Comment créer un mot de passe sécurisé : bonnes pratiques

Un mot de passe volé suffit à compromettre une messagerie, un compte bancaire ou une identité numérique entière. Pourtant, 86 % des violations de données trouvent leur origine dans un vol d’identifiants — un chiffre qui dit tout sur la réalité du risque. Comprendre ce qui rend un mot de passe réellement difficile à casser, puis appliquer une méthode concrète pour en créer, les mémoriser et les gérer au quotidien : c’est exactement ce que ce guide propose, y compris quand un service impose 12 caractères ou que l’on tape sur un clavier de téléphone.

Ce qui rend un mot de passe sécurisé en pratique

La sécurité d’un mot de passe repose sur trois piliers : la longueur, l’imprévisibilité et l’unicité. Ces trois critères se complètent et aucun ne suffit seul. Un mot de passe très long mais issu du dictionnaire reste vulnérable à une attaque par dictionnaire. Un mot de passe court mais aléatoire succombe rapidement à une attaque par force brute. Et un mot de passe parfait, réutilisé sur dix services, devient une bombe à retardement dès qu’un seul de ces services est compromis.

L’entropie est le concept technique qui mesure l’imprévisibilité d’un mot de passe. Plus l’entropie est élevée, plus le nombre de combinaisons possibles est grand, plus le temps nécessaire pour le deviner augmente exponentiellement. L’entropie dépend de deux variables : la longueur du mot de passe et la taille de l’alphabet utilisé (minuscules seules, ou ajout de majuscules, chiffres, caractères spéciaux comme @, #, !, ?, %).

Une idée reçue tenace mérite d’être déconstruite : la complexité apparente ne garantit pas la sécurité réelle. Remplacer le « a » par « @ » ou le « e » par « 3 » dans un mot courant — une technique appelée leet speak — est parfaitement connue des outils de craquage modernes. Ces substitutions sont intégrées dans les dictionnaires d’attaque depuis des années. Ce qui compte, ce n’est pas que le mot de passe semble complexe à l’œil humain, c’est qu’il soit statistiquement difficile à deviner pour une machine.

• Longueur : chaque caractère supplémentaire multiplie exponentiellement le nombre de combinaisons possibles.
• Imprévisibilité : éviter les mots du dictionnaire, les suites logiques, les informations personnelles.
• Unicité : un mot de passe différent par service, sans exception.
• Diversité des caractères : mélanger majuscules, minuscules, chiffres et caractères spéciaux augmente l’entropie sans allonger excessivement le mot de passe.

La recommandation officielle de la CNIL et du portail cybermalveillance.gouv.fr converge sur ces mêmes critères. Ces organismes insistent particulièrement sur l’unicité : une personne gère en moyenne une centaine de mots de passe pour ses comptes en ligne, et la tentation de réutiliser le même identifiant est compréhensible — mais elle expose à des risques considérables, allant de la lecture des courriers électroniques au vol d’identité, en passant par des achats frauduleux via les informations bancaires enregistrées. Ces risques sont bien réels et documentés.

La longueur reste le levier le plus puissant. C’est précisément pourquoi le seuil de 12 caractères s’est imposé comme minimum recommandé — mais ce chiffre mérite d’être expliqué et nuancé.

Pourquoi 12 caractères est un minimum, pas une garantie

Douze caractères : c’est le seuil en dessous duquel aucun mot de passe ne devrait descendre aujourd’hui. Ce chiffre n’est pas arbitraire. Il reflète les capacités actuelles des outils de craquage et la puissance de calcul disponible. Selon une étude datée de janvier 2025 sur la vitesse de craquage des mots de passe, un mot de passe de 12 caractères composé uniquement de lettres minuscules peut être trouvé en 13 jours. C’est long comparé à un mot de passe de 8 caractères — cracké en quelques heures — mais c’est insuffisant face à des attaquants déterminés.

