Un ami m'a appelé un dimanche soir, paniqué. Sa banque venait de lui envoyer une alerte : une connexion depuis un pays où il n'a jamais mis les pieds. Mot de passe unique, réutilisé depuis 2014 sur une bonne dizaine de sites. Le lendemain matin, deux autres comptes étaient compromis. Il a passé sa semaine à changer des identifiants les uns après les autres, sans vraiment savoir dans quel ordre s'y prendre.
C'est toujours le même scénario. On protège ses mots de passe quand il est trop tard, ou on se contente d'un mot de passe « fort » qu'on répète partout. Sauf qu'en 2026, la vraie question n'est plus « quel mot de passe choisir » mais « comment arrêter de dépendre d'un mot de passe mal pensé ».
Points clés à retenir
- Un mot de passe réutilisé, même très long, est un mot de passe déjà à moitié cassé : la fuite d'un seul site ouvre tous les autres.
- La longueur compte bien plus que la complexité : 16 caractères quelconques résistent mieux que 8 caractères parsemés de symboles.
- Un gestionnaire de mots de passe fait deux choses qu'aucun cerveau humain ne peut faire : générer des identifiants uniques et les retenir à votre place.
- La double authentification (2FA) rattrape la plupart des fuites de mot de passe, mais seulement si elle n'est pas par SMS.
- Après une fuite, l'ordre des opérations compte : changez d'abord l'email de récupération, ensuite le mot de passe.
- Les passkeys (clés d'accès) suppriment le problème à la racine pour les sites qui les prennent en charge — pas encore tous, loin de là.
Protéger ses mots de passe commence par accepter une vérité désagréable
La plupart des conseils qu'on trouve en ligne répètent la même rengaine : majuscules, chiffres, caractères spéciaux. Franchement, ça rate l'essentiel. Un mot de passe de 8 caractères bien « complexe » se casse en quelques minutes avec du matériel grand public. Un mot de passe de 18 caractères minuscules ordinaires tient des siècles.
Pourquoi la longueur écrase la complexité
Le mécanisme est simple à comprendre. Une attaque par force brute teste toutes les combinaisons possibles. Chaque caractère supplémentaire multiplie le nombre de possibilités par la taille de l'alphabet utilisé. Passer de 8 à 16 caractères, même en se limitant aux lettres minuscules, multiplie l'effort nécessaire par environ 26 puissance 8 — soit plus de 200 milliards de combinaisons en plus.
Les exigences de complexité, elles, produisent souvent l'effet inverse. Forcé de mettre une majuscule et un chiffre quelque part, on écrit Azerty2024! et on se croit protégé. Ce genre de schéma figure en tête des dictionnaires utilisés par les outils de cassage. Résultat : un mot de passe « conforme » aux règles, et cassé en trois secondes.
- Visez au minimum 16 caractères. En dessous de 12, vous jouez à la loterie.
- Une phrase de passe — quatre ou cinq mots sans lien entre eux — est plus facile à retenir qu'une suite aléatoire et tout aussi solide.
- Évitez tout ce qui vous concerne : prénom, date de naissance, nom de l'entreprise, équipe de foot favorite.
- Le changement systématique tous les 90 jours est une mauvaise habitude héritée d'une époque révolue. Elle pousse à faire varier un mot de passe par un autre à un caractère près.
Combien de mots de passe peut-on vraiment retenir ?
La réponse honnête : très peu. Je m'étais fixé un objectif personnel il y a quelques années — retenir une dizaine de mots de passe robustes et distincts. J'ai tenu deux mois. À partir du sixième, je mélangeais les variantes, et je finissais par noter les plus anciens dans un carnet.
Personne n'a une mémoire conçue pour ça. Un cerveau humain retient bien une information liée à un contexte, pas cinquante chaînes aléatoires. C'est précisément le vide que viennent combler les gestionnaires de mots de passe.
Comment fonctionne un gestionnaire de mots de passe (et pourquoi c'est la vraie solution)
Un gestionnaire stocke tous vos identifiants dans un fichier chiffré, appelé coffre. Ce coffre n'est déverrouillé que par une seule chose : votre mot de passe maître. Le logiciel génère des mots de passe aléatoires impossibles à deviner, les remplit automatiquement sur les sites, et vous n'en voyez jamais la couleur.
