Comment créer un mot de passe aléatoire fort (et s'en souvenir)

La plupart des mots de passe ne sont pas brisés par une brillante devinette. Ils sont brisés parce qu’ils sont courts, réutilisés ou construits à partir de modèles prévisibles. Un mot de passe aléatoire fort supprime entièrement le modèle.

Points clés à retenir

• Le hasard compte plus que les règles de substitution intelligentes.
• La longueur est le moyen le plus simple d'ajouter de la force.
• Utilisez un mot de passe unique pour chaque compte.
• Stockez les mots de passe dans un gestionnaire de mots de passe, pas dans votre mémoire ni dans une feuille de calcul.
• Activez l'authentification à deux facteurs partout où elle est disponible.

Pourquoi les mots de passe choisis par l'homme échouent

Les gens sont doués pour trouver des modèles et mauvais pour être imprévisibles. Les choix courants se regroupent autour des noms, des dates, des équipes sportives, des promenades au clavier et de la même poignée de substitutions : a devient @, o devient 0 et un point d'exclamation apparaît à la fin.

Les attaquants connaissent ces habitudes. Ils utilisent des dictionnaires de mots de passe divulgués, des règles qui étendent ces dictionnaires et du matériel rapide. Un mot de passe tel que Summer2026 ! peut sembler complexe, mais il suit un modèle auquel s’attendent les outils de piratage de mots de passe.

La génération aléatoire évite le problème du modèle. Au lieu de demander à une personne d'inventer l'imprévisibilité, un générateur tire des personnages d'un ensemble défini à l'aide d'une source aléatoire sécurisée. Le résultat peut être plus difficile à mémoriser, c'est pourquoi un gestionnaire de mots de passe a sa place dans le flux de travail.

Entropie : le chiffre qui compte

L'entropie mesure l'incertitude en bits. Si un mot de passe est choisi uniformément parmi un ensemble de possibilités, son entropie est le logarithme en base 2 du nombre de possibilités. Un code PIN à quatre chiffres possède environ 13 bits d’entropie. Un mot de passe aléatoire de 16 caractères tirés parmi 94 caractères imprimables en contient bien plus.

L'entropie n'est pas la même chose que la longueur. Un mot de passe de 20 caractères créé à partir d'une phrase prévisible peut avoir moins d'entropie réelle qu'un mot de passe aléatoire de 12 caractères. Ce qui compte, c'est le nombre de choix également probables qu'un attaquant doit prendre en compte.

Pour la plupart des comptes en ligne, un mot de passe aléatoire d'au moins 16 caractères constitue une valeur par défaut. Vingt caractères ou plus, c'est mieux lorsque le service le permet. Le seuil exact dépend du modèle de menace et des limites de débit du service, mais des chaînes aléatoires plus longues sont rarement une mauvaise idée.

Longueur versus complexité

Les politiques de mot de passe nécessitent souvent des majuscules, des minuscules, des chiffres et des symboles. Ces règles peuvent aider, mais la longueur fait plus de travail. Chaque caractère aléatoire supplémentaire multiplie l'espace de recherche. Augmenter le jeu de caractères est également utile, mais l'effet de l'ajout d'un caractère est généralement plus important et plus facile à raisonner.

Une approche pratique consiste à utiliser le mot de passe le plus long accepté par un service, avec un mélange de types de caractères. Si un site limite la longueur à 12 caractères, utilisez la longueur complète et incluez tous les types de caractères autorisés. S'il accepte 64 caractères, ne vous arrêtez pas à 12.

Personnages ressemblants et convivialité

Les caractères tels que 0 et O, ou 1, l et I, sont faciles à confondre lorsqu'un mot de passe est lu à voix haute ou saisi sur un écran. De nombreux générateurs proposent une option d’exclusion des sosies. Cela réduit légèrement le jeu de caractères mais rend la saisie manuelle moins sujette aux erreurs.

La convivialité fait partie de la sécurité. Un mot de passe si difficile à saisir que quelqu’un l’écrit sur un post-it n’aide pas. Utilisez un gestionnaire de mots de passe pour copier et coller, et réservez les mots de passe saisis manuellement pour les quelques endroits où la saisie automatique n'est pas disponible.

Phrases secrètes pour les humains, chaînes aléatoires pour les machines

Une phrase secrète composée de plusieurs mots choisis au hasard peut être à la fois forte et mémorable. Cinq à sept mots d'une grande liste de mots peuvent fournir une entropie substantielle, en particulier lorsque les mots sont choisis uniformément et que la liste est longue.

Utilisez une phrase secrète pour un mot de passe principal dont vous devez vous souvenir. Utilisez de longues chaînes aléatoires pour les comptes individuels stockés dans le gestionnaire de mots de passe. Cela combine la mémoire humaine avec le caractère unique généré par la machine.

Stockage, réutilisation et authentification à deux facteurs

Un mot de passe fort ne constitue qu'un élément de la sécurité du compte :

• Utilisez un gestionnaire de mots de passe réputé avec un mot de passe principal fort.
• Générez un mot de passe unique pour chaque compte.
• Activez l'authentification à deux facteurs, de préférence une clé matérielle ou une application d'authentification.
• Conservez les codes de récupération dans un endroit sûr et hors ligne.
• Modifiez immédiatement un mot de passe si un service signale une violation.

La réutilisation d’un mot de passe transforme une violation en plusieurs. Un gestionnaire de mots de passe rend les mots de passe uniques pratiques car il vous suffit de mémoriser le mot de passe principal.

Comment fonctionne le générateur de mots de passe sur ce site

Le générateur utilise crypto.getRandomValues() et s'exécute entièrement dans votre navigateur. Il combine les jeux de caractères que vous sélectionnez, dessine uniformément et estime l'entropie résultante. Il n’envoie le mot de passe nulle part.

Cette conception réduit l'exposition : il n'y a pas de journal de mot de passe côté serveur ni de requête réseau contenant le secret. Les risques restants sont locaux, comme les logiciels malveillants ou un appareil compromis. Gardez votre système d'exploitation et votre navigateur à jour et évitez de générer des mots de passe sur un appareil auquel vous ne faites pas confiance.

Conclusion

Un mot de passe fort est long, aléatoire, unique et stocké en toute sécurité. Les règles de complexité sont secondaires. Générez avec une source sécurisée, enregistrez le résultat dans un gestionnaire de mots de passe et ajoutez un deuxième facteur. Ces habitudes font plus pour votre sécurité qu’une simple substitution de personnage intelligente.