Ce tableau illustre un point fondamental : 12 caractères mixtes et 12 caractères en minuscules n’ont rien à voir en termes de résistance. L’ajout de majuscules, de chiffres et de caractères spéciaux fait passer l’entropie à un niveau qui rend l’attaque par force brute pratiquement inenvisageable avec les ressources actuelles.

Mais la longueur seule ne suffit pas si le contenu est prévisible. Un mot de passe de 12 caractères comme « MonChien2024 ! » intègre pourtant une majuscule, des minuscules, un chiffre et un caractère spécial. Il semble respecter toutes les règles. Pourtant, il est vulnérable à une attaque par dictionnaire enrichie : les outils modernes testent des combinaisons de mots courants, de prénoms, d’années et de signes de ponctuation. Ce mot de passe serait cracké en un temps très court malgré ses 13 caractères.

La leçon est claire : 12 caractères est un plancher, pas un objectif. Et la composition de ces 12 caractères — leur imprévisibilité, leur diversité — est tout aussi déterminante que leur nombre. C’est précisément ce que la méthode de la phrase de passe permet d’atteindre facilement.

Méthode simple pour créer un mot de passe long et robuste

La phrase de passe est aujourd’hui la méthode la plus recommandée pour créer des mots de passe à la fois longs, résistants et mémorisables. Le principe : choisir une phrase personnelle, inédite, et en extraire une séquence de caractères selon une règle simple.

La technique des initiales est l’une des plus efficaces. On part d’une phrase que l’on est seul à connaître — pas un proverbe célèbre, pas une citation connue — et on prend la première lettre de chaque mot, en y intégrant les chiffres et la ponctuation d’origine. L’exemple suivant illustre bien la démarche :

« J’aime manger des pommes chaque matin à 8 heures ! » devient « Jamdpcma8h ! »

Ce résultat fait 11 caractères, contient une majuscule, des minuscules, un chiffre et un caractère spécial. En allongeant légèrement la phrase source, on dépasse aisément les 12 caractères requis. La force de cette méthode : le mot de passe n’est pas un mot existant, il n’apparaît dans aucun dictionnaire, et pourtant il est parfaitement mémorisable pour qui connaît la phrase d’origine.

Pour aller plus loin et atteindre une entropie encore plus élevée, la phrase de passe directe — quatre à six mots aléatoires séparés par des tirets, des espaces ou des caractères spéciaux — est une alternative excellente :

• Choisir quatre mots sans lien sémantique évident : vélo, nuage, citron, marteau
• Les séparer par un caractère spécial : vélo#nuage !citron%marteau
• Optionnel : remplacer l’un des séparateurs par un chiffre : vélo#nuage3citron%marteau

Ce type de phrase de passe dépasse facilement 20 caractères, est résistant à toute attaque par force brute raisonnable, et peut être mémorisé par association d’images mentales. C’est la méthode privilégiée pour créer le mot de passe maître d’un gestionnaire de mots de passe.

Quelques règles pratiques à garder en tête lors de la création :

• Ne jamais partir d’un mot du dictionnaire seul, même modifié.
• Intégrer au moins un chiffre et un caractère spécial (@, #, !, ?, %) de façon non prévisible.
• Viser 14 à 20 caractères pour les comptes sensibles (messagerie, banque, gestionnaire).
• Créer une règle personnelle et cohérente, applicable à la mémorisation sans être devinable.

Cette démarche élimine le besoin de règles arbitraires imposées par certains services (« au moins une majuscule, un chiffre, un caractère spécial ») car elle les intègre naturellement. Elle évite aussi les pièges les plus fréquents — ceux qui donnent l’illusion de la sécurité sans en offrir la substance.

Les erreurs qui affaiblissent un mot de passe, même s’il a l’air « complexe »

Un mot de passe peut cocher toutes les cases visuelles — majuscule, chiffre, caractère spécial, longueur suffisante — et rester parfaitement vulnérable. Les erreurs les plus courantes sont précisément celles qui passent inaperçues parce qu’elles semblent anodines.

