Un seul mot de passe qui ouvre toutes vos portes, c'est tentant. Mais c'est aussi le scénario rêvé pour un pirate. Si vos identifiants fuient sur un site peu sécurisé, le même code donne accès à votre messagerie, vos comptes bancaires ou vos outils professionnels. C'est ce qu'on appelle l'attaque par credential stuffing : des millions de combinaisons volées sont testées automatiquement sur d'autres services. Résultat, un mot de passe unique pour tout, c'est un point de rupture unique pour tout perdre.
Créez donc un mot de passe différent pour chaque compte. Même pour les services que vous jugez secondaires. Un forum oublié, un site de e-commerce peu fréquenté, une plateforme de test : ce sont souvent ces maillons faibles qui fuient en premier. Une fois le code en main, les attaquants l'essaient sur Gmail, LinkedIn, PayPal. Ne leur facilitez pas la tâche.
La règle des 12 caractères et des quatre familles
Un mot de passe solide repose sur deux piliers : la longueur et la diversité des caractères. Au moins 12 caractères, c'est le minimum pour ralentir efficacement une attaque par force brute (celle qui essaie toutes les combinaisons possibles). Avec 8 lettres minuscules seulement, un outil automatisé peut casser le code en quelques secondes. Avec 12 caractères mêlant majuscules, minuscules, chiffres et signes spéciaux, le temps de déchiffrement passe à des années.
Utilisez donc les quatre types de caractères :
- majuscules (A, B, C...)
- minuscules (a, b, c...)
- chiffres (1, 2, 3...)
- signes spéciaux ou ponctuation (!, ?, #, €, @...)
Évitez les suites évidentes : des chiffres qui se suivent (1234), des lettres dans l'ordre alphabétique (abcd), des séquences de clavier (azerty, qwerty) ou des caractères identiques répétés (aaaa). Les pirates connaissent ces patterns par cœur et les intègrent dans leurs dictionnaires d'attaque.
Un mot de passe comme « Jamdpcma8h! » est bien plus robuste que « Mot2Passe2024 ». Pourquoi ? Parce qu'il ne contient pas de mot du dictionnaire, pas de date de naissance, pas de suite logique. Il est construit à partir d'une phrase : « J'aime manger des pommes chaque matin à 8 heures ! ». Vous prenez la première lettre de chaque mot, vous gardez le chiffre et la ponctuation, et vous obtenez un code à la fois long, complexe et mémorisable.
La méthode de la phrase mnémotechnique
Retenir vingt mots de passe différents de 12 caractères chacun, c'est humainement impossible sans système. La solution la plus simple est de transformer une phrase que vous connaissez déjà en mot de passe.
Prenez une phrase personnelle, une citation, un vers de chanson ou un proverbe. Par exemple : « Le carré de l'hypoténuse est égal à la somme des carrés des 2 autres côtés. »
Appliquez ces transformations :
- Prenez la première lettre de chaque mot : Lcdlhéalàldscd2ac.
- Gardez les majuscules, les chiffres et la ponctuation : Lcdlhéalàldscd2ac.
- Ajoutez un signe spécial si la phrase n'en contient pas, ou remplacez un mot par un émoticône (par exemple « sourire » devient :-).
Vous obtenez un code comme « Lcdlhéalàldscd2ac. » : 18 caractères, mêlant minuscules, majuscule, chiffre et ponctuation. Et vous le retrouvez simplement en vous remémorant la phrase de départ.
La CNIL propose un outil en ligne gratuit pour vous aider à construire ce type de mot de passe, sans récupérer aucune donnée. Vous y saisissez votre phrase, et l'outil vous suggère les transformations à appliquer.
Les erreurs courantes qui ruinent vos efforts
Même avec un mot de passe long et complexe, certaines habitudes annulent votre protection.
Utiliser des informations personnelles. Votre date de naissance, le prénom de vos enfants, le nom de votre animal ou votre ville de naissance sont faciles à deviner ou à trouver sur les réseaux sociaux. Un pirate motivé collecte ces données en quelques minutes et les teste en priorité.
