Créer un mot de passe sûr : assez fort pour tenir, assez simple pour rester en tête
Un mot de passe sûr n'a pas besoin d'être un amas de symboles que vous oubliez cinq minutes plus tard. La méthode de l'histoire vous donne des mots de passe solides qui restent en mémoire, et une meilleure réponse pour tous vos autres comptes.
Créer un mot de passe sûr ressemble à une corvée : taper un charabia de lettres, de chiffres et de symboles dont on ne se souvient plus cinq minutes après. Pas étonnant que la plupart des gens finissent sur Automne2026! ou sur le nom du chien. On peut faire autrement. Cet article montre ce qui rend réellement un mot de passe sûr en 2026, quelles erreurs reviennent le plus souvent et comment construire, avec une méthode simple, des mots de passe solides qui restent malgré tout en tête.
Ce qui rend vraiment un mot de passe sûr en 2026
Pendant longtemps, la règle a été de mélanger le plus de types de caractères possible, si possible avec des substitutions comme le a en @ ou le o en 0. Cette règle est dépassée, et des organismes officiels comme le NIST américain et le BSI allemand ont adapté leurs recommandations depuis longtemps. La raison : une substitution comme P@ssw0rd! n'est pas de la sécurité, c'est un schéma connu. Ces astuces figurent précisément dans chaque liste d'attaque que les criminels déroulent pour casser des mots de passe.
Ce qui compte tient en trois mots :
La longueur. Chaque caractère supplémentaire multiplie le nombre de possibilités qu'un attaquant devrait essayer. Un mot de passe de 16 à 20 caractères est pratiquement incassable avec la puissance de calcul actuelle, même s'il ne contient que des lettres et des chiffres. Un mot de passe court avec huit caractères cryptiques est en revanche nettement plus faible qu'il n'en a l'air.
Le hasard. Un mot de passe ne vaut que par la part de hasard qu'il contient. Les êtres humains sont de mauvais générateurs de hasard : nous choisissons sans le vouloir des schémas que nous connaissons, des prénoms, des années, des rangées de touches. Un mot de passe réellement aléatoire ne se devine pas, parce qu'il ne suit aucun système reconnaissable, pas même le vôtre.
L'unicité. Chaque service a besoin de son propre mot de passe. Dès que vous en réutilisez un, une seule fuite chez n'importe quel prestataire suffit pour que des criminels l'essaient automatiquement sur tous vos autres comptes, une pratique connue sous le nom de credential stuffing qui se produit des millions de fois par jour.
Qui respecte ces trois règles a réglé le problème des mots de passe sur le fond. Le vrai défi est ailleurs : comment retenir quelque chose de long et d'aléatoire ?
Les 5 erreurs les plus courantes
Avant la solution, il vaut la peine de regarder ce qui rate le plus souvent en pratique. Ces cinq schémas figurent tout en haut de pratiquement chaque statistique de fuite de mots de passe :
1. Les suites de touches. azerty, 123456 ou qsdfgh ont l'air aléatoires pour son propre oeil, mais ils occupent la première place de toutes les listes que les attaquants déroulent en premier. Ils font partie des tout premiers candidats de chaque attaque automatisée, précisément parce qu'ils sont très répandus.
2. Le prénom suivi d'une année. Julie1987 ou Martin2026 paraissent personnels et donc sûrs, et c'est justement pour cela qu'ils sont faciles à deviner. Les années de naissance, les prénoms des enfants ou des animaux et l'année en cours se déduisent souvent des profils sur les réseaux sociaux, sans la moindre compétence technique.
3. La réutilisation du même mot de passe. Sans doute l'erreur la plus coûteuse : un seul mot de passe pour la messagerie, la boutique en ligne et les réseaux sociaux. Une unique fuite chez l'un de ces prestataires ouvre alors toutes les portes d'un coup.
4. Les mots du dictionnaire tels quels. Des mots isolés comme Soleil ou Motdepasse123 tombent en quelques secondes face à une attaque par dictionnaire, quelle que soit leur longueur, tant qu'ils sont faits de briques de langage prévisibles.
5. Les règles de substitution prévisibles. Transformer systématiquement Automne en 4ut0mn3! donne un sentiment de sécurité, mais suit un schéma que chaque logiciel d'attaque a enregistré depuis longtemps. Remplacer un caractère ne rend pas fort un mot de passe faible, cela rend seulement sa cassure un tout petit peu plus longue.
Ces cinq erreurs ont une racine commune : elles apparaissent parce que les gens inventent leurs mots de passe au lieu de les tirer au sort. C'est là qu'intervient la méthode qui suit.
La méthode de l'histoire, étape par étape
Notre cerveau retient mal les chaînes de caractères et très bien les images et les histoires, surtout quand elles sont absurdes. Les psychologues parlent d'effet de supériorité de l'image. La méthode de l'histoire exploite exactement cela : au lieu de mémoriser une chaîne, vous mémorisez une image bizarre, et de cette image on tire un mot de passe solide selon une recette fixe et simple.
