Créer un mot de passe sécurisé

Ce qui rend un mot de passe vraiment robuste, ce que recommandent la CNIL et l’ANSSI, et trois méthodes fiables pour en créer un.

Mis à jour le 14 octobre 2026

Ce qui rend un mot de passe robuste

Un mot de passe résiste à une attaque s’il faut tester un nombre gigantesque de combinaisons avant de tomber dessus. Trois facteurs déterminent ce nombre :

La longueur. C’est le facteur le plus puissant : chaque caractère aléatoire ajouté multiplie le nombre de combinaisons par la taille de l’alphabet utilisé (90 environ avec majuscules, minuscules, chiffres et symboles).
Le hasard. Un mot de passe choisi par un humain suit des schémas prévisibles (mot du dictionnaire, prénom, date, majuscule initiale, « ! » final). Les logiciels de cassage testent ces schémas en premier. Seul un tirage réellement aléatoire garantit la robustesse annoncée par le calcul.
L’unicité. Le meilleur mot de passe du monde ne protège plus rien s’il a fuité d’un autre site. Les identifiants volés sont rejoués automatiquement sur des milliers de services : c’est le credential stuffing.

On mesure la robustesse d’un mot de passe aléatoire en bits d’entropie : 80 bits signifient 2⁸⁰ combinaisons possibles, soit environ un million de milliards de milliards. Chaque bit supplémentaire double l’effort de l’attaquant.

Les recommandations officielles en France

La CNIL (recommandation de 2022)

La CNIL a adopté le 21 juillet 2022 une recommandation qui remplace l’ancienne règle « 8 caractères, 3 types ». Elle raisonne en entropie et adapte l’exigence au contexte :

Contexte	Entropie minimale	Exemples conformes
Mot de passe seul, sans autre protection	80 bits	12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux ; ou 14 caractères avec majuscules, minuscules et chiffres ; ou une phrase de passe d’au moins 7 mots
Avec restriction des tentatives (temporisation, captcha, blocage après 10 échecs)	50 bits	8 caractères de 3 types différents ; ou 16 chiffres
Avec un matériel détenu par la personne (carte SIM, carte à puce) et blocage après 3 échecs	13 bits	Code PIN de 4 chiffres

Le cas qui vous concerne en tant qu’utilisateur est le premier : vous ne savez jamais comment un site stocke votre mot de passe, ni s’il sera volé un jour. Partez donc du principe qu’il doit tenir seul.

L’ANSSI (guide de 2021)

L’ANSSI a publié en octobre 2021 la version 2 de ses Recommandations relatives à l’authentification multifacteur et aux mots de passe, cosignée par la CNIL. Elle classe la force d’un mot de passe selon son entropie :

moins de 64 bits : très faible ;
de 64 à 80 bits : faible ;
de 80 à 100 bits : moyenne ;
plus de 100 bits : forte.

Pour un mot de passe aléatoire utilisant les quatre types de caractères, 100 bits correspondent à environ 16 caractères. Le guide déconseille aussi d’imposer un renouvellement périodique sans raison, et recommande l’authentification multifacteur dès que possible.

Le NIST américain (SP 800-63B)

La référence internationale, la norme NIST SP 800-63B, va dans le même sens et sa révision 4, finalisée en 2025, est encore plus nette : longueur minimale de 15 caractères pour un mot de passe utilisé seul, acceptation d’au moins 64 caractères, pas de règles de composition imposées, pas de changement périodique forcé (seulement en cas de compromission) et vérification des nouveaux mots de passe contre une liste de mots de passe déjà fuités.

Trois méthodes fiables pour créer un mot de passe fort

1. Un mot de passe aléatoire stocké dans un gestionnaire

C’est la méthode recommandée pour 95 % de vos comptes. Utilisez le générateur de mot de passe (ou celui de votre gestionnaire), choisissez 16 à 20 caractères, et enregistrez le résultat dans un gestionnaire de mots de passe. Vous n’avez jamais à le retenir ni à le taper : le gestionnaire le remplit pour vous.

2. Une phrase de passe tirée au hasard

Pour les rares secrets à connaître par cœur (mot de passe maître du gestionnaire, session de l’ordinateur, chiffrement du disque), tirez 6 à 7 mots au hasard dans une grande liste, par exemple avec le générateur de phrase de passe :

pivert-gaufre-ancre-tulipe-orage-boussole

Le mot important est au hasard. Une phrase que vous inventez (« jaimelesvacancesalamer ») suit la grammaire et les associations d’idées : elle est beaucoup plus faible que son nombre de caractères le laisse croire.

