Aller au contenu
Générateur

Guide n° 01 Méthode pas à pas

Comment créer un mot de passe fort

Créer un mot de passe fort ne revient pas à accumuler des symboles au hasard. La règle la plus fiable est simple : plus c’est long, mieux c’est. Un mot de passe de 12 à 16 caractères bien construit résiste beaucoup mieux aux attaques qu’un mot de passe court « complexe ».

§ 01

Méthode

La longueur prime sur la complexité

Un mot de passe fort doit d’abord être difficile à deviner, puis difficile à casser.

En pratique, un attaquant n’essaie pas seulement « 123456 » ou « azerty ». Il teste des milliards de combinaisons, avec des dictionnaires, des suites logiques et des fuites de données précédentes. Face à cela, la longueur augmente énormément le coût de l’attaque.

Un mot de passe de 12 caractères n’offre pas la même résistance qu’un mot de passe de 16 caractères. À complexité comparable, chaque caractère ajouté multiplie les possibilités. C’est pour cela que les recommandations modernes privilégient des mots de passe longs, plutôt qu’un mot court truffé de majuscules, chiffres et symboles.

La complexité garde un intérêt, mais elle vient après la longueur. Un mot de passe de 14 caractères composé de mots sans lien évident, avec une ponctuation choisie, est souvent plus solide qu’un mot de passe de 8 caractères du type P@ssw0rd!.

L’objectif n’est pas de construire un mot de passe « imprononçable ». L’objectif est de créer une chaîne suffisamment longue pour rendre les attaques par force brute et par dictionnaire non rentables. C’est le cœur de la méthode recommandée par les organismes publics.

§ 02

Repères chiffrés

Les seuils utiles : 12, 14 et 16 caractères

  1. 12 caractères : le minimum réellement sérieux

    En dessous de 12 caractères, le niveau de sécurité chute vite. À partir de 12, un mot de passe bien choisi devient nettement plus robuste. C’est un seuil plancher, pas une cible idéale.

  2. 14 caractères : le bon compromis

    Autour de 14 caractères, on atteint un niveau souvent adapté aux usages courants, à condition d’éviter les motifs évidents. Ce format est déjà bien plus résistant qu’un mot de passe de 8 à 10 caractères.

  3. 16 caractères : le niveau recommandé pour les usages sensibles

    Pour une messagerie principale, un compte bancaire ou un coffre-fort numérique, viser 16 caractères ou plus est une très bonne pratique. La marge de sécurité devient nettement supérieure.

  4. Entropie : viser des centaines de combinaisons par caractère

    L’entropie mesure l’incertitude en bits. Plus l’entropie est élevée, plus le mot de passe est difficile à deviner. À titre d’ordre de grandeur, un mot de passe réellement aléatoire de 12 caractères peut dépasser 70 bits d’entropie, et un mot de passe de 16 caractères peut approcher ou dépasser 100 bits selon l’alphabet utilisé.

  5. Phrase secrète : un format souvent plus simple à retenir

    Une phrase secrète de plusieurs mots, avec espaces ou séparateurs, peut atteindre une forte entropie tout en restant mémorisable. C’est souvent le meilleur équilibre entre sécurité et usage quotidien.

§ 03

Méthode

La phrase secrète : la méthode la plus simple à retenir

La meilleure stratégie consiste souvent à partir d’une phrase, puis à la transformer.

La CNIL recommande une approche pragmatique : choisir une phrase que vous retenez facilement, puis en extraire les premières lettres. Vous conservez les majuscules, les chiffres et la ponctuation. Cette méthode permet de générer un mot de passe long sans devoir mémoriser une suite arbitraire.

Exemple : Le train 7 part à 18 h, direction Nantes ! peut devenir une base de mot de passe en gardant les premières lettres, les chiffres et la ponctuation. Le résultat n’a pas besoin d’être « joli ». Il doit surtout être long, stable et difficile à deviner.

L’intérêt de la phrase secrète est double. D’abord, elle évite les schémas classiques que les attaquants connaissent déjà. Ensuite, elle permet de conserver une bonne mémoire de travail. Un mot de passe de 15 ou 16 caractères, dérivé d’une phrase personnelle, est souvent plus facile à utiliser qu’un mot de passe aléatoire que vous oubliez dès demain.

Attention toutefois : la phrase ne doit pas être une citation célèbre, une phrase de chanson ou un slogan public. Il faut une phrase personnelle, peu prévisible, et si possible un peu inhabituelle dans sa construction.

