Qu'est-ce qu'un mot de passe fort (recommandations ANSSI et CNIL)

Chaque compte en ligne repose sur une porte dont le mot de passe fort tient lieu de serrure. La même clé fragile ouvre parfois une adresse mail, un espace bancaire et un réseau social à la fois, si bien qu'une seule fuite suffit à faire tomber tout le reste.

Ce guide explique, chiffres de l'ANSSI et de la CNIL à l'appui, ce qui rend un mot de passe réellement solide, pourquoi la longueur pèse davantage que les caractères spéciaux, comment retenir un secret costaud sans le noter sur un post-it et quels réflexes adopter après une fuite de données.

La longueur du mot de passe avant la complexité

Pendant des années, la règle imposait un symbole, une majuscule et un chiffre, une contrainte qui produisait surtout des mots de passe courts et pénibles à retenir comme le fameux P@ssw0rd et ses variantes. Un attaquant ne tape pourtant pas au hasard puisqu'il lance des logiciels capables de tester des milliards de combinaisons en commençant par les substitutions les plus évidentes. Un mot du dictionnaire décoré de deux ou trois symboles tombe ainsi en quelques secondes.

La longueur change vraiment la donne en faisant exploser le nombre de combinaisons possibles. Chaque caractère supplémentaire multiplie l'effort de l'attaquant, si bien qu'un mot de passe long en minuscules résiste mieux qu'un secret court bardé de symboles. Les autorités françaises retiennent aujourd'hui cette logique : viser d'abord une taille confortable avant d'ajouter de la variété.

L'entropie, l'unité qui mesure vraiment la solidité

Pour comparer deux mots de passe, les spécialistes raisonnent en entropie, une valeur exprimée en bits. L'entropie mesure le nombre de tentatives qu'un attaquant devrait faire en moyenne pour tomber sur le bon secret, sachant que chaque bit supplémentaire double ce nombre. Un mot de passe à 40 bits demande environ mille milliards d'essais, là où un mot de passe à 80 bits en réclame un nombre à vingt-quatre chiffres, hors de portée du matériel actuel.

Deux leviers font monter l'entropie : la taille de l'alphabet employé, des minuscules seules jusqu'au mélange de majuscules, de chiffres et de symboles, puis la longueur du secret. La longueur pèse le plus lourd puisqu'elle intervient en exposant dans le calcul. Passer de huit à douze caractères apporte ainsi beaucoup plus de sécurité que d'ajouter un point d'exclamation à un secret déjà trop court. La définition de l'entropie d'un mot de passe détaille la formule complète et plusieurs exemples chiffrés.

Ce que recommandent l'ANSSI et la CNIL

Les deux références françaises convergent vers les mêmes exigences chiffrées. Dans sa recommandation adoptée par la délibération n° 2022-100 du 21 juillet 2022, la CNIL fixe une cible d'entropie minimale de 80 bits pour un mot de passe utilisé sans mesure de sécurité complémentaire. Elle propose trois politiques jugées équivalentes, à choisir selon le confort de chacun :

Politique CNIL équivalente	Composition minimale
Mot de passe classique	12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux (parmi au moins 37 possibles)
Mot de passe allégé	14 caractères avec majuscules, minuscules et chiffres, sans symbole obligatoire
Phrase de passe	au moins 7 mots

La CNIL prévoit aussi des seuils plus bas quand le compte est protégé autrement : 50 bits d'entropie suffisent lorsqu'un dispositif limite les tentatives par un blocage après plusieurs échecs, une temporisation ou un CAPTCHA. Le seuil descend encore quand un matériel physique verrouille l'accès après trois essais ratés. De son côté, l'ANSSI met en avant quatre réflexes dans son guide sur l'authentification multifacteur : mener une analyse de risque, privilégier l'authentification multifacteur, adapter la robustesse du mot de passe à son contexte d'usage puis recourir à un gestionnaire de mots de passe.

La phrase de passe, longue et facile à retenir

Une phrase de passe est une suite de mots sans lien logique évident, par exemple girafe-tunnel-cactus-vinaigre-lampe. Elle atteint une grande longueur tout en restant mémorisable, ce qui coche les deux cases décisives d'un bon secret. La méthode dite diceware, c'est-à-dire le tirage de chaque mot avec des dés dans une liste publique numérotée, garantit que le choix n'est influencé ni par des goûts personnels ni par des souvenirs.

