Ce qui rend un mot de passe réellement solide
Une seule chose compte vraiment : la longueur. Un mot de passe de 16 caractères aléatoires est incomparablement plus résistant qu'un mot de passe de 8 caractères bourré de symboles. Chaque caractère supplémentaire multiplie le nombre de combinaisons à essayer.
Les règles héritées des années 2000 — une majuscule, un chiffre, un caractère spécial — produisent surtout des mots de passe que les humains contournent toujours de la même façon : Password1!, Julien2024$. Les attaquants connaissent ces schémas par cœur.
Quelle longueur choisir
| Usage | Longueur conseillée |
|---|---|
| Compte sans enjeu (forum, newsletter) | 12 caractères |
| Compte courant (réseaux sociaux, e-commerce) | 16 caractères |
| Messagerie principale, banque, administration | 20 caractères ou plus |
| Mot de passe maître d'un gestionnaire | une phrase de passe de 5-6 mots |
La messagerie principale mérite le plus long de tous : c'est elle qui permet de réinitialiser tous les autres comptes. Qui la contrôle contrôle le reste.
Mot de passe aléatoire ou phrase de passe ?
Les deux fonctionnent, mais pas pour le même usage. Un mot de passe aléatoire est plus court à stocker et parfait quand un gestionnaire le retient à votre place. Une phrase de passe — quatre à six mots sans rapport entre eux, du type chaise-vinaigre-tramway-orage — est mémorisable et reste très résistante grâce à sa longueur.
En pratique : une phrase de passe pour le mot de passe maître et le déverrouillage de la session, des mots de passe aléatoires générés pour tout le reste.
Les erreurs qui annulent tout
- Réutiliser le même mot de passe. C'est de loin la faille numéro un : une fuite chez un petit site donne accès à votre messagerie. Vérifiez vos adresses sur un service de suivi de fuites.
- Le modifier tous les trois mois. Cette règle a été abandonnée par les référentiels de sécurité : elle pousse à des variantes triviales (
Ete2026,Ete2026!). On ne change un mot de passe qu'en cas de suspicion de fuite. - Le stocker dans un fichier ou un carnet. Un gestionnaire de mots de passe chiffré fait le travail correctement.
- Se passer de double authentification. Même parfait, un mot de passe seul ne protège pas d'un hameçonnage réussi.
Généré dans votre navigateur
Le mot de passe est produit localement par le générateur d'aléa cryptographique de votre navigateur (crypto.getRandomValues). Il n'est jamais envoyé sur un serveur, jamais enregistré, jamais journalisé — rafraîchir la page suffit à le faire disparaître définitivement.