Qu'est-ce qu'une attaque par force brute ? Fonctionnement et défenses (2026)

L'attaque par force brute est la méthode de piratage la plus basique qui soit — et toujours l'une des plus courantes, car elle continue de fonctionner contre les mots de passe faibles. Aucune faille, aucune ruse : juste un ordinateur qui devine des mots de passe, très vite, jusqu'à en trouver un. Ce guide explique comment ces attaques fonctionnent, les types principaux, pourquoi elles réussissent encore, et les défenses qui les arrêtent vraiment.

La définition courte

Une attaque par force brute tente de deviner un mot de passe (ou une clé) en essayant systématiquement un nombre énorme de combinaisons jusqu'à trouver la bonne. Les attaquants l'automatisent : un programme peut faire des milliers ou des millions de tentatives bien plus vite qu'un humain. Elle n'exploite pas une faille logicielle — elle exploite les mots de passe faibles et les systèmes de connexion qui laissent deviner sans limite.

Comment ça marche

L'attaquant dirige un logiciel vers une page de connexion ou un fichier volé de mots de passe brouillés (hachés) et le laisse parcourir les candidats. La force du mot de passe cible décide de tout : chaque caractère supplémentaire multiplie le nombre de possibilités, donc le temps de devinage croît de façon explosive avec la longueur. Un mot de passe court ou courant peut tomber presque instantanément ; un long aléatoire peut exiger plus d'essais qu'il n'est réalistement atteignable.

Les types principaux

La « force brute » est en réalité une famille de techniques liées :

• Force brute simple — essayer toutes les combinaisons de caractères possibles, des plus courtes aux plus longues. Exhaustive mais lente contre les mots de passe longs.
• Attaque par dictionnaire — tester d'abord une liste de mots de passe probables (mots courants, noms, mots de passe fuités, schémas prévisibles), car la plupart des mots de passe faibles viennent d'un petit ensemble.
• Credential stuffing — réutiliser de vrais couples identifiant-mot de passe fuités d'autres violations, en pariant sur la réutilisation. Rapide et efficace contre la réutilisation.
• Password spraying — essayer quelques mots de passe très courants contre de nombreux comptes, pour passer sous les seuils de verrouillage qui se déclenchent sur les échecs répétés d'un seul compte.

Pourquoi la force brute marche encore

Si c'est si rudimentaire, pourquoi ça persiste ? Parce que le maillon faible est rarement le calcul — ce sont les habitudes humaines et les systèmes laxistes :

• Les mots de passe courts ou courants tombent à une attaque par dictionnaire en un instant.
• Les mots de passe réutilisés font qu'une seule fuite donne aux attaquants une clé valide pour vos autres comptes.
• Les pages de connexion sans limitation de débit ni verrouillage laissent deviner indéfiniment.

La force brute ne bat pas les mots de passe forts et uniques — elle récolte les faibles et les réutilisés.

Ce qui rend un mot de passe résistant à la force brute

Deux propriétés : la longueur et le caractère aléatoire. Ensemble, elles créent une forte entropie — tant de combinaisons possibles que le devinage devient impraticable. Un mot de passe long et généré aléatoirement n'est pas « impossible » à forcer en théorie ; cela prend simplement un temps si astronomique qu'aucun attaquant ne s'y attelle. La prévisibilité est l'ennemie : un long mot de passe bâti sur une citation ou un schéma est bien plus faible que sa longueur ne le suggère.

Comment vous défendre

Les défenses sont simples et se cumulent :

• Utilisez des mots de passe longs et uniques. La méthode pratique est un gestionnaire de mots de passe qui génère et stocke un mot de passe aléatoire pour chaque compte — rien de court, devinable ou réutilisé. Cette seule habitude bat d'un coup les attaques par dictionnaire et le credential stuffing.
• Activez la double authentification. Même un mot de passe correctement deviné échoue sans le second facteur. Préférez une appli d'authentification ou une passkey au SMS.
• Ne réutilisez jamais vos mots de passe. La réutilisation transforme la fuite d'un site en passe-partout pour le reste de vos comptes.

Côté service, la limitation de débit, le verrouillage de compte et un stockage des mots de passe correctement haché-et-salé émoussent encore ces attaques — mais en tant qu'utilisateur, longueur + unicité + 2FA est ce qui rend le forçage de vos comptes non rentable.

Le verdict

Une attaque par force brute, c'est du devinage automatisé tout simple — et elle ne reste efficace que parce que les mots de passe faibles et réutilisés continuent de la nourrir. Rendez chaque mot de passe long, aléatoire et unique (un gestionnaire le fait pour vous), ajoutez la double authentification, et le calcul penche nettement en votre faveur : deviner votre mot de passe devient un travail qu'aucun attaquant ne peut réalistement terminer.