Le tirage au sort compte vraiment puisqu'un cerveau humain choisit rarement au hasard et penche spontanément vers des mots liés, des dates ou des prénoms. Un mot de passe aléatoire, issu de dés ou d'un logiciel dédié, échappe à ce biais. Cinq à sept mots tirés de cette façon dépassent facilement le seuil des 80 bits recommandé, tout en tenant dans une phrase que l'on répète ensuite sans effort.

Le gestionnaire de mots de passe, la vraie solution mémoire

Personne ne retient cinquante secrets à la fois longs et uniques, ce qui justifie à lui seul le recours à un gestionnaire de mots de passe. Ce logiciel crée, stocke et remplit les identifiants derrière un unique mot de passe maître, le seul qu'il reste à mémoriser. Il repère aussi les doublons et signale les comptes exposés dans une fuite connue.

Le gestionnaire lève le paradoxe central de la sécurité, celui de secrets assez complexes pour résister tout en restant impossibles à retenir de tête. La mémoire revient alors à l'outil pendant que l'effort se concentre sur un seul secret, le mot de passe maître, qui doit lui rester particulièrement long et se trouver protégé par une double authentification.

La double authentification, le filet de sécurité

La double authentification, souvent abrégée en 2FA, ajoute une seconde preuve au moment de la connexion, qu'il s'agisse d'un code temporaire généré par une application, d'une clé physique ou d'une notification envoyée sur le téléphone. Un mot de passe qui fuite ne suffit plus à l'attaquant, bloqué faute de ce second facteur. L'ANSSI place ce mécanisme en tête de ses recommandations, avant même le choix du mot de passe.

Une application d'authentification ou une clé matérielle vaut mieux que le code reçu par SMS, plus exposé au détournement de ligne. La 2FA mérite d'être activée en priorité sur la boîte mail principale puisque c'est elle qui permet de réinitialiser presque tous les autres comptes.

Les pratiques à bannir

Certains réflexes ruinent le meilleur des mots de passe, si bien que les éviter compte autant que d'en choisir un long et aléatoire.

Un pseudonyme réutilisé partout facilite aussi le recoupement des différents comptes par un attaquant, alors que varier ses identifiants publics complique nettement ce travail de profilage.

Combien de temps pour casser un mot de passe ?

Les tableaux de temps de cassage donnent un ordre de grandeur parlant, à condition de les lire avec prudence. Ils supposent un mot de passe tiré au sort et un site qui protège correctement ses empreintes. Le tableau de Hive Systems, mis à jour en 2026, estime par exemple qu'un mot de passe aléatoire de huit caractères mêlant les quatre familles de signes tient environ 132 ans face à une flotte de cartes graphiques louées, quand l'empreinte est protégée par l'algorithme bcrypt, une fonction de hachage volontairement lente qui freine chaque tentative.

Longueur (jeu complet, environ 95 signes)	Ordre de grandeur du temps de cassage (empreinte bcrypt, matériel 2026)
8 caractères	environ 130 ans
10 caractères	plusieurs millions d'années
12 caractères	plusieurs milliards d'années
16 caractères et plus	hors de portée, bien au-delà de l'âge de l'univers

Ces chiffres impressionnent pourtant moins qu'il n'y paraît puisqu'ils s'effondrent dans deux situations précises. Un mot de passe déjà présent dans une fuite ou bâti sur un motif courant tombe en une fraction de seconde, quelle que soit sa longueur affichée. Et lorsqu'un site stocke mal ses empreintes, sans algorithme lent ni sel cryptographique, les mêmes durées théoriques se comptent en minutes. La consigne pratique tient en trois gestes : allonger le secret, le tirer au sort puis ne jamais le réutiliser.

Que faire après une fuite de données

Les fuites touchent régulièrement de grands services et des identifiants circulent parfois sans que personne ne s'en aperçoive. Le service Have I Been Pwned permet de vérifier si une adresse mail apparaît dans une base de données déjà compromise. Cet outil se manie avec discernement : on y saisit uniquement l'adresse mail, jamais un mot de passe en clair, tandis que la notification prévient automatiquement lors des prochaines fuites.

Quand un compte est touché, son mot de passe se change sans attendre, avant d'être remplacé partout où le même secret aurait été réutilisé. La double authentification s'active dans la foulée, avec un coup d'œil aux connexions récentes que le service met à disposition. Un gestionnaire facilite grandement cette remise à plat puisqu'il repère d'un seul regard les doublons à corriger.