Comment créer des mots de passe robustes — Guide complet de sécurité pour 2026

En 2025, plus de 24 milliards de paires identifiant/mot de passe ont été exposées lors de fuites de données à travers le monde. Le mot de passe le plus courant était toujours « 123456 ». Si votre mot de passe est court, prévisible ou réutilisé sur plusieurs sites, ce n'est qu'une question de temps avant que quelqu'un ne le craque.

Créer des mots de passe forts et uniques pour chaque compte est la mesure la plus efficace que vous puissiez prendre pour votre sécurité en ligne. Ce guide vous montre exactement comment faire — avec des outils pratiques et des stratégies accessibles à tous.

Comment les mots de passe sont craqués

Comprendre la menace vous aide à mieux vous défendre. Voici comment les attaquants s'y prennent :

Attaques par force brute

Des outils automatisés testent toutes les combinaisons de caractères possibles. Un mot de passe de 6 caractères en minuscules comporte environ 300 millions de combinaisons — un GPU moderne le craque en moins d'une seconde.

Attaques par dictionnaire

Plutôt que des combinaisons aléatoires, les attaquants essaient des mots courants, des prénoms et des mots de passe connus issus de fuites précédentes. « sunshine2024 » vous semble astucieux, mais il figure dans la liste de mots de chaque attaquant.

Credential Stuffing

Lorsqu'un site est piraté, les attaquants récupèrent les paires identifiant/mot de passe volées et les testent sur des centaines d'autres sites. Si vous réutilisez vos mots de passe, une seule fuite compromet tous vos comptes.

Ingénierie sociale

Les attaquants fouillent vos réseaux sociaux pour deviner vos mots de passe à partir du nom de votre animal de compagnie, de votre date de naissance, de votre équipe sportive préférée ou d'autres informations personnelles.

Ce qui rend un mot de passe robuste

Un mot de passe véritablement solide possède ces caractéristiques :

Facteur	Faible	Robuste
Longueur	8 caractères	16+ caractères
Types de caractères	Minuscules uniquement	Majuscules, minuscules, chiffres, symboles
Prévisibilité	Basé sur des mots réels	Aléatoire ou phrase de passe
Unicité	Réutilisé sur plusieurs sites	Unique par compte

Les mathématiques de la robustesse d'un mot de passe

• 8 lettres minuscules : 208 milliards de combinaisons → craqué en ~2 minutes
• 12 caractères mixtes : 19 sextillions de combinaisons → craqué en ~200 ans
• 16 caractères mixtes : 10^30 combinaisons → pratiquement inviolable

Chaque caractère supplémentaire multiplie la difficulté de façon exponentielle. La longueur l'emporte toujours sur la complexité.

Générez instantanément des mots de passe inviolables

Plutôt que d'essayer d'inventer vous-même des mots de passe solides (les humains sont très mauvais en matière d'aléatoire), utilisez le Générateur de mots de passe :

• Choisissez votre longueur — 16 caractères minimum recommandés, 20+ pour les comptes critiques
• Sélectionnez les types de caractères — Majuscules, minuscules, chiffres et symboles
• Excluez les caractères ambigus — Supprimez les caractères qui se ressemblent (0/O, 1/l/I) pour les mots de passe que vous pourriez saisir manuellement
• Générez plusieurs options — Créez-en plusieurs et choisissez-en un

L'outil fonctionne entièrement dans votre navigateur — aucun mot de passe généré n'est jamais transmis ou stocké.

Vérifiez la robustesse de vos mots de passe existants

Vous vous demandez si vos mots de passe actuels sont suffisamment solides ? Le Vérificateur de robustesse de mot de passe analyse votre mot de passe et vous indique :

• Temps de craquage — Combien de temps prendrait une attaque par force brute
• Score d'entropie — Une mesure mathématique du niveau d'aléatoire
• Signalement des faiblesses — Motifs courants, mots du dictionnaire ou mots de passe connus comme ayant fuité
• Suggestions d'amélioration — Des pistes concrètes pour renforcer votre mot de passe

Toute l'analyse se déroule localement dans votre navigateur — votre mot de passe n'est jamais envoyé nulle part.