Les informations personnelles sont la première erreur à éviter absolument. Date de naissance, prénom d’un enfant, nom d’un animal de compagnie, ville de naissance : ces éléments sont souvent accessibles sur les réseaux sociaux ou devinables par un attaquant qui cible une personne spécifique. « Fido2010 ! » ou « Paris1985@ » sont des mots de passe faibles malgré leur apparence.

Les suites de clavier sont une autre erreur classique. « azerty », « qwerty », « 123456 » ou même « 1q2w3e4r » figurent dans tous les dictionnaires d’attaque. Ces séquences sont testées en priorité par les outils automatisés.

Les substitutions évidentes — le leet speak — ne trompent plus personne côté machine. Écrire « P@ssw0rd » au lieu de « Password » n’apporte aucune sécurité réelle : cette substitution est intégrée dans les variantes testées par les outils de craquage modernes.

La réutilisation est sans doute l’erreur la plus dangereuse. Utiliser le même mot de passe sur plusieurs services crée un effet domino : dès qu’une base de données est compromise et les identifiants publiés, tous les comptes partageant ce mot de passe deviennent accessibles. Les conséquences peuvent inclure la lecture de la messagerie, le piège des contacts, des achats frauduleux via les informations bancaires enregistrées, un vol d’identité ou une demande de rançon.

Les variantes légères d’un même mot de passe constituent également un piège. Passer de « MonMotDePasse1 » à « MonMotDePasse2 » ou ajouter un point d’exclamation en fin de chaîne donne une fausse impression de renouvellement. Les attaquants qui ont obtenu un mot de passe testent systématiquement ses variantes prévisibles.

• Informations personnelles identifiables (date, prénom, animal, ville)
• Suites de clavier ou séquences numériques
• Substitutions évidentes type leet speak
• Réutilisation sur plusieurs comptes
• Variantes légères d’un mot de passe existant
• Mots du dictionnaire, même combinés simplement

Éviter ces erreurs ne demande pas de compétences techniques. Il suffit d’une méthode de création structurée — et d’une stratégie pour mémoriser sans réutiliser, ce qui est précisément l’objet de la section suivante.

Mémoriser sans réutiliser : phrases de passe et gestionnaire de mots de passe

Le problème de la mémorisation est réel. Avec une centaine de comptes en ligne en moyenne par personne, il est humainement impossible de retenir autant de mots de passe uniques et robustes. Deux approches complémentaires permettent de résoudre cette équation.

La phrase de passe maîtresse est le premier pilier. Il s’agit d’un seul mot de passe — long, robuste, mémorisé — réservé exclusivement à l’ouverture d’un gestionnaire de mots de passe. Ce mot de passe maître ne doit jamais être utilisé ailleurs. Il peut être une phrase de passe directe de cinq ou six mots aléatoires, séparés par des caractères spéciaux, atteignant facilement 25 à 30 caractères. Cette longueur le rend pratiquement inattaquable par force brute.

Le gestionnaire de mots de passe est le second pilier, et probablement l’outil le plus utile en matière de sécurité numérique quotidienne. Ce logiciel sécurisé stocke l’ensemble des identifiants et génère des mots de passe aléatoires, longs et uniques pour chaque service. L’utilisateur n’a qu’un seul mot de passe à retenir : celui qui ouvre le gestionnaire. Tout le reste est géré automatiquement.

Les avantages sont multiples :

• Génération automatique de mots de passe longs et aléatoires pour chaque compte.
• Unicité garantie : chaque service reçoit un identifiant différent.
• Remplissage automatique des formulaires de connexion, ce qui réduit aussi le risque de phishing (on ne tape pas un mot de passe sur un faux site).
• Alerte en cas de fuite détectée sur un service utilisé.