Un exemple rend la chose concrète. L'histoire 😢🦄💡🛁, « La licorne triste a une idée dans la baignoire », devient avec la recette :
Tr1st3=L1c0rn3!Id33%B41gn01r3-2284A1C1379617
Voici comment fonctionne la dérivation : on reprend les quatre mots clés de l'histoire (humeur, personnage, action, lieu), on remplace certaines lettres par des chiffres qui leur ressemblent (le a devient 4, le e devient 3, le i devient 1, le o devient 0), on sépare les mots par des symboles et on ajoute à la fin une suite de chiffres aléatoire. Le résultat est long, il paraît aléatoire parce qu'il l'est, et il reste reconstructible à partir de l'image mémorisée.
Le piège des histoires inventées soi-même : les gens imaginent des histoires prévisibles, l'animal préféré, le loisir, les dernières vacances. Le hasard disparaît alors, et la sécurité avec lui. L'histoire doit donc être tirée au sort, pas choisie.
La méthode de l'histoire est volontairement pensée pour les rares mots de passe que vous devez vraiment avoir en tête, à commencer par le mot de passe maître de votre gestionnaire. Pour tout le reste, il existe une meilleure réponse.
Un gestionnaire de mots de passe pour tous les autres comptes
Une personne possède en moyenne bien plus de cent comptes en ligne, de la messagerie au service de streaming en passant par la boutique en ligne. Inventer une histoire différente pour chacun d'eux n'est ni nécessaire ni praticable. C'est ici qu'un gestionnaire de mots de passe prend le relais : il génère pour chaque service un mot de passe long, aléatoire et unique et le retient à votre place, si bien qu'il ne vous reste qu'un seul mot de passe maître à connaître.
Trois options éprouvées et recommandables :
Bitwarden est gratuit, open source et peut être audité de façon indépendante, un facteur de confiance important pour un outil qui gère tous vos mots de passe. Pour la plupart des usages privés, la version gratuite suffit largement.
Proton Pass vient du fournisseur derrière Proton Mail et met l'accent sur la protection des données et le chiffrement de bout en bout, avec une bonne entrée gratuite et une intégration étroite au reste de l'écosystème Proton.
1Password est payant, mais particulièrement confortable à utiliser et devenu un classique, surtout pour les familles et les équipes qui veulent partager des mots de passe en sécurité.
La répartition des rôles est claire : un mot de passe maître solide, construit avec la méthode de l'histoire, protège le gestionnaire, et le gestionnaire protège tout le reste. Partout où c'est possible, ajoutez l'authentification à deux facteurs, qui rend un mot de passe volé inutile à lui seul. Si vous exploitez vous-même un site WordPress, notre article sur la sécurité des mots de passe WordPress mérite le détour : protection contre la force brute, politiques de mots de passe pour tous les rôles et authentification à deux facteurs du point de vue de l'exploitant.
La liste de contrôle pour finir
- Au moins 16 caractères, du hasard réel plutôt que des schémas inventés.
- Un mot de passe propre et unique pour chaque service.
- Construisez avec la méthode de l'histoire les rares mots de passe qui doivent rester en tête, toujours avec une image tirée au sort.
- Confiez tous les autres comptes à un gestionnaire de mots de passe.
- Là où c'est disponible, activez en plus l'authentification à deux facteurs.
Comment nous traitons la sécurité chez nous
Notre page de sécurité porte le contact de sécurité publié, les délais de réponse annoncés et la politique de divulgation coordonnée. Toutes les extensions sont sous GPLv2 ou ultérieure et les données restent sur l'installation du client.
Questions fréquentes
Quelle longueur minimale pour un mot de passe sûr ?
Au moins 16 caractères, davantage si possible. Au-delà de la longueur, l'essentiel est que le mot de passe soit composé au hasard et ne serve à aucun autre service. Un mot de passe court avec des substitutions comme « P@ssw0rd! » paraît complexe mais tombe quand même vite, parce que ce sont exactement ces schémas que contiennent toutes les listes d'attaque.
La méthode de l'histoire est-elle vraiment plus sûre qu'un mot de passe normal ?
Elle est surtout plus sûre que ce que les gens inventent d'eux-mêmes. Le point décisif est que l'histoire soit tirée au sort et non choisie, sinon la prévisibilité revient. Tirée au sort et assez longue, la méthode livre un mot de passe avec une vraie part de hasard qui reste malgré tout en mémoire.
Ai-je quand même besoin d'un gestionnaire de mots de passe ?
Oui. La méthode de l'histoire est faite pour les rares mots de passe que vous devez impérativement retenir vous-même, à commencer par le mot de passe maître. Pour tous les autres comptes, un gestionnaire comme Bitwarden, Proton Pass ou 1Password reste la meilleure réponse, car il crée et gère automatiquement un mot de passe long et aléatoire pour chaque service.
