Politique de mots de passe : ce qui protège vraiment
Mis à jour le
Une politique de mots de passe efficace repose sur quatre règles : exiger de la longueur plutôt que de la complexité, refuser les mots de passe déjà compromis, ne plus imposer de changement périodique et ajouter un second facteur d'authentification. Les règles de composition classiques — une majuscule, un chiffre, un symbole — apportent beaucoup moins qu'on ne le croit.
La longueur pèse plus que la complexité
La résistance d'un mot de passe aléatoire se mesure en bits d'entropie : sa longueur multipliée par le logarithme en base 2 de la taille de l'alphabet. Passer de 62 caractères possibles (lettres et chiffres) à 94 (avec les symboles) n'ajoute qu'environ 0,6 bit par caractère, quand un caractère de plus en ajoute près de 6.
Les règles de composition produisent surtout des schémas prévisibles : une majuscule en tête, un chiffre et un point d'exclamation à la fin. Une phrase de passe longue, ou une chaîne aléatoire issue d'un générateur, résiste mieux et se gère plus simplement.
Ce que recommandent les référentiels actuels
Les recommandations du NIST (SP 800-63B) ont inversé plusieurs habitudes : plus de règles de composition imposées, plus de renouvellement périodique sans indice de compromission, et une comparaison de chaque nouveau mot de passe à une liste de mots de passe connus pour avoir fuité.
Le changement forcé tous les 90 jours a un effet pervers connu : les utilisateurs incrémentent un chiffre en fin de mot de passe. On ne change un mot de passe que lorsqu'il a pu être exposé.
Gestionnaire et second facteur
Un mot de passe unique par service est la seule protection contre la réutilisation d'identifiants volés ailleurs. Personne ne retient des dizaines de chaînes aléatoires : c'est le rôle d'un gestionnaire de mots de passe, qui les génère et les remplit.
Le second facteur — application d'authentification, clé de sécurité ou clé d'accès — limite les dégâts quand un mot de passe fuit malgré tout. Sur les comptes d'administration et la messagerie, qui permet de réinitialiser tous les autres accès, il n'est pas optionnel.
En bref
Quelle longueur pour un mot de passe sûr ?
La longueur compte davantage que la variété des caractères. Une quinzaine de caractères aléatoires mêlant lettres et chiffres représente près de 90 bits d'entropie, une marge confortable pour un compte courant.
Faut-il changer régulièrement de mot de passe ?
Non, sauf indice de compromission. Le renouvellement périodique forcé pousse à des variantes prévisibles ; les recommandations du NIST l'ont abandonné au profit d'un changement uniquement en cas d'exposition.
Un mot de passe complexe suffit-il ?
Non. S'il est réutilisé sur plusieurs services, une seule fuite les expose tous. Un mot de passe unique par service, conservé dans un gestionnaire, et un second facteur d'authentification protègent bien davantage.
Poursuivre dans le Lab
Sécurité — les autres notes
Outils associés
- Générateur de mot de passeGénérez des mots de passe robustes et aléatoires, entièrement côté navigateur, sans stockage ni transmission.
- Testeur de Robustesse de Mot de PasseAnalysez la force d'un mot de passe (entropie, longueur, diversité, motifs courants) entièrement côté navigateur : rien n'est stocké ni transmis.