Créer un mot de passe solide : longueur, entropie et gestionnaires de mots de passe

Comment les mots de passe sont cassés

Les attaquants utilisent trois méthodes principales : le bourrage d'identifiants, qui réutilise des noms d'utilisateur et mots de passe fuités d'autres sites ; les attaques par dictionnaire, qui essaient des mots de passe et des mots courants ; et la force brute, qui teste toutes les combinaisons.

La plupart des dégâts réels viennent de la première. Aussi complexe soit-il, un mot de passe réutilisé signifie que le site le moins sûr que vous fréquentez peut exposer tous vos comptes. Un mot de passe unique par site compte encore plus que sa robustesse.

Mesurer la robustesse par l'entropie

La robustesse d'un mot de passe généré aléatoirement se mesure en bits d'entropie : longueur × log2(nombre de caractères possibles). Chaque bit supplémentaire double le nombre d'essais nécessaires à un attaquant.

Un code PIN à six chiffres offre environ 20 bits, soit seulement un million de possibilités qu'un ordinateur teste instantanément. Douze caractères aléatoires parmi les 94 symboles ASCII imprimables donnent environ 79 bits, et seize lettres minuscules aléatoires environ 75 bits.

6 chiffres                          : 6 × log2(10)  ≈ 20 bits
16 minuscules aléatoires            : 16 × log2(26) ≈ 75 bits
12 caractères aléatoires parmi 94   : 12 × log2(94) ≈ 79 bits
16 lettres et chiffres aléatoires   : 16 × log2(62) ≈ 95 bits

Ces chiffres ne valent que pour des choix aléatoires. Les mots de passe inventés par des humains, comme Password1! ou des combinaisons de dates de naissance, semblent variés mais figurent en tête de toutes les listes d'attaque : leur entropie réelle est proche de zéro.

Pourquoi la longueur l'emporte sur la complexité

Comme le montre le tableau, allonger un mot de passe augmente l'entropie bien plus efficacement que d'ajouter des types de caractères. Les lignes directrices sur l'identité numérique du NIST américain (SP 800-63B) recommandent elles aussi d'autoriser les mots de passe longs et de les comparer aux listes de mots de passe compromis plutôt que d'imposer des règles de composition.

Pour les mots de passe à retenir, une phrase de passe de quatre à six mots aléatoires sans lien fonctionne bien. Six mots tirés au hasard dans une liste de 7 776 mots donnent environ 77 bits tout en restant mémorisables. Les mots doivent être choisis au hasard — avec des dés ou un générateur — et non par vous.

Schémas à éviter

Tous ces schémas sont intégrés aux règles des outils de cassage et tombent bien plus vite qu'ils n'en ont l'air.

• Noms, dates de naissance, numéros de téléphone ou plaques d'immatriculation trouvables sur les réseaux sociaux.
• Suites de touches comme azerty, qwerty, 1q2w3e4r ou asdf.
• Un mot suivi de chiffres ou d'un ! (par exemple ete2026!).
• Substitutions comme a→@ et o→0, que les outils de cassage essaient par défaut.
• Une rotation qui ne change qu'un nombre (pass01 → pass02).

La réponse pratique : gestionnaire de mots de passe et 2FA

Personne ne peut mémoriser un mot de passe aléatoire différent de 20 caractères pour chaque site. Le gestionnaire de mots de passe est la solution réaliste : vous retenez une seule phrase de passe maîtresse solide et laissez le générateur créer et stocker le reste.

Ajoutez l'authentification à deux facteurs — application d'authentification, clé de sécurité ou passkeys — pour qu'un mot de passe fuité ne suffise pas. Sécurisez d'abord votre messagerie, car c'est le canal de réinitialisation de tous vos autres comptes.

Ce qu'il faut vérifier dans un générateur de mots de passe

Un bon générateur utilise le générateur de nombres aléatoires cryptographiquement sûr fourni par le système d'exploitation. Les fonctions génériques comme Math.random sont prévisibles et inadaptées aux mots de passe.

Le générateur de mots de passe d'AIBIZAP vous laisse choisir la longueur et les jeux de caractères. Si un service n'autorise pas les caractères spéciaux, augmentez plutôt la longueur : seize lettres et chiffres donnent déjà environ 95 bits. Pour les secrets machine comme les identifiants et secrets client d'API, utilisez le générateur d'identifiants client.