Des mots de passe que votre cerveau veut garder
Tirez au sort une histoire absurde en emojis et obtenez un mot de passe solide que votre cerveau veut garder, entièrement dans votre navigateur, sans rien transmettre.
Les emojis que vous choisissez vous-même sont plus prévisibles (animal préféré, loisir…). Pour une vraie sécurité, utilisez l’histoire aléatoire ; le nombre et les symboles restent tout de même tirés au hasard ici.
Et pour tous vos autres comptes ?
La méthode de l’histoire est parfaite pour les 2 ou 3 mots de passe que vous devez vraiment avoir en tête : le mot de passe maître, la session de l’appareil, celui des urgences. Pour tout le reste, un gestionnaire de mots de passe avec des clés aléatoires reste la meilleure solution : un mot de passe par service, rempli automatiquement.
Options éprouvées : Bitwarden (gratuit, open source), Proton Pass, 1Password.
Pourquoi ça marche ?
Notre mémoire est faite pour les images et les histoires, pas pour les suites de caractères. Les scènes absurdes et visuelles restent gravées : les psychologues appellent cela l’effet de supériorité de l’image, et les athlètes de la mémoire l’utilisent depuis des décennies. « Le paresseux triste gagne un trophée sur la Lune », vous ne l’oublierez plus.
Le générateur transforme l’histoire en mot de passe selon une recette fixe : les quatre mots clés, reliés par trois symboles, plus un nombre porte-bonheur. En mode Code emoji, les symboles, l’ancre hex et les chiffres de contrôle sont dérivés des points de code Unicode de vos emojis (via SHA-256) : vous ne retenez que les quatre emojis et retrouvez toujours le même mot de passe.
La sécurité, expliquée honnêtement
- C’est le hasard qui fait la sécurité. Ce n’est pas vous qui choisissez les emojis : c’est le générateur cryptographique de votre navigateur (crypto.getRandomValues). Personne ne peut donc deviner votre histoire, même en connaissant cet outil par cœur.
- La longueur bat la complexité. Les mots de passe font de 20 à 35 caractères. Contre les attaques en ligne (tentatives au formulaire de connexion), c’est pratiquement incassable, et c’est justement ce dont les comptes WordPress doivent le plus se protéger.
- Turbo pour les comptes importants. Le suffixe turbo ajoute 6 caractères aléatoires (+35 bits). Pas besoin de les mémoriser : enregistrez aussi le mot de passe dans votre gestionnaire, l’histoire devient votre sauvegarde mentale.
- Un compte, un mot de passe. Tirez une histoire différente pour chaque service. Ne réutilisez jamais un mot de passe : le credential stuffing vit de la réutilisation.
- Tout reste chez vous. Cet outil fonctionne entièrement dans votre navigateur. Aucun serveur, aucune transmission, aucun stockage : votre mot de passe ne quitte jamais votre appareil.
Quatre étapes vers un mot de passe emoji sûr
- Choisissez le mode. Le mode Code emoji est celui par défaut : vos emojis vous rendent exactement le même mot de passe à tout moment, sans rien noter.
- Tirez une histoire ou composez la vôtre. Humeur, personnage, action et lieu forment une mini-scène absurde comme « La licorne triste a une idée dans la baignoire ». Vous pouvez y ajouter un pays sous forme de drapeau.
- Ajoutez un mot secret. À partir de 12 caractères, le mot de passe résiste aussi aux attaques hors ligne : la barre vous l’indique. Copiez-le et utilisez-le.
- Ne retenez que l’histoire. La prochaine fois, choisissez simplement les mêmes emojis (et votre mot secret) et vous récupérez le même mot de passe.
Des idées de mots de passe que l’on retient vraiment
Le conseil habituel pour créer un mot de passe sûr, douze caractères au minimum, majuscules, chiffres, symboles, produit des mots de passe que personne ne retient. Ils finissent sur des post-it, dans des applis de notes ou réutilisés chez plusieurs services. C’est cette réutilisation qui constitue le vrai risque : une seule fuite de données suffit et les attaquants testent la combinaison volée chez des dizaines d’autres services.
La méthode de l’histoire renverse le problème : au lieu d’apprendre des caractères par cœur, vous mémorisez une image. Une scène absurde en quatre emojis donne quatre mots, des symboles, une ancre hex et un nombre cryptographique : plus de 40 caractères que vous reconstituez de mémoire à tout moment. Plus de contexte dans nos guides :
Créer un mot de passe sûr : la méthode de l’histoire avec des exemples (en allemand) · Sécurité des mots de passe WordPress pour les exploitants de sites (en allemand)
Questions fréquentes
Puis-je utiliser les emojis directement comme mot de passe ?
Mieux vaut éviter : beaucoup de sites, d’applis et d’appareils n’acceptent pas les emojis dans les champs de mot de passe, et les saisir sur un clavier inconnu tourne au calvaire. Le générateur traduit donc l’histoire en un mot de passe composé de caractères normaux : les emojis sont votre moyen mnémotechnique, pas le mot de passe.
Et si j’oublie le nombre ou les symboles ?
Retenez l’histoire, le nombre et les symboles comme un tout (« idée de la licorne dans la baignoire, 4711, point d’exclamation et dièse »). Mieux encore : enregistrez aussi le mot de passe final dans votre gestionnaire et gardez l’histoire comme sauvegarde mentale, au cas où.
Est-ce plus sûr qu’un gestionnaire de mots de passe ?
Non, et nous ne le prétendons pas. Un gestionnaire avec de longs mots de passe aléatoires reste la référence absolue. La méthode de l’histoire résout un autre problème : les rares mots de passe que vous devez impérativement retenir, à commencer par le mot de passe maître de votre gestionnaire.
Combien de combinaisons existe-t-il ?
24 humeurs × 24 personnages × 24 actions × 24 lieux donnent 331 776 histoires, auxquelles s’ajoutent trois symboles aléatoires parmi dix et un nombre porte-bonheur jusqu’à 9999 : au total, environ 42 bits de vrai hasard pour une trentaine de caractères. Avec le suffixe turbo, environ 76 bits. En mode Code emoji, les quatre emojis apportent environ 18 bits ; le matériel hex et les symboles sont dérivés de façon déterministe, et la vraie sécurité hors ligne vient du mot secret facultatif. L’affichage de l’outil calcule honnêtement ce que vous avez activé.
Les mots de passe faibles sont la faille n° 1 de WordPress
La force brute et le credential stuffing visent wp-login.php tous les jours, et échouent devant de bons mots de passe. Sur le blog, nous montrons comment protéger vraiment votre site WordPress et ses comptes utilisateurs.
