« Remplacez les a par des @ et ajoutez un point d'exclamation » : ce conseil ancien ne résiste plus aux outils d'attaque actuels. La solidité d'un mot de passe se mesure, se calcule, et dépend moins de ses astuces d'écriture que de son caractère aléatoire et de son unicité. Ce guide donne les ordres de grandeur, les bons réflexes et les limites de chaque vérification.
Mesurer en bits d'entropie
L'entropie, exprimée en bits, mesure la quantité d'incertitude : chaque bit supplémentaire double le nombre d'essais nécessaires pour deviner le mot de passe. Pour un mot de passe vraiment aléatoire, elle vaut longueur × log₂(taille de l'alphabet).
| Mot de passe | Calcul | Entropie | Avec 10¹² essais par seconde* |
|---|---|---|---|
| 8 minuscules | 8 × log₂(26) | ≈ 37,6 bits | ≈ 0,2 seconde |
| 12 caractères parmi 94 | 12 × log₂(94) | ≈ 78,7 bits | ≈ 15 000 ans |
| 16 caractères parmi 94 | 16 × log₂(94) | ≈ 104,9 bits | Hors de portée |
| Phrase de 6 mots (liste de 1 000) | 6 × log₂(1 000) | ≈ 59,8 bits | ≈ 12 jours |
| Phrase de 8 mots (liste de 1 000) | 8 × log₂(1 000) | ≈ 79,7 bits | ≈ 32 000 ans |
*Hypothèse extrême et théorique : un attaquant qui possède une base d'empreintes rapides (voir Hachages MD5, SHA-256 et bcrypt : vérifier un fichier, stocker un mot de passe) et un matériel très puissant. Une moyenne d'essais correspond à la moitié de l'espace. Les durées sont des ordres de grandeur ; elles illustrent surtout l'écart considérable entre 38 et 80 bits.
Générer un mot de passe avec Générateur de mot de passe
- Choisissez la longueur (de 8 à 128 caractères) et les ensembles de caractères voulus : minuscules, majuscules, chiffres, symboles.
- L'outil tire chaque caractère avec le générateur aléatoire sécurisé de votre navigateur, en rejetant les valeurs qui fausseraient la répartition : chaque caractère a exactement la même chance de sortir. Au moins un caractère de chaque ensemble coché est garanti.
- « Exclure les caractères ambigus » retire I, l, 1, O et 0, faciles à confondre à la lecture ou à la dictée.
- Lisez l'entropie affichée et visez au moins 80 bits pour un compte important.
- Copiez le résultat dans votre gestionnaire de mots de passe : rien n'est envoyé ni enregistré, et il disparaît quand vous quittez la page.
Une phrase de passe (mots tirés au hasard dans une liste de plus de 1 000 mots) est beaucoup plus facile à retenir qu'une suite de symboles. Attention à la longueur : 6 mots ne donnent que 59,8 bits, suffisants pour un compte protégé par un site qui limite les essais, mais fragiles face à une attaque hors ligne rapide ; comptez 8 mots (79,7 bits) pour le mot de passe de votre gestionnaire ou de votre ordinateur, que vous devez saisir à la main.
Règles pratiques
- Un mot de passe unique par compte. Un excellent mot de passe réutilisé sur dix sites est exposé dès la première fuite.
- Utilisez un gestionnaire de mots de passe pour retenir un seul secret solide (une phrase de passe) et laisser le gestionnaire produire le reste.
- Activez la double authentification là où c'est possible, de préférence par application ou clé matérielle plutôt que par SMS.
- Ne partagez jamais un mot de passe par e-mail ou messagerie ; changez-le s'il a été exposé.
- N'imposez pas un changement régulier sans raison : changer à chaque trimestre pousse à choisir plus faible. Changez en cas de fuite ou de doute.
Erreurs fréquentes
- Se fier à une apparence compliquée (« P@ssw0rd! ») : les attaquants testent ces substitutions d'abord.
- Utiliser une date de naissance, un prénom, le nom d'un animal ou d'une équipe.
- Faire varier un même mot de passe d'un site à l'autre en ajoutant le nom du site.
- Choisir un mot de passe court parce que « le site est sans importance » : c'est souvent le point d'entrée vers votre messagerie.
- Oublier le code de récupération du gestionnaire de mots de passe.
Limites honnêtes
- Les durées de cassage dépendent de suppositions sur le matériel de l'attaquant et sur la manière dont le site stocke les mots de passe : ce sont des ordres de grandeur.
- Un excellent mot de passe ne protège pas contre l'hameçonnage ni contre un logiciel espion.
- La vérification de fuite exige une connexion à internet et peut être limitée par le service ; l'outil indique alors combien de temps attendre.
Questions fréquentes
Quelle longueur choisir ?
Au moins 12 caractères aléatoires, 16 pour un compte important. Avec une phrase de passe tirée dans une liste de 1 000 mots, visez 8 mots tirés au hasard.
Les mots de passe générés sont-ils enregistrés ?
Non. Ils sont créés dans votre navigateur et disparaissent quand vous quittez la page : copiez-les dans votre gestionnaire.
Mon mot de passe est-il envoyé pour vérifier une fuite ?
Non. Seuls les cinq premiers caractères de l'empreinte SHA-1 sont transmis ; la comparaison finale a lieu chez vous.
Une phrase de passe est-elle plus sûre qu'un mot de passe ?
À entropie égale, oui pour la mémorisation. Pour la solidité, tout dépend du nombre de mots et de leur caractère aléatoire : une citation connue est faible.
Faut-il changer régulièrement ses mots de passe ?
Pas sans raison. Changez-les en cas de fuite, de soupçon ou de partage accidentel, et gardez-les uniques.