La méthode de la phrase de passe

Si vous avez besoin d'un mot de passe dont vous pouvez réellement vous souvenir (pour le mot de passe maître de votre gestionnaire, par exemple), utilisez une phrase de passe :

Comment ça fonctionne

Assemblez 4 à 6 mots aléatoires sans lien entre eux :

correct-horse-battery-staple
purple-elephant-dancing-tornado-seven

Pourquoi les phrases de passe fonctionnent

• « correct-horse-battery-staple » possède 44 bits d'entropie — suffisamment solide pour la plupart des usages
• Une phrase de passe de 5 mots atteint 55+ bits — très robuste
• Elles sont bien plus faciles à retenir que k7$mP!x2qR
• Vous pouvez ajouter des chiffres ou des symboles entre les mots pour plus de solidité

Règles pour les phrases de passe

1. Utilisez des mots véritablement aléatoires (n'utilisez pas une parole de chanson ou une citation)
2. Minimum 4 mots, 5+ de préférence
3. Ajoutez un chiffre ou un symbole quelque part
4. Ne réutilisez jamais une phrase de passe sur plusieurs sites

Utilisez un gestionnaire de mots de passe

Même avec des mots de passe solides, gérer des mots de passe uniques pour plus de 100 comptes est impossible sans aide. Les gestionnaires de mots de passe règlent ce problème :

Ce qu'ils font

• Stocker tous les mots de passe dans un coffre-fort chiffré
• Remplir automatiquement les formulaires de connexion dans votre navigateur
• Générer des mots de passe aléatoires et robustes pour les nouveaux comptes
• Synchroniser sur tous vos appareils
• Vous alerter lorsque des mots de passe apparaissent dans des fuites

Gestionnaires de mots de passe recommandés

• Bitwarden — Gratuit, open-source, excellent
• 1Password — Fonctionnalités premium, excellent forfait familial
• KeePass — Gratuit, hors ligne uniquement, confidentialité maximale

Votre mot de passe maître

Le mot de passe maître de votre gestionnaire est l'UNIQUE mot de passe que vous devez mémoriser. Faites en sorte qu'il soit :

• Une phrase de passe d'au moins 5 mots
• D'au moins 20 caractères
• Totalement unique (jamais utilisé ailleurs)
• Noté et conservé dans un coffre physique (au cas où)

Authentification à deux facteurs (2FA)

Les mots de passe solides seuls ne suffisent pas. Activez la 2FA partout où c'est possible :

Types de 2FA (du meilleur au moins bon)

1. Clés matérielles (YubiKey) — Impossible à hameçonner, meilleure sécurité
2. Applications d'authentification (Google Authenticator, Authy) — Très sécurisé
3. Codes par SMS — Mieux que rien, mais vulnérable au SIM swapping
4. Codes par e-mail — Forme la plus faible, à utiliser uniquement si aucune autre option n'est disponible

Comptes prioritaires pour la 2FA

Activez la 2FA immédiatement sur :

• Les comptes e-mail (la clé maîtresse de tout)
• Les comptes bancaires et financiers
• Les comptes de réseaux sociaux
• Le stockage en ligne (Google Drive, Dropbox)
• Le gestionnaire de mots de passe lui-même

Que faire après une fuite de données

Si un service que vous utilisez est piraté :

1. Changez le mot de passe immédiatement — Utilisez le Générateur de mots de passe pour en créer un nouveau
2. Changez-le partout où vous l'aviez réutilisé — C'est pourquoi les mots de passe uniques sont essentiels
3. Activez la 2FA si ce n'est pas déjà fait
4. Surveillez vos comptes pour détecter toute activité suspecte
5. Envisagez un gel de crédit si des données financières ont été exposées

Liste de contrôle de sécurité

Parcourez cette liste pour évaluer votre niveau de sécurité :

• Tous les mots de passe comportent 16+ caractères
• Chaque compte possède un mot de passe unique
• Vous utilisez un gestionnaire de mots de passe
• La 2FA est activée sur tous les comptes critiques
• Le mot de passe maître de votre gestionnaire est une phrase de passe robuste
• Vous ne stockez pas de mots de passe en texte brut, sur des post-it ou dans la saisie automatique du navigateur
• Vous vérifiez régulièrement si vos données ont fuité

Conclusion

La sécurité des mots de passe n'est pas compliquée — il s'agit simplement d'adopter de bonnes habitudes. Générez des mots de passe forts et uniques avec le Générateur de mots de passe, vérifiez leur robustesse avec le Vérificateur de robustesse de mot de passe, stockez tout dans un gestionnaire de mots de passe et activez la 2FA partout.

Les 30 minutes que vous consacrez à cette mise en place aujourd'hui peuvent vous éviter le cauchemar d'un compte compromis demain.