Comment créer des mots de passe forts en 2026 : guide complet

Malgré l'essor de la biométrie et des passkeys, les mots de passe restent la méthode d'authentification principale pour la grande majorité des comptes en ligne. Selon le rapport Verizon Data Breach Investigations 2025, plus de 80 % des violations liées au piratage impliquent des identifiants faibles ou volés. Cela signifie que votre mot de passe est souvent la seule barrière entre vos données privées et un attaquant.

Les attaquants modernes utilisent des outils de force brute accélérés par GPU capables de tester des milliards de combinaisons par seconde. Un simple mot de passe de 8 caractères en minuscules peut être craqué en moins de 5 minutes. Cependant, un mot de passe bien construit de 16 caractères avec des types de caractères mixtes prendrait des siècles à casser avec la technologie actuelle.

La bonne nouvelle est que créer un mot de passe fort ne nécessite pas de mémoriser des chaînes aléatoires de caractères. Les approches modernes comme les phrases secrètes et les gestionnaires rendent la sécurité à la fois accessible et pratique. Ce guide vous accompagne à travers chaque technique recommandée par les principaux standards de sécurité.

L'entropie est une mesure mathématique de l'imprévisibilité d'un mot de passe. Elle se mesure en bits : un mot de passe avec 40 bits d'entropie possède 2^40 (environ 1 billion) combinaisons possibles. Les experts en sécurité recommandent généralement un minimum de 60 bits pour les comptes standard et 80+ bits pour les cibles à haute valeur comme la banque ou le courriel.

La formule est simple : entropie = log2(taille_du_pool^longueur). Un mot de passe de 12 caractères utilisant des majuscules (26), des minuscules (26), des chiffres (10) et des symboles (33) puise dans un ensemble de 95 caractères. Cela donne environ 79 bits d'entropie — une protection solide contre les attaques hors ligne.

Cependant, l'entropie suppose que le mot de passe est véritablement aléatoire. Un mot de passe comme "Password123!" utilise techniquement les quatre classes de caractères mais a une entropie effective quasi nulle car il suit un modèle prévisible. Les attaquants maintiennent des dictionnaires de millions de tels modèles courants et les testent en premier.

Le National Institute of Standards and Technology (NIST) a mis à jour ses directives d'identité numérique (SP 800-63B) pour refléter la recherche moderne sur la sécurité des mots de passe. Ces directives sont devenues la référence pour les organisations du monde entier.

Les recommandations clés du NIST incluent : autoriser les mots de passe jusqu'à 64 caractères ; exiger un minimum de 8 caractères (12+ recommandé) ; NE PAS imposer de règles de complexité arbitraires (comme exiger majuscule + chiffre + symbole) ; NE PAS exiger de changements périodiques de mot de passe sauf en cas de preuve de compromission ; vérifier les mots de passe contre les listes de fuites connues ; et prendre en charge la fonction coller dans les champs de mot de passe.

La raison de l'abandon des règles de complexité est convaincante : la complexité forcée amène les utilisateurs à créer des modèles prévisibles comme "Spring2026!" ou "P@ssw0rd" — des mots de passe qui satisfont les règles mais sont trivialement craqués. Au lieu de cela, le NIST met l'accent sur la longueur et l'imprévisibilité comme principaux facteurs de sécurité.

Le NIST recommande également que les organisations mettent en place une limitation du nombre de tentatives de connexion, utilisent l'authentification multifacteur (MFA) et hachent les mots de passe stockés avec des algorithmes modernes comme Argon2id ou bcrypt avec des facteurs de travail appropriés.

Une phrase secrète est une séquence de mots aléatoires enchaînés, comme "correct-horse-battery-staple" (le célèbre exemple XKCD). Lorsqu'elle est générée correctement — en utilisant une liste d'au moins 7 776 mots (comme la liste EFF Diceware) — chaque mot ajoute environ 12,9 bits d'entropie.

Une phrase de quatre mots fournit environ 52 bits d'entropie, tandis qu'une phrase de six mots atteint environ 78 bits — comparable à un mot de passe aléatoire de 12 caractères mais beaucoup plus facile à taper et à retenir. Pour les comptes critiques, utilisez cinq ou six mots.

Règles importantes pour les phrases secrètes : utilisez une méthode de sélection véritablement aléatoire (dés ou un générateur cryptographique — ne choisissez jamais les mots vous-même) ; évitez les citations célèbres, paroles de chansons ou titres de livres ; ajoutez un séparateur entre les mots (tirets, points ou espaces) ; et envisagez de mettre une majuscule à un mot aléatoire ou d'insérer un chiffre pour une entropie supplémentaire sans sacrifier la mémorabilité.

