Ce qui rend un mot de passe vraiment solide

Le premier facteur de solidité est la longueur. Chaque caractère supplémentaire multiplie le nombre de combinaisons qu'un attaquant devrait essayer pour deviner votre mot de passe, si bien que l'effet de la longueur est spectaculaire. Un mot de passe court, même avec des symboles compliqués, reste plus facile à casser qu'un mot de passe nettement plus long. C'est pourquoi les recommandations actuelles insistent davantage sur la longueur que sur des règles de composition rigides. En pratique, viser au moins douze à seize caractères constitue une base saine, et davantage encore pour vos comptes les plus importants. Retenez ce principe simple : à choisir, un mot de passe plus long apporte presque toujours plus de sécurité qu'un mot de passe court bardé de caractères spéciaux.

Au-delà de la longueur, ce qui compte est l'imprévisibilité, que les spécialistes mesurent par une notion appelée entropie. L'entropie estime le nombre de possibilités réellement équivalentes parmi lesquelles votre mot de passe a été choisi. Un mot de passe tiré au hasard par une machine a une entropie élevée, car chaque caractère est indépendant et imprévisible. À l'inverse, un mot de passe que vous inventez vous-même a souvent une entropie plus faible qu'il n'y paraît, parce que nous suivons tous des schémas : une majuscule au début, un chiffre à la fin, un remplacement classique d'une lettre par un symbole. Les attaquants connaissent ces habitudes et les testent en priorité. La vraie robustesse vient donc d'un choix aléatoire, pas d'une astuce que d'autres pourraient anticiper.

Mélanger les types de caractères, majuscules, minuscules, chiffres et symboles, augmente le nombre de possibilités par position et renforce la solidité, à condition que ce mélange reste aléatoire. Cela ne remplace pas la longueur, mais s'y ajoute utilement. À l'opposé, s'appuyer sur des mots du dictionnaire, des prénoms, des dates de naissance ou des suites évidentes comme une série de chiffres consécutifs affaiblit fortement un mot de passe. Les logiciels d'attaque commencent toujours par ces candidats prévisibles, souvent tirés d'immenses listes de mots de passe déjà divulgués. Un secret bâti sur un mot courant, même agrémenté de quelques symboles, tombe donc bien plus vite qu'une chaîne réellement aléatoire. Si vous souhaitez un secret à la fois solide et mémorisable, une phrase de plusieurs mots aléatoires est une excellente alternative.

La solidité d'un mot de passe ne se juge pas seulement à sa composition, mais aussi à son unicité. Réutiliser un même mot de passe sur plusieurs sites est l'une des erreurs les plus risquées, même si ce mot de passe est long et complexe. Dès qu'un seul service subit une fuite, les identifiants exposés sont automatiquement essayés sur quantité d'autres sites, une attaque appelée bourrage d'identifiants. Un mot de passe unique par compte agit comme un cloisonnement : la compromission d'un service n'ouvre pas la porte des autres. C'est aussi pour cela qu'un excellent mot de passe réutilisé partout finit par offrir une protection médiocre. La règle est donc simple : un compte, un mot de passe distinct, sans exception pour vos accès importants.

Comment vérifier concrètement la solidité d'un mot de passe sans prendre de risque ? Un bon indicateur estime la robustesse à partir de la longueur, de la variété des caractères et de la présence de motifs prévisibles. Lorsqu'un tel indicateur est proposé ici, il fonctionne entièrement dans votre navigateur, sur votre appareil : le mot de passe que vous testez n'est ni transmis, ni enregistré, ni journalisé. Gardez toutefois à l'esprit qu'un indicateur reste une estimation et non une garantie absolue. La meilleure démarche consiste à générer des mots de passe réellement aléatoires, puis à les confier à un gestionnaire de mots de passe qui les chiffre et les retient à votre place. Nos outils créent les mots de passe localement, mais ne les conservent pas : ce rôle revient au gestionnaire.