Créer un mot de passe fort : règles, exemples et générateur

Un mot de passe fort, c'est avant tout un mot de passe long, aléatoire et unique : au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, qui ne contient ni prénom ni date, et que vous n'utilisez pour aucun autre compte. Le plus simple pour l'obtenir est de le faire générer au hasard, puis de le ranger dans un gestionnaire de mots de passe.

Voici comment créer un mot de passe solide en pratique, avec des exemples de ce qu'il faut éviter, la méthode de la phrase de passe pour les rares mots de passe à retenir par cœur, et les réglages à choisir dans un générateur.

Ce qui rend un mot de passe vraiment robuste

Les attaques les plus courantes ne consistent pas à deviner votre mot de passe à la main. Les pirates testent automatiquement des listes de mots de passe déjà divulgués, des mots du dictionnaire et leurs variantes classiques (« Soleil2024! », « Azerty123 »). Trois critères vous mettent à l'abri de l'essentiel :

• La longueur. C'est le facteur qui compte le plus : chaque caractère supplémentaire multiplie le nombre de combinaisons à tester.
• Le hasard. Un mot de passe choisi par un humain suit des schémas prévisibles (majuscule au début, chiffre et point d'exclamation à la fin). Un tirage aléatoire n'en suit aucun.
• L'unicité. Si le même mot de passe sert pour votre messagerie et pour un petit site marchand qui se fait pirater, votre messagerie tombe aussi. Un compte, un mot de passe.

Les recommandations officielles vont dans ce sens. La CNIL, par exemple, cite comme référence un mot de passe d'au moins 12 caractères combinant les quatre types de caractères lorsqu'il est le seul moyen de protection d'un compte, et ne recommande plus d'imposer un changement périodique systématique. Pour vos comptes les plus sensibles, 16 caractères ou plus sont un bon réflexe.

Exemples : mots de passe faibles et mots de passe forts

Mot de passe	Problème	Verdict
azerty123	Suite de touches du clavier, présente dans toutes les listes	Très faible
Marseille2024!	Mot courant + année + symbole final : un schéma prévisible	Faible
Ch@t0n	Remplacer des lettres par des symboles ne trompe pas les logiciels, et c'est trop court	Faible
Prénom de l'enfant + date de naissance	Informations trouvables sur les réseaux sociaux	Faible
q7#Lm2v!Tz9wR$kd	16 caractères aléatoires, quatre types de caractères	Fort (à stocker dans un gestionnaire)
Quatre mots tirés au hasard et séparés	Long et imprévisible, mais mémorisable	Fort (pour un mot de passe à retenir)

Évidemment, n'utilisez aucun des exemples ci-dessus : un mot de passe publié sur Internet n'est plus secret.

Générer un mot de passe fort en quelques secondes

Le générateur de mots de passe de Toolyfied crée des mots de passe aléatoires directement dans votre navigateur, avec l'API Web Crypto (crypto.getRandomValues) : ils ne sont ni envoyés à un serveur ni enregistrés. Il est gratuit et ne demande aucun compte.

1. Ouvrez le générateur et réglez la longueur : elle va de 4 à 20 caractères. Choisissez 16 à 20 pour un compte important.
2. Cochez les minuscules, majuscules, chiffres et symboles. Le générateur garantit qu'au moins un caractère de chaque type coché apparaît.
3. Activez l'option exclure les caractères similaires si vous devrez recopier le mot de passe à la main (sur une télévision ou une console, par exemple) : elle retire les caractères faciles à confondre comme le l minuscule, le I majuscule, la barre verticale, ou le O et le 0.
4. Générez, choisissez l'une des propositions et collez-la directement dans le formulaire du site, puis dans votre gestionnaire de mots de passe.

Certains sites refusent certains symboles ou imposent une longueur maximale. Dans ce cas, décochez les symboles et compensez avec quelques caractères de plus.

Et si je dois le retenir par cœur ?

