Comment créer un mot de passe fort ?
Choisissez un mot de passe ou une phrase de passe, réglez la longueur et les caractères : un nouveau tirage s'affiche à chaque changement, avec sa robustesse en bits. Copiez-le, puis rangez-le dans un gestionnaire de mots de passe.
Le tirage se fait dans votre navigateur avec crypto.getRandomValues, le générateur aléatoire cryptographique du système ; rien n'est envoyé ni enregistré. Chaque caractère est tiré sans biais, par la méthode du rejet : un nombre aléatoire qui favoriserait les premiers caractères de la liste est écarté, puis tiré à nouveau. Quand plusieurs familles de caractères sont cochées, l'outil garantit au moins un caractère de chacune en recommençant le tirage s'il en manque une, ce qui laisse à chaque mot de passe valide exactement la même probabilité.
Comment calculer la robustesse d'un mot de passe ?
La robustesse se mesure en bits d'entropie. Un mot de passe de L caractères tirés au hasard parmi N possibles offre N puissance L combinaisons, soit L × log2(N) bits ; chaque bit de plus double le nombre d'essais nécessaires pour tout tester. L'outil affiche la valeur exacte, qui tient compte de l'obligation d'avoir un caractère de chaque famille et se situe donc un peu sous la formule simple.
Avec les quatre familles cochées, l'alphabet compte 90 caractères : 26 majuscules, 26 minuscules, 10 chiffres et 28 symboles. Seize caractères donnent 16 × log2(90) ≈ 103,9 bits, et 103,6 bits en valeur exacte. À 12 caractères, on tombe à 77,4 bits ; à 13, on monte à 84 bits. Huit minuscules seules ne font que 37,6 bits (8 × log2(26)).
Ce calcul ne vaut que pour un tirage réellement aléatoire. L'ANSSI le rappelle : un mot de passe choisi par une personne (un mot du dictionnaire, une date, une citation) a une entropie bien plus faible et difficile à estimer, même s'il mêle majuscules, chiffres et symboles.
| Exemple | Choix par position | Entropie |
|---|---|---|
| 8 minuscules | 26 caractères | 37,6 bits |
| 12 caractères, 4 familles | 90 caractères | 77,4 bits |
| 13 caractères, 4 familles | 90 caractères | 84 bits |
| 14 caractères sans symbole | 62 caractères | 83,2 bits |
| 16 caractères, 4 familles | 90 caractères | 103,6 bits |
| 20 caractères, 4 familles | 90 caractères | 129,7 bits |
| Phrase de 6 mots | 2 048 mots | 66 bits |
| Phrase de 8 mots | 2 048 mots | 88 bits |
Que recommandent la CNIL et l'ANSSI pour les mots de passe ?
Dans sa recommandation de 2022 (délibération n° 2022-100 du 21 juillet 2022), la CNIL fixe un minimum de 80 bits d'entropie pour un mot de passe utilisé seul, et de 50 bits quand le service limite les tentatives. Elle donne trois exemples équivalents : au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux pris dans une liste d'au moins 37 ; au moins 14 caractères avec majuscules, minuscules et chiffres ; ou une phrase de passe d'au moins 7 mots. Elle n'impose plus de renouvellement périodique pour les comptes ordinaires.
Ces exemples supposent de grands alphabets. Avec les 28 symboles de l'outil, 12 caractères donnent 77,4 bits, juste sous la barre : comptez 13 caractères pour la franchir. De même, la liste de 2 048 mots apporte 11 bits par mot : 7 mots font 77 bits et 8 mots 88 bits, d'où les 8 mots proposés par défaut.
Le guide de l'ANSSI sur l'authentification multifacteur et les mots de passe (version 2.0 du 8 octobre 2021) relie la longueur minimale à la sensibilité, pour un alphabet de 90 caractères : 9 à 11 caractères pour un niveau faible à moyen, 12 à 14 pour un niveau moyen à fort, au moins 15 au-delà, et plus de 20 par exemple pour les mots de passe qu'on n'a pas à retenir. Il recommande un mot de passe différent par service, un coffre-fort de mots de passe et, dès que possible, l'authentification multifacteur, mais déconseille de recevoir le second facteur par SMS.
La jauge de l'outil reprend ces repères : sous 50 bits, faible ; de 50 à 79, moyen (acceptable seulement si le site limite les essais) ; de 80 à 99, robuste (le minimum de la CNIL pour un mot de passe seul) ; à partir de 100, très robuste, le niveau « fort à très fort » du guide de l'ANSSI.
Mot de passe ou phrase de passe : lequel choisir ?
Une phrase de passe enchaîne des mots tirés au hasard, comme pagaie-biche-jaune-histoire-logiciel-sifflet-matelot-haricot. À entropie égale, elle est plus longue qu'un mot de passe classique, mais l'ANSSI note qu'elle est, pour certains, plus simple à mémoriser. Elle convient aux rares secrets qu'il faut retenir, comme le mot de passe maître du gestionnaire ou celui de la session de l'ordinateur. Pour tous les autres comptes, un mot de passe aléatoire de 16 caractères ou plus, conservé par le gestionnaire, est plus pratique.
La liste embarquée compte 2 048 mots français courants, de 3 à 8 lettres, qui s'écrivent naturellement sans accent : aucun mot n'a été amputé du sien. Ce choix évite deux écueils. Un accent se tape mal sur un clavier étranger ou sur certains téléphones, et é peut être codé de deux façons selon l'appareil, si bien qu'un même mot de passe tapé ailleurs peut être refusé. Les mots sont tirés avec remise : un mot peut revenir, et l'entropie affichée en tient compte.
Quelles erreurs éviter avec ses mots de passe ?
Un mot de passe robuste ne protège rien s'il est mal utilisé. Les erreurs les plus courantes :
- Réutiliser le même mot de passe sur plusieurs sites : une seule fuite ouvre alors tous les comptes. L'ANSSI recommande un mot de passe différent pour chaque service, la CNIL un mot de passe unique pour chaque compte sensible.
- Le noter dans un fichier, sur un papier sous le clavier ou dans un tableur protégé : l'ANSSI proscrit ces alternatives au coffre-fort de mots de passe.
- Y glisser une information personnelle (prénom, date de naissance, nom de l'animal) : l'ANSSI recommande un mot de passe qui n'en contienne aucune.
- Croire qu'une substitution rend un mot sûr : la CNIL cite kangourou, dont les attaques par dictionnaire testent aussi k4ng0urou ou kangourou01.
- Garder le mot de passe par défaut d'une box, d'une imprimante ou d'une caméra : l'ANSSI recommande de le modifier.
- Ignorer la double authentification : la CNIL conseille de l'activer dès que le service la propose.