3. La méthode des premières lettres (avec prudence)

La CNIL a longtemps mis en avant cette technique : partir d’une phrase et n’en garder que les premières lettres, chiffres et ponctuation. « Un tiens vaut mieux que deux tu l’auras » devient 1tvmQ2tl’A.

Limites : le résultat est court (10 caractères ici), la phrase de départ est souvent une citation, un proverbe ou une chanson connue — donc devinable — et l’humain reproduit les mêmes réflexes de substitution. Cette méthode reste acceptable pour un mot de passe à retenir si la phrase est longue et personnelle, mais une phrase de passe aléatoire est plus sûre et plus facile à taper.

Exemples : mauvais et bons mots de passe

Mot de passe	Problème
`azerty123`	Suite de clavier, dans le top 10 français
`Marseille2024!`	Ville + année + « ! » : respecte les règles mais suit le modèle le plus testé
`Camille1987`	Prénom et année de naissance, devinable via les réseaux sociaux
`P@ssw0rd!`	Substitutions connues de tous les logiciels de cassage
`MonMotDePasseFacebook`	Long mais prévisible, et laisse deviner celui des autres sites

Exemples de mots de passe robustes (ne les réutilisez pas, ils sont désormais publics) :

V9#qLt2!xRm@7wZe — 16 caractères aléatoires, environ 104 bits ;
k3mPq8Zr2vNx7tWb4Ly — 19 caractères alphanumériques aléatoires, environ 113 bits ;
tonneau-lavande-moteur-plume-cactus-verger-ruisseau — 7 mots aléatoires.

Vous pouvez évaluer n’importe quel mot de passe avec le testeur de robustesse, qui fonctionne sans rien envoyer sur Internet.

Idées reçues sur les mots de passe

« Il faut changer de mot de passe tous les trois mois. » Faux. Le renouvellement forcé pousse à des variations prévisibles (Printemps2026! devient Ete2026!). Changez un mot de passe en cas de fuite ou de doute, pas selon un calendrier.
« Un symbole rend le mot de passe fort. » Non : la longueur compte davantage. 14 caractères alphanumériques aléatoires battent 10 caractères avec symboles.
« Personne ne s’intéresse à mon compte. » Les attaques sont automatisées et visent tout le monde. Votre messagerie donne accès à la réinitialisation de tous vos autres comptes.
« Un mot de passe complexe suffit. » Il ne protège pas contre l’hameçonnage : si vous le tapez sur un faux site, il est volé quelle que soit sa force. D’où l’intérêt de la double authentification et des passkeys.
« Noter ses mots de passe sur papier est interdit. » Un carnet rangé chez vous vaut mieux qu’un mot de passe unique réutilisé partout. Le risque est le vol physique, pas le piratage à distance. Un gestionnaire reste plus pratique et plus sûr.

En résumé

Un mot de passe différent pour chaque compte, sans exception.
16 caractères aléatoires générés par un outil, stockés dans un gestionnaire.
Une phrase de passe de 6 à 7 mots aléatoires pour les secrets à retenir.
La double authentification sur la messagerie, la banque et le gestionnaire.
Un changement immédiat en cas de fuite, aucun changement inutile sinon.

Questions fréquentes

Un mot de passe de 8 caractères est-il encore suffisant ?

Seulement si le service bloque les tentatives répétées (temporisation, captcha, verrouillage après 10 échecs) : c’est le cas « 50 bits » prévu par la CNIL. Sans ces protections, ou si la base de données est volée, 8 caractères se cassent en quelques heures. Visez 12 caractères au minimum, 16 pour les comptes importants.

Remplacer des lettres par des chiffres (« P@ssw0rd ») rend-il un mot de passe plus sûr ?

Presque pas. Les substitutions courantes (a → @, o → 0, e → 3, s → $) sont intégrées dans les règles des logiciels de cassage et testées automatiquement. Elles n’ajoutent que quelques bits d’entropie à un mot qui reste dans le dictionnaire.

Faut-il un mot de passe différent pour chaque compte, même sans importance ?

Oui. Un compte « sans importance » piraté peut servir à hameçonner vos contacts, et surtout son mot de passe sera testé ailleurs. Avec un gestionnaire de mots de passe, avoir 200 mots de passe différents ne demande aucun effort de mémoire.

Est-il dangereux de laisser le navigateur enregistrer ses mots de passe ?

Non, les gestionnaires intégrés à Chrome, Safari, Edge ou Firefox chiffrent les mots de passe et valent bien mieux qu’un mot de passe réutilisé. Leur faiblesse : la sécurité dépend entièrement de celle de votre session et de votre compte Google, Apple ou Microsoft, qui doit être protégé par la double authentification.