La question qu'on me pose le plus souvent quand le sujet des mots de passe arrive sur la table, ce n'est pas « comment je fais un mot de passe fort ? ». C'est : « mais comment je suis censé retenir un truc pareil ? » Et là, franchement, la plupart des gens ont déjà la réponse sous les yeux sans le savoir — ils confondent juste deux problèmes. Créer un mot de passe solide, c'est facile. Le gérer sur la durée, c'est là que tout se joue.
Je vais être direct : si vous retenez ne serait-ce qu'un seul de vos mots de passe importants, vous vous y prenez mal. Pas parce que vous êtes négligent, mais parce que le modèle mental qu'on nous a vendu pendant vingt ans — un mot de passe compliqué, unique, mémorisé pour chaque site — est intenable à l'échelle. Et c'est justement ce modèle qui pousse les gens vers les pires raccourcis.
Points clés à retenir
- La longueur compte plus que la complexité : visez 16 caractères minimum, pas 8.
- Un mot de passe réutilisé sur deux sites, c'est un mot de passe compromis sur les deux.
- Un gestionnaire de mots de passe transforme un problème insoluble en un réflexe de trois secondes.
- La double authentification (2FA) rattrape une bonne partie des dégâts quand un mot de passe fuite.
- Changer tous ses mots de passe « tous les 90 jours » n'est plus la recommandation : on change après un incident.
Comment créer un mot de passe fort sans se prendre la tête
Oubliez le classique « Majuscule + chiffre + symbole ». Cette recette produit des mots de passe comme P@ssword1! que n'importe quel outil casse en quelques secondes, parce que tout le monde applique la même transformation prévisible aux mêmes mots du dictionnaire. Le problème n'est pas le symbole. Le problème, c'est que ces mots de passe restent devinables par un algorithme qui connaît les habitudes humaines.
Ce qui marche réellement tient en trois principes, dans cet ordre d'importance :
- De la longueur — chaque caractère ajouté augmente le nombre de combinaisons de façon exponentielle.
- De l'imprévisibilité — pas un mot du dictionnaire, pas une date, pas un prénom.
- L'unicité — un mot de passe différent par service. Celui-là, personne n'y arrive à la main.
La phrase de passe, la méthode que je recommande
Une phrase de passe, c'est quatre ou cinq mots sans rapport entre eux, collés ou séparés. Par exemple : cheval-orage-27-piano-cactus. C'est long, c'est mémorisable, et ça résiste bien mieux qu'une suite de symboles. Le site de la CNIL prend d'ailleurs ce type d'exemple pour illustrer ce qu'est un bon mot de passe — une phrase longue qu'on garde en tête plutôt qu'une bouillie de caractères qu'on finit par noter sur un post-it.
Mais voilà le piège. J'ai utilisé cette méthode pendant un moment, avant de comprendre qu'elle ne règle qu'un tiers du problème. Parce que si vous choisissez vous-même vos mots, vous choisissez des mots prévisibles. Tout le monde pense à « soleil », « dragon » ou « café ». Un générateur aléatoire ne pense à rien du tout — et c'est exactement ce qu'on lui demande.
Un exemple de mot de passe à 12 caractères, et pourquoi je vous pousse à aller plus loin
Vous tomberez souvent sur des exemples de ce genre : K7#mQ2!pLx9$. Douze caractères, majuscules, minuscules, chiffres, symboles. Honnêtement ? C'est déjà infiniment mieux que motdepasse123. Mais dans un contexte de 2026, 12 caractères générés aléatoirement commencent à être le plancher, pas le plafond.
Pourquoi aller plus haut ? Parce que la puissance de calcul disponible pour casser un mot de passe augmente, elle aussi, année après année. Ce qui était confortable il y a dix ans devient limite aujourd'hui, et carrément risqué demain. Passer de 12 à 16 caractères aléatoires, c'est multiplier le nombre de combinaisons possibles par une quantité vertigineuse — pour un effort humain nul dès lors qu'un outil le génère pour vous.
Concrètement, voici ce que je déconseille systématiquement, quel que soit le nombre de caractères :
- Votre date de naissance, avec ou sans chiffres mélangés.
- Le prénom de votre enfant, de votre animal, de votre partenaire.
- Le nom du site lui-même (
Netflix2026!— vu, et pas qu'une fois). - Les suites de clavier :
azerty,qwerty,123456. - Un mot du dictionnaire auquel vous ajoutez simplement un point d'exclamation.
Ces schémas sont les tout premiers testés par les outils de cassage. Ils éliminent d'emblée la majorité des mots de passe réels.
Faut-il utiliser un générateur de mot de passe ?