Pour les comptes quotidiens, utilisez un gestionnaire de mots de passe pour générer et stocker des mots de passe aléatoires uniques de 16 caractères ou plus. Votre gestionnaire gère la complexité, donc chaque mot de passe peut être maximalement aléatoire sans aucun effort de mémorisation.

Pour votre mot de passe maître (le seul que vous devez mémoriser), utilisez la méthode de phrase secrète : lancez des dés ou utilisez un générateur cryptographique pour sélectionner 5-7 mots aléatoires d'une grande liste. Notez-le et conservez le papier dans un endroit physique sûr jusqu'à ce que vous l'ayez mémorisé, puis détruisez le papier.

Pour les comptes où vous ne pouvez pas utiliser de gestionnaire (comme votre connexion ordinateur ou le PIN de téléphone), créez une phrase facile à taper rapidement. Entraînez-vous à la taper plusieurs fois pour développer la mémoire musculaire. Une phrase comme "érable-tonnerre-girafe-prise-22" est à la fois forte et facile à taper.

Ne réutilisez jamais les mots de passe entre les comptes. Si un service subit une fuite, les attaquants essaieront automatiquement ces identifiants sur des centaines d'autres sites — une technique appelée credential stuffing. Un mot de passe unique pour chaque compte limite le rayon d'impact de toute fuite individuelle.

Utiliser des informations personnelles est l'erreur la plus courante et la plus dangereuse. Les noms de famille, animaux de compagnie, dates de naissance, anniversaires, numéros de téléphone et adresses sont facilement découvrables via les réseaux sociaux. Les attaquants construisent des dictionnaires personnalisés à partir de vos données publiques avant toute tentative de force brute.

Les motifs de clavier comme "azerty", "123456", "zxcvbn" ou "1qaz2wsx" semblent sécurisés car ils paraissent aléatoires, mais ils figurent parmi les premiers motifs testés par les outils de cracking. De même, les substitutions simples (@ pour a, 3 pour e, 0 pour o) n'ajoutent pratiquement aucune sécurité car tout outil de cracking inclut ces transformations leet-speak.

Incrémenter les mots de passe lors de changements forcés (Password1 → Password2 → Password3) n'apporte aucune amélioration réelle de sécurité. Si un attaquant obtient une version quelconque, il peut trivialement deviner les autres. C'est précisément pourquoi le NIST recommande désormais de ne pas imposer de changements périodiques obligatoires.

Un gestionnaire de mots de passe génère, stocke et remplit automatiquement des mots de passe aléatoires uniques pour chaque compte. Les options principales incluent 1Password, Bitwarden (open source) et KeePass (hors ligne). Chacun utilise le chiffrement AES-256 pour protéger votre coffre-fort, avec votre mot de passe maître comme clé de déchiffrement.

L'avantage principal est d'éliminer complètement la réutilisation des mots de passe. Avec un gestionnaire, chaque compte obtient un mot de passe aléatoire unique de 20+ caractères. Vous n'avez qu'à mémoriser un seul mot de passe maître fort. La plupart des gestionnaires vous alertent également lorsque des mots de passe apparaissent dans des bases de données de fuites connues.

Choisissez un gestionnaire qui prend en charge vos appareils et navigateurs, offre un accès d'urgence pour les contacts de confiance et a fait l'objet d'audits de sécurité indépendants. Bitwarden est une excellente option gratuite avec un code open source que n'importe qui peut auditer. Pour les équipes, 1Password Business ou Bitwarden Organizations offrent des fonctionnalités de coffre-fort partagé.

Même le mot de passe le plus fort peut être compromis par le phishing, les keyloggers ou les fuites côté serveur. L'authentification multifacteur (MFA) ajoute une seconde étape de vérification — généralement un mot de passe temporaire basé sur le temps (TOTP) depuis une application comme Google Authenticator ou Authy, ou une clé de sécurité matérielle comme YubiKey.

Activez la MFA sur chaque compte qui la prend en charge, en priorité sur le courriel (votre centre de récupération), la banque, le stockage cloud et les réseaux sociaux. Les clés de sécurité matérielles (FIDO2/WebAuthn) offrent la protection la plus forte contre le phishing car elles vérifient le domaine réel du site web avant l'authentification.

Conservez vos codes de secours MFA dans votre gestionnaire de mots de passe ou dans un autre emplacement sécurisé séparé. Perdre l'accès à votre appareil MFA sans codes de secours peut vous bloquer définitivement hors de vos comptes.