Noter ses mots de passe sur un post-it collé à l'écran ou dans un fichier texte nommé « mots de passe ». C'est pratique, mais si votre ordinateur est volé ou si un collègue indiscret passe par là, c'est fini.
Changer son mot de passe trop souvent sans raison. Les recommandations officielles ont évolué : il n'est plus nécessaire de tout changer tous les trois mois si votre mot de passe est solide et que vous n'avez pas de suspicion de fuite. Le changement forcé pousse souvent à des variations minimes (Mot2Passe1, Mot2Passe2...) que les pirates anticipent. Changez uniquement en cas de doute ou de compromission avérée.
Enregistrer ses mots de passe dans le navigateur web sans protection supplémentaire. C'est pratique, mais si votre navigateur est compromis ou si quelqu'un utilise votre ordinateur, tous vos accès sont exposés. Si vous utilisez cette option, activez au moins un mot de passe maître ou une double authentification sur le navigateur.
Gestionnaire de mots de passe : la solution pour ne plus rien retenir
Si vous gérez plus de dix comptes, la mémoire humaine montre ses limites. Le gestionnaire de mots de passe est l'outil conçu pour ça. C'est un logiciel qui stocke tous vos identifiants dans un coffre-fort numérique crypté. Vous n'avez qu'un seul mot de passe à retenir : celui qui ouvre le gestionnaire.
Concrètement, un gestionnaire :
- génère des mots de passe longs et aléatoires pour chaque nouveau compte
- les remplit automatiquement sur les sites et applications
- les synchronise entre vos appareils (ordinateur, téléphone, tablette)
- vous alerte si un mot de passe a fuité ou si vous utilisez le même code à plusieurs endroits
Des solutions comme Bitwarden (open source et gratuit), KeePass (hors ligne) ou Dashlane (payant avec fonctionnalités supplémentaires) répondent à des besoins différents. Pour une entreprise, un gestionnaire centralisé permet en plus de tracer les accès, d'automatiser la création de mots de passe robustes et d'éviter le partage incontrôlé d'identifiants.
Activer la double authentification : un filet de sécurité indispensable
Même avec un mot de passe parfait, une fuite peut arriver. La double authentification (ou 2FA) ajoute une deuxième couche de vérification. Quand quelqu'un tente de se connecter à votre compte, un code temporaire vous est envoyé par SMS, par email ou généré par une application dédiée (Google Authenticator, Authy). Sans ce code, le mot de passe seul ne suffit pas.
Activez cette option partout où elle est proposée : messagerie, réseaux sociaux, banque, stockage cloud, outils professionnels. L'effort est minime (quelques secondes à chaque connexion sur un nouvel appareil) pour un gain de sécurité considérable.
Privilégiez les applications d'authentification plutôt que le SMS, plus vulnérable au détournement de carte SIM. Et si le service propose des clés de sécurité physiques (type YubiKey), c'est encore mieux.
Votre prochaine étape : auditez vos accès et sécurisez les plus exposés
Commencez par les comptes les plus sensibles : votre messagerie principale (elle sert souvent à réinitialiser les autres mots de passe), votre banque, vos comptes professionnels et vos réseaux sociaux. Pour chaque service, vérifiez que le mot de passe est unique, qu'il fait au moins 12 caractères avec les quatre types de caractères, et que la double authentification est activée.
Si vous utilisez encore le même code pour plusieurs services, changez-le immédiatement. Commencez par le compte qui contrôle les autres (votre email principal), puis attaquez-vous aux services financiers, puis aux autres. Un gestionnaire de mots de passe vous fera gagner un temps précieux dans cette opération.
Un mot de passe fort ne protège pas que vos données. Il protège aussi vos contacts, vos collègues et votre réputation. La méthode est simple, les outils sont gratuits ou peu coûteux. Il ne manque que la décision de s'y mettre.