Pour les quelques mots de passe que l’on souhaite mémoriser sans gestionnaire — la phrase maîtresse, le code de déverrouillage du téléphone, le mot de passe du réseau domestique — la méthode des initiales décrite précédemment reste la plus efficace. Elle produit des séquences mémorisables par la phrase source, uniques par construction, et résistantes par leur composition.

La CNIL et cybermalveillance.gouv.fr recommandent également de renouveler ses mots de passe régulièrement, idéalement tous les trois mois, et immédiatement en cas de doute ou d’alerte de fuite. Un gestionnaire facilite ce renouvellement : il suffit de regénérer un mot de passe aléatoire et de le sauvegarder, sans effort de mémorisation supplémentaire.

Une fois cette infrastructure en place — phrase maîtresse solide, gestionnaire actif, unicité par service — la question n’est plus de créer de meilleurs mots de passe, mais de renforcer la protection au-delà du mot de passe lui-même.

Renforcer au-delà du mot de passe : 2fa, passkeys et réflexes anti-phishing

Un mot de passe, aussi robuste soit-il, peut être volé sans être cracké : via une fuite de base de données, un logiciel malveillant ou une attaque de phishing. C’est pourquoi les experts en sécurité s’accordent à dire que le mot de passe seul ne suffit plus comme unique ligne de défense.

L’authentification multifacteur (2FA ou MFA) ajoute une couche de vérification supplémentaire au-delà du mot de passe. Même si un attaquant obtient vos identifiants, il ne peut pas se connecter sans le second facteur. Ce second facteur peut prendre plusieurs formes :

• Un code envoyé par SMS ou par courriel lors d’une tentative de connexion.
• Un code généré par une application d’authentification (plus sécurisé que le SMS).
• Une clé physique de sécurité (clé FIDO2/U2F).

L’activation de la double authentification est recommandée par la CNIL et cybermalveillance.gouv.fr dès que le service le propose, en priorité sur les comptes les plus sensibles : messagerie, banque, réseaux sociaux, gestionnaire de mots de passe.

Les passkeys représentent une évolution encore plus profonde. Il s’agit de clés cryptographiques liées à un appareil et déverrouillées par biométrie (empreinte digitale, reconnaissance faciale) ou par le code PIN de l’appareil. Elles remplacent entièrement le mot de passe : aucun secret partagé n’est transmis au serveur, ce qui élimine structurellement le risque de vol d’identifiants par phishing ou fuite de base de données. De grands services ont commencé à les déployer, et leur adoption progresse rapidement.

Face au phishing, quelques réflexes simples s’imposent :

• Ne jamais cliquer sur un lien reçu par courriel ou SMS pour se connecter à un service sensible : aller directement sur le site via son adresse habituelle.
• Vérifier l’adresse du site avant de saisir un identifiant.
• Ne jamais communiquer un mot de passe par téléphone, courriel ou messagerie, quelle que soit la demande.
• Signaler les tentatives de phishing sur la plateforme cybermalveillance.gouv.fr.

En cas de doute sur une compromission, changer immédiatement le mot de passe du service concerné et activer la double authentification si ce n’est pas encore fait. Ces couches de protection combinées — mot de passe robuste, unicité, gestionnaire, 2FA, vigilance phishing — constituent une défense en profondeur efficace. Il ne reste plus qu’à les mettre en pratique, avec des exemples concrets adaptés aux contraintes du quotidien.

Exemples et modèles : 8 ou 12 caractères, caractères spéciaux, création sur téléphone

Les exemples ci-dessous sont des modèles de structure, non des mots de passe à copier. Les réutiliser tels quels serait contre-productif : leur valeur est pédagogique, leur usage doit être personnel.