Un mot de passe aléatoire de 16 caractères est impossible à mémoriser, et c'est normal : il n'est pas fait pour ça. Vous n'avez besoin de retenir que deux ou trois mots de passe, typiquement celui de votre session d'ordinateur, celui de votre messagerie principale et le mot de passe maître de votre gestionnaire.

Pour ceux-là, la phrase de passe est la meilleure méthode :

• Choisissez quatre ou cinq mots sans lien entre eux, idéalement tirés au hasard (avec un dé ou une liste de mots), pas une citation ni des paroles de chanson.
• Séparez-les par un tiret, un point ou un chiffre.
• Ajoutez une majuscule si le site l'exige.

Une autre technique consiste à prendre les premières lettres d'une phrase personnelle et longue, en gardant chiffres et ponctuation. Elle fonctionne si la phrase est vraiment personnelle et suffisamment longue ; une phrase connue de tous ne protège rien.

Les bonnes habitudes qui comptent autant que le mot de passe

Utiliser un gestionnaire de mots de passe

C'est ce qui rend les mots de passe aléatoires praticables au quotidien. Les navigateurs (Chrome, Firefox, Safari, Edge) intègrent un gestionnaire, et il existe des applications dédiées, y compris open source comme Bitwarden ou KeePass. Vous retenez un seul mot de passe maître, solide, et le gestionnaire remplit le reste.

Activer la double authentification

La validation en deux étapes (code reçu par application, clé de sécurité ou à défaut SMS) protège le compte même si le mot de passe fuit. Activez-la en priorité sur la messagerie, la banque et les réseaux sociaux : la messagerie sert à réinitialiser tous les autres comptes.

Ne changer que quand c'est nécessaire

Inutile de modifier vos mots de passe tous les trois mois par principe. Changez-en un immédiatement si le service annonce une fuite, si vous l'avez réutilisé ailleurs ou si vous l'avez saisi sur un site douteux.

Protéger aussi vos documents

Le même raisonnement s'applique aux fichiers : si vous envoyez un PDF confidentiel, vous pouvez le protéger par mot de passe (chiffrement AES-256) et transmettre le mot de passe par un autre canal que le fichier, par exemple par SMS si le PDF part par mail. S'il s'agit d'un document Word, passez-le d'abord en PDF avec le convertisseur Word en PDF, puis protégez le PDF obtenu.

Que faire si un de vos mots de passe a fuité ?

Les fuites de données sont fréquentes, et vous l'apprenez souvent par un mail du service concerné. Dans ce cas, agissez dans l'ordre :

1. Changez immédiatement le mot de passe du compte concerné, en en générant un nouveau, aléatoire et jamais utilisé.
2. Repérez tous les autres comptes où vous aviez utilisé le même mot de passe ou une variante proche, et changez-les aussi. C'est là que la réutilisation fait le plus de dégâts.
3. Activez la double authentification sur ces comptes si ce n'est pas déjà fait.
4. Méfiez-vous des mails qui suivent la fuite : les escrocs en profitent pour envoyer de faux messages de « vérification ». Passez toujours par le site officiel plutôt que par un lien reçu.

Des services comme « Have I Been Pwned » permettent de vérifier si une adresse e-mail apparaît dans des fuites connues. Les gestionnaires de mots de passe intégrés aux navigateurs signalent aussi les mots de passe compromis ou réutilisés.

Les erreurs les plus fréquentes

• Ajouter « 1 » ou « ! » au bout de l'ancien mot de passe quand un site exige de le changer.
• Noter ses mots de passe dans un fichier « mdp.txt » sur le bureau, ou dans une note non protégée.
• Envoyer un mot de passe en clair dans le même mail que le document qu'il protège.
• Utiliser un mot de passe « fort » mais identique partout.

Ces conseils sont des informations générales et ne remplacent pas la politique de sécurité de votre employeur ou l'avis d'un professionnel de la sécurité informatique.