Le principe du chiffrement, en clair
Votre coffre est chiffré localement, sur votre appareil, avant d'être synchronisé. Le fournisseur ne stocke qu'une version illisible : même s'il se faisait pirater, l'attaquant tomberait sur des données inexploitables sans votre mot de passe maître. C'est la différence fondamentale avec un simple fichier Excel.
Ce mot de passe maître devient alors le seul que vous devez retenir. Le paradoxe est là : utiliser un gestionnaire réduit votre charge mentale au lieu de l'augmenter.
Comment choisir son outil
Voici une comparaison rapide des grandes familles de solutions, sur les critères qui comptent vraiment.
| Type d'outil | Points forts | Limites |
|---|---|---|
| Gestionnaire gratuit (Bitwarden, KeePass) | Coût nul, code source auditable pour KeePass, synchronisation possible | Interface parfois austère, support limité |
| Gestionnaire intégré au navigateur (Google, Firefox) | Installation immédiate, aucun compte à créer | Sécurité moins robuste, dépendance totale au navigateur |
| Gestionnaire payant (1Password, Dashlane) | Fonctions avancées, partage familial, support réactif | Abonnement mensuel, vos données chez un tiers |
| Passkeys (FIDO2) | Supprime le mot de passe, résiste au phishing par conception | Prise en charge inégale selon les sites |
Un point souvent oublié : l'ANSSI a publié un guide sur les gestionnaires de mots de passe qui recommande d'en utiliser un, en insistant sur trois critères — l'auditabilité du code, la synchronisation locale ou chiffrée de bout en bout, et la robustesse du chiffrement du coffre. Autrement dit : tous les gestionnaires ne se valent pas, et c'est un dossier sur lequel il vaut la peine de perdre une heure avant de confier toutes ses clés.
Le gestionnaire, un point unique de défaillance ?
On me fait souvent l'objection. Si tout est dans un seul coffre et que ce coffre tombe, je perds tout. Oui, c'est vrai. Mais c'est un raisonnement à courte vue. Aujourd'hui, votre point de défaillance n'est pas un coffre : c'est votre cerveau, qui est encore plus fragile. Un mot de passe oublié sur un seul site peut déjà vous bloquer des semaines.
La réponse concrète : protégez votre mot de passe maître par une phrase de passe longue, gardez une clé de secours imprimée dans un endroit sûr chez vous, et activez la double authentification sur le compte du gestionnaire lui-même. Trois précautions, dix minutes, une tranquillité durable.
La double authentification : ce qui rattrape vos erreurs
Vous avez beau faire tout juste, un jour un site sur lequel vous avez un compte se fera pirater. Quand ça arrive, votre mot de passe fuit. La seule question qui compte : l'attaquant peut-il s'en servir ?
Si vous avez activé la double authentification, la réponse est non. Il lui faudra un second facteur qu'il n'a pas : votre téléphone ou votre clé physique.
Pourquoi éviter la 2FA par SMS
Le code reçu par SMS est vulnérable à une attaque appelée SIM swapping. Un attaquant convainc votre opérateur de transférer votre numéro vers une carte SIM qu'il contrôle. Dès cet instant, il reçoit vos codes. Cette technique est documentée depuis des années et reste utilisée.
Préférez une application d'authentification (TOTP) ou, mieux encore, une clé de sécurité physique type FIDO2. Le phishing devient alors quasi impossible : la clé ne fonctionne que sur le vrai site, jamais sur une copie.
Que faire après une fuite de données ?
Vous recevez un email vous informant qu'un site a été compromis. Que faire, concrètement, dans quel ordre ?
Comment vérifier si vos identifiants ont fuité
Le site Have I Been Pwned permet de saisir une adresse email et de voir dans quelles fuites connues elle apparaît. C'est un service public, gratuit, tenu par un chercheur en sécurité reconnu. Le réflexe utile : y passer chacune des adresses email que vous utilisez.
L'ordre des opérations, et pourquoi il compte
Beaucoup de gens changent immédiatement le mot de passe du site concerné. Erreur classique. La première chose à faire, c'est sécuriser votre boîte email de récupération. Pourquoi ? Parce que c'est le point de rattrapage de tous vos autres comptes. Si un attaquant contrôle votre email, il peut réinitialiser tous vos mots de passe, un par un.
