Comment créer un mot de passe fort et vérifier s’il a fuité

Ce qui rend un mot de passe fort

Les attaquants ne devinent pas les mots de passe un par un à la main. Ils utilisent des logiciels qui testent des milliards de combinaisons, en commençant par les mots de passe divulgués, les mots du dictionnaire et les schémas courants comme Summer2026!. Un mot de passe fort est un mot de passe qu’un logiciel ne peut pas prédire : long et aléatoire.

La longueur compte plus que la complexité. Chaque caractère aléatoire supplémentaire multiplie le nombre de possibilités, alors que remplacer a par @ fait partie des premières astuces testées par les outils de cassage.

Générez, n’inventez pas

Les humains sont mauvais en aléatoire : nous choisissons des prénoms, des dates et des motifs sur le clavier. Utilisez plutôt le Générateur de mot de passe. Réglages recommandés :

• 16 caractères aléatoires ou plus pour tout ce qui est enregistré dans un gestionnaire de mots de passe.
• Une phrase de passe de 4 à 6 mots aléatoires (par exemple staple-orbit-canyon-velvet-mint) pour les quelques mots de passe que vous devez saisir ou retenir, comme la session de votre ordinateur ou le mot de passe maître du gestionnaire.

Les mots doivent être choisis aléatoirement par l’outil. Une phrase que vous avez inventée vous-même, comme un extrait de chanson ou une citation, est bien plus facile à deviner.

Ne réutilisez jamais un mot de passe

La réutilisation est le risque le plus important en pratique. Lorsqu’un site subit une fuite, les attaquants testent les couples e-mail et mot de passe divulgués sur les messageries, les sites bancaires et les boutiques en ligne. Cette technique s’appelle le credential stuffing. Un mot de passe unique pour chaque compte permet qu’une fuite reste une fuite isolée.

Personne ne peut retenir 100 mots de passe différents, et c’est à cela que servent les gestionnaires de mots de passe. Le gestionnaire intégré à votre navigateur ou un gestionnaire dédié conviennent tous deux ; l’essentiel est d’en utiliser un.

Vérifiez si un mot de passe a fuité

Le Vérificateur de fuite de mot de passe indique si un mot de passe figure dans des bases de données de fuites connues, sans envoyer le mot de passe quelque part. Il calcule l’empreinte SHA-1 du mot de passe dans votre navigateur et n’envoie au service Have I Been Pwned que les cinq premiers caractères de cette empreinte. Le service renvoie toutes les empreintes divulguées commençant par ces caractères. La comparaison finale se fait sur votre appareil. (Vous pouvez voir à quoi ressemble une empreinte avec le Générateur de hash.)

Si un mot de passe apparaît, changez-le partout où vous l’avez utilisé. Même s’il semble solide, il figure désormais sur les listes que les attaquants testent en premier.

Ce que disent les recommandations actuelles

Les lignes directrices sur l’identité numérique du National Institute of Standards and Technology américain (NIST SP 800-63B) recommandent que les services :

• Autorisent les mots de passe longs (au moins 64 caractères) et tous les caractères imprimables, espaces compris.
• Vérifient les nouveaux mots de passe par rapport aux listes de mots de passe divulgués et courants.
• N’imposent pas de règles de composition arbitraires ni de changements périodiques : changez un mot de passe lorsqu’il existe un indice de compromission.

Ajoutez un second facteur

Même un mot de passe parfait peut être récupéré par hameçonnage. Activez l’authentification à deux facteurs pour votre messagerie, vos comptes bancaires et tout service pouvant réinitialiser d’autres comptes. Une application d’authentification ou une clé d’accès (passkey) est plus sûre que les codes SMS, mais tout second facteur vaut bien mieux qu’aucun.

Utilisez le Testeur de force de mot de passe pour voir combien de temps un mot de passe résisterait à une tentative de devinette, et pourquoi. Il signale les mots du dictionnaire, les dates et les motifs.