entendu cent fois — mélanger majuscules, chiffres, symboles — n'est pas faux, mais c'est un facteur secondaire. Après avoir testé 8 gestionnaires de mots de passe et étudié des bases de données de fuites, le constat est clair : la plupart des mots de passe cassés étaient courts (moins de 14 caractères) ou réutilisés, pas parce qu'il leur manquait un point d'exclamation.

Voici ce qui rend vraiment un mot de passe fort, expliqué sans jargon.

La longueur prime sur la complexité. L'unicité prime sur la longueur. Un gestionnaire gère les deux automatiquement.

01 — Comment créer un mot de passe vraiment fort ?

Un mot de passe fort combine longueur (16+ caractères), unicité par site, et vraie aléatoire. La méthode la plus fiable : utiliser un gestionnaire de mots de passe pour générer une chaîne aléatoire de 20 caractères par site (tK3#mRpQ$wLnXb8v). Pour ton seul mot de passe maître à mémoriser : une passphrase Diceware de 6 mots (cave-invoquer-mousse-effroi-couverture-gémir ≈ 78 bits d'entropie). Éviter : mots du dictionnaire, dates, substitutions type p@ssw0rd — ces patterns sont les premiers testés par les outils de cracking.

02 — Pourquoi la longueur est la vraie variable

La solidité d'un mot de passe se mesure en bits d'entropie — le nombre de choix aléatoires qui ont servi à le créer. Chaque bit supplémentaire double l'espace de recherche qu'un attaquant doit couvrir.

Exemple concret :

La colonne qui compte est la dernière. Eté@2024! semble complexe et respecte les règles de complexité la plupart des sites exigent. Mais il tombe en quelques minutes parce que les outils de cracking appliquent systématiquement ces mêmes règles.

La formule : chaque 3 caractères supplémentaires d'un mot de passe aléatoire ajoutent ~20 bits d'entropie. Passer de 12 à 16 caractères est le changement unique le plus impactant que tu puisses faire.

02 — L'entropie expliquée simplement

Pense à l'entropie comme au nombre de mots de passe possibles selon la façon dont le tien a été construit :

• 6 caractères minuscules uniquement (singe) : 26^6 = 308 millions de combinaisons. Un GPU règle ça en secondes.
• 8 caractères mixtes + chiffres (MonChien7Q) : 62^8 = 218 billions de combinaisons. Matériel rapide : quelques heures.
• 16 caractères entièrement aléatoires (tK3#mRpQ$wLnXb8v) : 95^16 = 4×10^31 combinaisons. Hors de portée de tout attaquant.

L'erreur la plus fréquente : utiliser un vrai mot comme base. Les attaquants ne testent pas chaque combinaison de caractères — ils commencent par des dictionnaires des 10 milliards de mots de passe les plus courants, identifiants volés, noms, mots, puis appliquent des règles de mutation. P@ssw0rd! tombe en moins d'une seconde parce qu'il est DANS ces dictionnaires.

Aléatoire = imprévisible. C'est la seule chose que l'entropie mesure.

03 — La méthode Diceware / Phrase de passe

Si tu as besoin d'un mot de passe que tu peux vraiment taper et retenir (ton mot de passe maître pour un gestionnaire, ou ton login ordinateur), une phrase de passe est la meilleure option.

Méthode :

1. Prends un dé physique (ou utilise l'outil diceware en ligne de l'EFF)
2. Lance 5 fois pour générer un nombre comme 25341
3. Cherche le mot dans la EFF Large Wordlist (ou son équivalent français)
4. Répète pour 5-6 mots
5. Sépare avec des tirets ou espaces

Résultat : quelque chose comme cave-invoquer-mousse-effroi-couverture-gémir

• 5 mots : ~65 bits d'entropie
• 6 mots : ~78 bits d'entropie (équivalent à un mot de passe entièrement aléatoire de 13 caractères)
• Complètement mémorisable
• Aucun pattern exploitable par un attaquant

Pourquoi ça marche : les mots ont été choisis par vraie aléatoire (un dé physique), pas par ton cerveau. Les choix humains sont prévisibles — on choisit des mots qu'on connaît, des choses qu'on aime, des dates qui comptent. Un dé ne le fait pas.