Oui, et sans hésiter. Un générateur gratuit produit des chaînes véritablement aléatoires, ce qu'aucun cerveau humain ne sait faire — on croit être aléatoire, on reproduit toujours les mêmes biais. Mon conseil : un générateur intégré à un gestionnaire, pas un site web isolé dont vous copiez-collez le résultat dans un onglet.
La raison est simple. Un mot de passe généré est excellent... tant que vous pouvez le retrouver. Si vous le générez, le notez quelque part, puis le perdez, vous revenez à la case départ. Le bon réflexe, c'est que génération et stockage vivent au même endroit : vous ne voyez même plus le mot de passe, votre outil s'en occupe.
Gérer correctement, c'est là que tout se joue
Créer un bon mot de passe, c'est cinq minutes. Le gérer sur des années, c'est le vrai sujet. Et c'est la partie dont personne ne parle, alors que c'est elle qui détermine si vous êtes réellement protégé. Une fuite de données, ça n'arrive pas qu'aux autres : un service sur lequel vous avez un compte se fait pirater, vos identifiants se retrouvent dans la nature, et à partir de là, tout dépend de ce que vous aviez fait en amont.
Le réflexe qui change tout : un mot de passe unique par service
Si vous utilisez le même mot de passe sur votre messagerie et sur un forum oublié, la fuite du forum compromet votre messagerie. C'est mécanique. Le mot de passe réutilisé transforme chaque petit site fragile en porte d'entrée vers vos comptes critiques.
Le problème, c'est qu'aucun être humain ne mémorise 80 mots de passe uniques et aléatoires. Moi le premier. C'est précisément pour ça qu'un gestionnaire de mots de passe n'est pas un gadget : il rend possible la seule stratégie réellement efficace, à savoir un identifiant distinct partout, que vous ne connaissez même pas.
Que regarder dans un gestionnaire de mots de passe ?
| Critère | Ce qui compte vraiment | Le piège à éviter |
|---|---|---|
| Chiffrement | Architecture « zero-knowledge » : même l'éditeur ne peut pas lire vos coffres | Un service qui peut techniquement retrouver vos mots de passe |
| Mot de passe maître | Une phrase de passe longue et unique, mémorisée, jamais réutilisée | Un mot de passe maître faible — c'est la clé de tout le reste |
| Génération | Longueur réglable, générateur aléatoire intégré | Devoir copier-coller depuis un site externe |
| 2FA | La double authentification sur le coffre lui-même | Un compte gestionnaire protégé par un simple mot de passe |
| Partage | Partage sécurisé et révocable, utile en entreprise | Envoyer un mot de passe par messagerie ou par mail |
Et la double authentification dans tout ça ?
Un mot de passe fort, aussi bon soit-il, finit toujours par pouvoir fuiter — par hameçonnage, par un site mal codé, par un appareil compromis. La 2FA ajoute une deuxième barrière : même avec votre mot de passe, quelqu'un qui ne possède pas votre second facteur ne rentre pas. C'est le filet de sécurité qui rattrape les erreurs qu'on ne peut pas anticiper.
Ma règle personnelle : 2FA partout où c'est proposé sur mes comptes critiques (messagerie, banque, cloud), et un gestionnaire de mots de passe qui génère et stocke le reste. Le mot de passe redevient ce qu'il aurait toujours dû être — un détail que je ne gère plus à la main.
Faut-il changer ses mots de passe régulièrement ?
La vieille consigne « tous les 90 jours » a fait son temps, et les recommandations officielles ont évolué dans l'autre sens. Changer un mot de passe par obligation calendaire pousse les gens à faire des variations minuscules — Été2026! puis Automne2026! — ce qui n'apporte quasiment rien. On change après un signal : une fuite annoncée, un comportement suspect, un départ d'un collaborateur qui avait accès à quelque chose. Pas parce que le calendrier le dit.
Le cas de l'entreprise : révoquer, pas seulement changer
Quand quelqu'un quitte une équipe, changer le mot de passe partagé ne suffit pas toujours. Il faut pouvoir révoquer l'accès — retirer le compte, invalider les sessions, couper les partages. Un gestionnaire d'équipe qui gère correctement les rôles vous permet exactement ça, là où un mot de passe commun recopié dans un tableur ne le permet pas. C'est la différence entre « changer la serrure » et « retirer la clé à quelqu'un ».
Au fond, la vraie question n'est pas de savoir si votre mot de passe actuel est solide. C'est de savoir ce qui se passe le jour où il ne le sera plus — parce que ce jour arrive, pour tout le monde. Ceux qui s'en sortent bien ne sont pas ceux qui avaient le mot de passe parfait. Ce sont ceux qui, le jour de la fuite, n'avaient rien à réutiliser et une deuxième barrière en place.