§ 04

Erreurs fréquentes

Ce qu’il faut éviter absolument

  1. Les suites de clavier

    azerty, qwerty, 123456, 1q2w3e4r : ces suites figurent parmi les premiers essais d’un attaquant. Elles sont rapides à tester et donc presque toujours vulnérables.

  2. Les dates de naissance

    Une date de naissance, une année de mariage ou un code postal sont souvent accessibles sur les réseaux sociaux. Ce sont des données faciles à deviner, donc de mauvais choix.

  3. Les prénoms et noms proches

    Le prénom d’un enfant, d’un conjoint ou d’un animal de compagnie est très fréquent dans les attaques par dictionnaire ciblé. Plus l’information est visible publiquement, moins elle est sûre.

  4. Les remplacements évidents

    Remplacer un a par @ ou un o par 0 ne suffit pas. Les attaquants connaissent ces substitutions. Motdepasse1! reste faible si la base est prévisible.

  5. Les modèles répétitifs

    Ajouter toujours le même suffixe, comme ! ou 2025, crée une habitude exploitable. Un schéma répétitif réduit fortement la sécurité réelle.

  6. La réutilisation

    Le même mot de passe sur plusieurs comptes est un risque majeur. Une seule fuite peut alors exposer tous vos services. C’est l’un des scénarios les plus courants de compromission.

§ 05

Cas d’usage

Quel niveau viser selon le compte ?

  • Messagerie principale

    Votre boîte mail sert souvent de porte d’entrée vers tous vos autres services. Elle permet de réinitialiser des mots de passe et de valider des accès.

    Visez 16 caractères ou plus. Utilisez une phrase secrète bien construite, ou un mot de passe aléatoire stocké dans un gestionnaire de mots de passe.

  • Compte bancaire ou administratif

    Ces comptes donnent accès à des données sensibles, à des paiements ou à des démarches officielles.

    Choisissez un mot de passe long, unique et difficile à relier à votre identité. Évitez toute référence personnelle. Activez, si possible, l’authentification multifactorielle.

  • Compte secondaire peu critique

    Un forum, une newsletter ou un service ponctuel reste exposé en cas de fuite de données.

    Même pour un usage secondaire, gardez au moins 12 caractères, avec une vraie unicité. Un mot de passe faible sur un compte « sans importance » sert souvent de point d’entrée.

  • Mot de passe que vous devez mémoriser sans outil

    Il peut rester utile de connaître par cœur le mot de passe de votre messagerie principale ou de votre appareil.

    Utilisez une phrase secrète personnelle de 12 à 16 caractères, structurée avec une ponctuation stable. Gardez-la simple à restituer, mais difficile à prédire.

§ 06

Annexes

Questions fréquentes

Quelle est la longueur idéale d’un mot de passe fort ?
Le minimum sérieux commence à 12 caractères. Pour un compte important, visez plutôt 14 à 16 caractères, voire davantage si la phrase secrète reste facile à retenir.
Faut-il mettre des chiffres, des majuscules et des caractères spéciaux ?
Oui, mais sans obsession. Ces éléments aident, surtout dans une phrase secrète. En revanche, ils ne compensent pas un mot de passe trop court. La longueur reste prioritaire.
Une phrase secrète est-elle plus sûre qu’un mot de passe aléatoire ?
Pas toujours. Un mot de passe aléatoire bien généré reste excellent. La phrase secrète a surtout un avantage : elle est souvent plus simple à mémoriser tout en conservant une forte résistance si elle est bien construite.
Pourquoi éviter azerty, qwerty ou 123456 ?
Parce que ce sont des suites extrêmement connues. Elles sont parmi les premières tentées par les pirates. Elles ne protègent pas un compte, même si elles contiennent un symbole ajouté à la fin.
Dois-je changer régulièrement mon mot de passe ?
Pas systématiquement, si le mot de passe est robuste et non compromis. En revanche, il faut le changer immédiatement en cas de fuite, de suspicion d’accès non autorisé ou si un service vous le demande après un incident.
Le gestionnaire de mots de passe est-il utile ?
Oui. Il permet de générer des mots de passe longs, uniques et aléatoires pour chaque compte. C’est la meilleure façon d’éviter la réutilisation et de protéger des dizaines d’identifiants sans les mémoriser tous.
Quelle différence entre entropie et longueur ?
La longueur mesure le nombre de caractères. L’entropie mesure la difficulté à deviner le mot de passe. Un mot de passe court mais très structuré peut avoir une entropie faible. Un mot de passe long et imprévisible a généralement une entropie bien plus élevée.

Passez à la pratique

Notre générateur produit en local des mots de passe robustes en un clic.

Ouvrir le générateur