04 — Les erreurs courantes qui sapent un mot de passe fort

Comprendre ce qui rend un mot de passe faible est aussi important que savoir ce qui le rend fort.

Substitutions prévisibles : p@ssword, 3mail, s3cur1ty — ces remplacements de caractères sont dans les règles de cracking depuis 15 ans. Ils n'apportent presque rien contre les outils modernes.

Chiffres et symboles ajoutés en fin : Mot de passe123!, Eté2024#. Les logiciels de cracking ajoutent les nombres 1-9999 et tous les symboles courants en premier passage. Prend des secondes.

Informations personnelles : dates d'anniversaire, noms d'animaux, équipes sportives, prénoms d'enfants. Ce sont les bases des attaques ciblées (spear-phishing) et souvent déjà dans les profils des data brokers.

Patterns clavier : azerty, 123456, qsdfghjklm. Attaqués en premier, à chaque fois.

Réutilisation sur plusieurs sites : c'est le tueur silencieux. Lorsqu'un des centaines de sites que tu utilises subit une fuite (et les fuites arrivent constamment — Have I Been Pwned recense 14 milliards d'identifiants volés), les attaquants testent ces paires identifiant/mot de passe sur tous les grands services automatiquement. Un mot de passe réutilisé = un point de défaillance unique pour toute ta vie numérique.

05 — Critères d'évaluation : ce qu'on a comparé pour ce guide

Pour étayer les affirmations de cet article, nous avons comparé 4 dimensions sur 8 gestionnaires à partir du comportement documenté et de sources publiques :

Longueur de mot de passe testée

Nous avons généré des échantillons de 1 000 mots de passe pour chaque gestionnaire à différentes longueurs (8, 12, 16, 20, 32 caractères) et mesuré l'entropie réelle avec l'outil zxcvbn (Dropbox) et un calcul direct log₂(N)^L. Résultats :

Recommandation issue des tests : configurer son gestionnaire sur 20 caractères par défaut (pas 16 — l'effort mémorisation est identique car le gestionnaire retient à ta place).

Types de caractères : impact réel sur l'entropie

Test réalisé sur un jeu de 1 000 mots de passe de 16 caractères :

Conclusion : l'ajout de symboles ajoute ~9 bits par rapport aux alphanumériques seuls sur 16 caractères. Soit l'équivalent de 1-2 caractères supplémentaires. La longueur est le levier dominant ; les types de caractères sont un amplificateur secondaire.

Algorithme de génération : crypto.getRandomValues vs Math.random

Un point critique souvent ignoré : la qualité du générateur aléatoire utilisé.

• Math.random() (JavaScript) : pseudo-aléatoire, pas cryptographiquement sûr. Utilisé par certains générateurs en ligne bas de gamme. À éviter absolument pour des mots de passe.
• crypto.getRandomValues() (Web Crypto API) : CSPRNG alimenté par le système d'exploitation (Windows CryptGenRandom, Linux /dev/urandom, macOS SecRandomCopyBytes). Standard actuel pour les gestionnaires sérieux.
• /dev/urandom (Linux/macOS natif) : même source côté serveur. Tous les gestionnaires sérieux (Bitwarden, 1Password, NordPass) utilisent l'équivalent système.

Notre générateur de mots de passe utilise exclusivement crypto.getRandomValues() — vérifiable en inspectant le code source de la page (aucune requête réseau lors de la génération).

Stockage local vs cloud : compromis sécurité/praticité

Verdict des tests : pour 95 % des utilisateurs, le cloud zero-knowledge audité (Bitwarden, NordPass, 1Password) offre le meilleur équilibre. Le local pur (KeePassXC) est pertinent uniquement pour les profils à risque élevé (journalistes, dissidents) ou les usages sans besoin de sync mobile. Le self-host est une bonne option pour les profils techniques qui veulent contrôle + praticité.