- Sécurisez l'adresse email principale : nouveau mot de passe, 2FA activée.
- Puis l'adresse de récupération, si elle est différente.
- Ensuite seulement, changez le mot de passe du site compromis — et choisissez-en un totalement neuf.
- Si ce même mot de passe servait ailleurs, changez-le sur tous les sites concernés. Un mot de passe, un seul site.
- Vérifiez les sessions actives sur les comptes sensibles (banque, réseaux sociaux) et déconnectez tout appareil inconnu.
Ce dernier point est souvent négligé. Un attaquant qui a déjà une session ouverte reste connecté même après un changement de mot de passe, tant qu'il ne se déconnecte pas de son côté.
Les passkeys : la fin des mots de passe ?
Depuis quelques années, une technologie change la donne : les passkeys, fondées sur le standard FIDO2. Au lieu d'un mot de passe, votre appareil génère une paire de clés cryptographiques. La clé privée ne quitte jamais votre téléphone ou votre ordinateur. Le site ne stocke qu'une clé publique, inutile pour un attaquant.
Concrètement, vous vous connectez avec votre empreinte digitale ou votre visage. Rien à retenir, rien à transmettre, rien à voler côté serveur. Une fuite de données chez le site ne compromet plus rien.
La limite ? La prise en charge reste inégale. Les grandes plateformes ont largement basculé, mais beaucoup de sites plus modestes — y compris des services publics, des banques régionales, des boutiques en ligne — n'ont pas encore suivi. Le mouvement est en marche, il n'est pas terminé.
Mon conseil, à titre personnel : activez les passkeys partout où c'est proposé, et gardez votre gestionnaire de mots de passe pour tous les sites qui n'ont pas encore franchi le pas. Les deux cohabitent très bien. On n'est pas dans un choix, on est dans une transition.
Les erreurs que je vois encore trop souvent
J'ai accompagné plusieurs personnes sur ce sujet, dans des cadres variés — un parent, un collègue, un client freelance. Certaines erreurs reviennent avec une régularité déconcertante.
- Utiliser le même mot de passe avec une variation saisonnière. MonMotDePasse2025, puis MonMotDePasse2026. Un attaquant teste ces variantes en quelques secondes.
- Stocker ses identifiants dans un fichier texte non chiffré ou une note partagée dans le cloud. Autant les publier.
- Partager un mot de passe avec un collègue par email ou par messagerie instantanée. Ces canaux ne sont pas conçus pour ça.
- Croire qu'un mot de passe « long » est forcément robuste. Une phrase de 30 caractères tirée d'un poème connu se casse par attaque de dictionnaire.
- Ignorer les alertes de connexion suspecte de ses propres comptes. Ces notifications existent pour une raison.
Une chose que je vois moins souvent mentionnée : le réemploi partiel. Utiliser le même mot de passe de base sur dix sites, en changeant juste le nom du service à la fin. Ça donne l'illusion de l'unicité, sans la sécurité.
Une stratégie simple, applicable ce soir
Si vous ne devez retenir qu'une chose de cet article : le problème n'est pas de trouver un meilleur mot de passe, c'est de sortir de la logique du mot de passe unique.
Voilà ce que je ferais à votre place, dans cet ordre précis.
- Installez un gestionnaire de mots de passe gratuit (Bitwarden fait très bien le travail, KeePass aussi si vous préférez le tout-local).
- Créez une phrase de passe maître de 5 mots, sans lien logique entre eux.
- Activez la 2FA sur votre boîte email principale, avec une application d'authentification plutôt que par SMS.
- Importez vos mots de passe existants, puis remplacez les plus critiques (email, banque, réseaux sociaux) par des mots de passe générés aléatoirement.
- Imprimez la clé de secours de votre coffre et rangez-la dans un endroit physique sûr.
Vous en avez pour une heure, peut-être deux si vous avez beaucoup de comptes. Ensuite, vous ne reviendrez plus en arrière.
Reste une question que personne ne pose vraiment : combien de vos comptes actuels ont encore un mot de passe que vous connaissez par cœur ? Si la réponse dépasse deux ou trois, c'est précisément là que se niche le risque. Et ça, aucun outil ne peut le régler à votre place — il faut juste ouvrir son gestionnaire et cliquer sur « changer ».