Modèle à 12 caractères mixtes (contrainte de service courante) :

• Phrase source personnelle : « Je bois 2 cafés chaque matin ! »
• Initiales + chiffres + ponctuation : Jb2ccm ! → trop court (7 caractères)
• Enrichissement : ajouter l’initiale du service + une séquence fixe personnelle : Jb2ccm !Gm3 → 11 caractères
• Ajustement final : Jb2ccm !Gm3@ → 12 caractères, mixte complet

Cette technique d’ajout d’un suffixe lié au service (ici « Gm » pour un service fictif) permet de générer des mots de passe différents par service à partir d’une base mémorisée, sans réutiliser exactement le même identifiant. Attention toutefois : si la règle de construction est découverte, tous les mots de passe dérivés sont compromis. Cette méthode est acceptable pour des comptes peu sensibles ; pour les comptes critiques, un gestionnaire reste préférable.

Modèle phrase de passe longue (compte sensible) :

• Quatre mots sans lien : lampe, orage, sifflet, carotte
• Assemblage avec séparateurs variés : lampe#orage7sifflet !carotte
• Résultat : 26 caractères, entropie très élevée, mémorisable par image mentale

Création sur téléphone : les astuces pratiques

Saisir un mot de passe complexe sur un clavier mobile est souvent source d’erreurs. Quelques réflexes facilitent la tâche :

• Désactiver l’autocorrection avant de saisir un mot de passe : l’autocorrect peut modifier silencieusement ce que l’on tape, rendant le mot de passe impossible à reproduire.
• Utiliser le copier-coller depuis le gestionnaire : la plupart des gestionnaires de mots de passe ont une application mobile qui remplit automatiquement les champs de connexion.
• Activer l’affichage temporaire du mot de passe (l’icône œil dans le champ de saisie) pour vérifier ce qui a été tapé avant de valider.
• Éviter les caractères difficiles d’accès sur mobile (certains caractères spéciaux nécessitent plusieurs appuis) si l’on crée un mot de passe destiné à être saisi manuellement et fréquemment sur téléphone. Préférer alors une phrase de passe longue avec des séparateurs simples (-, !, @).

Récapitulatif des niveaux de robustesse :

Renouveler ses mots de passe tous les trois mois pour les comptes les plus exposés, et immédiatement en cas de notification de fuite, reste une pratique de base recommandée par les autorités compétentes. Le gestionnaire rend ce renouvellement indolore.

FAQ

Quelle est la meilleure pratique pour créer un mot de passe sécurisé ?

Utiliser une phrase de passe longue (14 caractères minimum), mêlant majuscules, minuscules, chiffres et caractères spéciaux, unique par service, et stockée dans un gestionnaire de mots de passe. Activer la double authentification sur tous les comptes qui le permettent.

Comment puis-je créer un mot de passe sécurisé ?

Choisir une phrase personnelle inédite, prendre les initiales de chaque mot, intégrer les chiffres et la ponctuation d’origine, puis ajuster pour atteindre au moins 12 caractères avec des types de caractères variés. Pour les comptes sensibles, laisser le gestionnaire de mots de passe générer un identifiant aléatoire.

Quels sont les 12 caractères pour un mot de passe ?

Douze caractères est le minimum recommandé par la CNIL et cybermalveillance.gouv.fr. Ces 12 caractères doivent impérativement mélanger majuscules, minuscules, chiffres et caractères spéciaux (@, !, #, %, ?) pour offrir une résistance réelle. Un 12 caractères composé uniquement de minuscules peut être cracké en 13 jours selon les données de janvier 2025.

Comment puis-je créer un mot de passe long et sécurisé ?

La méthode la plus efficace est la phrase de passe : quatre à six mots aléatoires sans lien sémantique, séparés par des caractères spéciaux variés. Le résultat dépasse facilement 20 caractères, est mémorisable par association d’images et résiste à toute attaque par force brute raisonnable.

La sécurité des mots de passe n’est pas une affaire de règles complexes à mémoriser, mais d’habitudes simples à ancrer : une phrase de passe solide, un gestionnaire pour le reste, la double authentification partout où c’est possible. Ces trois réflexes, appliqués ensemble, réduisent drastiquement le risque de compromission — et ils sont à la portée de tous, quel que soit le niveau technique.