06 — Pourquoi un gestionnaire de mots de passe est la vraie solution

L'objectif de la sécurité des mots de passe est d'avoir un mot de passe unique, aléatoire et long pour chaque compte. C'est genuinement impossible à faire de tête une fois qu'on a 50+ comptes.

Un gestionnaire de mots de passe résout ça entièrement :

1. Générateur : crée un mot de passe aléatoire de 20 caractères à la demande (tK3#mRpQ$wLnXb8v) — tu ne le vois ou penses plus jamais à lui. Tu peux en générer un immédiatement avec notre générateur de mots de passe gratuit
2. Coffre chiffré : stocke tout derrière un chiffrement AES-256 ou XChaCha20, modèle zéro connaissance (le fournisseur ne peut pas voir tes mots de passe)
3. Remplissage automatique : remplit le bon mot de passe sur le bon site — protège aussi contre le phishing (si l'URL ne correspond pas, il ne remplit pas)
4. Alertes de fuite : surveille tes e-mails dans les bases de données d'identifiants volés, t'avertit quand un site que tu utilises est compromis

Tu dois mémoriser seulement un mot de passe : ton mot de passe maître. Fais-en une phrase de passe Diceware de 6 mots. Note-la sur papier dans un endroit sûr. C'est tout.

07 — Comparer les meilleures options

Trois gestionnaires qui valent le détour à différents prix :

Bitwarden (gratuit ou 10 USD/an Premium)

• Open source, code audité publiquement par Cure53 et Insight Risk
• Plan gratuit illimité sur tous les appareils — sans astérisque
• Excellent choix pour les utilisateurs soucieux de leur confidentialité ou techniques
• Auto-hébergeable avec Vaultwarden

Proton Pass (gratuit ou 1,99 €/mois Pass Plus)

• Clients open source, juridiction suisse
• Intégré à l'écosystème Proton (Mail, VPN, Drive)
• Bonne option si tu utilises déjà des services Proton

NordPass (1,49 €/mois en plan 2 ans)

• UX moderne et soignée avec biométrie native
• Chiffrement XChaCha20 + Argon2id
• Audits Cure53 2022 + SOC 2 Type 2 publiés
• Écosystème Nord Security (NordVPN, NordLocker)

Les trois génèrent des mots de passe aléatoires forts et les stockent en sécurité. Le bon choix dépend de ton écosystème existant et de combien tu veux payer.

Consulte notre comparatif des meilleurs gestionnaires de mots de passe 2026 pour le benchmark complet, et notre avis détaillé sur Bitwarden pour un regard technique approfondi sur le modèle de sécurité de Bitwarden.

08 — Plan d'action pratique

Si tu ne retiens qu'une chose de ce guide :

1. Aujourd'hui : Vérifie haveibeenpwned.com avec ton e-mail principal. Si une fuite apparaît, change ces mots de passe immédiatement. Utilise notre testeur de solidité de mot de passe pour évaluer tes mots de passe actuels avant de les remplacer.
2. Cette semaine : Installe Bitwarden (gratuit). Importe tes mots de passe enregistrés depuis ton navigateur. Il gère la migration automatiquement.
3. Désormais : À chaque création de compte ou mise à jour de mot de passe, laisse le gestionnaire le générer. Ne tape plus jamais quelque chose que tu as inventé toi-même.
4. Mot de passe maître : Crée une phrase de passe Diceware de 6 mots. Note-la sur papier dans un endroit sûr. Ne la stocke nulle part en numérique.

Le problème des mots de passe est un problème résolu — les gestionnaires l'ont résolu. La seule étape qui reste est d'en utiliser un.

Consulte notre comparatif Proton Pass vs Bitwarden si tu hésites entre les deux options open source.

Pour une référence rapide des termes techniques de ce guide (entropie, PBKDF2, Argon2id, force brute, credential stuffing), consulte le glossaire sécurité des mots de passe PwdFortress.

PwdFortress peut recevoir une commission sur les achats effectués via les liens de cet article. Cela n'affecte pas nos recommandations éditoriales — tous les gestionnaires mentionnés sont comparés selon les mêmes critères.