Mots de passe : pourquoi une phrase simple est plus sûre qu’un code complexe

Nous avons tous pris l'habitude de créer des mots de passe complexes en mélangeant des majuscules, des chiffres et des symboles obscurs pour satisfaire les exigences des sites internet. Pourtant, cette stratégie est aujourd'hui dépassée. En réalité, la longueur d'un mot de passe le protège bien mieux que sa complexité apparente.

Ce changement de cap est désormais officiel. Dans la version de ses recommandations publiée en 2025, le NIST, l'institut américain des normes qui fait référence en cybersécurité, exige au moins 15 caractères pour un mot de passe utilisé seul, et 8 seulement s'il est complété par une double authentification. Il abandonne aussi l'obligation de mélanger majuscules, chiffres et symboles.

Pour comprendre pourquoi les mots de passe courts ne suffisent plus, il faut observer comment travaillent les cybercriminels. Ces derniers utilisent la méthode de la force brute (un piratage automatisé qui teste des milliards de combinaisons par seconde) en s'appuyant sur la puissance de calcul phénoménale des cartes graphiques modernes (les GPU, ces puces électroniques conçues pour le traitement d'images et les jeux vidéo). Face à ces machines de guerre, un mot de passe de huit caractères tombe vite s'il est prévisible. D'après le tableau 2026 de la société de cybersécurité Hive Systems, huit lettres minuscules tirées au hasard résistent environ deux semaines, et un mot de passe courant ou déjà fuité cède instantanément. De nombreux assistants de configuration de box internet acceptent d'ailleurs encore des clés Wi-Fi de huit caractères seulement, ce qui fragilise nos réseaux domestiques. La paresse nous pousse souvent à la facilité : en France, le même mot de passe trop faible reste le plus populaire, ce qui ouvre grand la porte aux attaques.

Pourquoi viser au moins 16 caractères

Il faut désormais viser au moins 15 à 16 caractères. Statistiquement, une clé de 16 caractères combinant différents types de signes mettra des siècles à être craquée par un ordinateur pirate, ce qui, concrètement, transforme votre accès en un véritable mur numérique.

La parade pour retenir de telles longueurs sans s'arracher les cheveux réside dans le concept de « phrase de passe » (ou passphrase). Plutôt que de tenter de mémoriser une suite indigeste et artificielle comme « p@55w0rd ! », l'astuce consiste à assembler plusieurs mots simples sans lien logique entre eux, à l'image de « CactusTonnerreValiseMardi ».

Les travaux du psychologue américain Nelson Cowan, publiés en 2001, aident à comprendre pourquoi cette méthode fonctionne. Ils portent sur la mémoire de travail humaine (notre capacité à retenir temporairement des informations). Selon ses recherches, notre cerveau est limité à environ quatre « blocs » de données à la fois. Mémoriser un mot de passe de 16 caractères est donc beaucoup plus facile s'il est découpé en trois ou quatre mots concrets plutôt qu'en une suite chaotique de caractères spéciaux.

En France, la CNIL, le gendarme des données personnelles, fixe la barre un peu différemment. Dans sa recommandation de 2022, elle juge suffisant un mot de passe de 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, ou de 14 caractères sans symbole obligatoire. Pour une phrase de passe, elle prend l'exemple d'au moins 7 mots, soit nettement plus que les trois ou quatre mots évoqués plus haut.

Comment gérer l'indigestion de mots de passe au quotidien

Il reste évidemment impossible de mémoriser des dizaines de phrases de 16 caractères différentes pour chaque service en ligne que nous utilisons. Heureusement, les gestionnaires de mots de passe peuvent nous sauver la mise. Ces coffres-forts numériques mémorisent, chiffrent et tapent ces longues clés à notre place.

Certains utilisateurs préfèrent s'en remettre aux outils intégrés par défaut dans leur matériel ou leur système d'exploitation. On peut alors se demander s'il faut vraiment faire confiance au gestionnaire de mots de passe de Google ou s'il est préférable de se tourner vers des solutions spécialisées payantes. Quel que soit votre choix, sachez que ces coffres-forts restent hautement sécurisés. Même lorsqu'un incident de cybersécurité survient, à l'instar d'un célèbre gestionnaire de mots de passe français piraté récemment, la robustesse de votre clé maîtresse (le mot de passe unique qui verrouille l'application) rend vos données très difficiles à déchiffrer pour les intrus.

Cette transition vers des mots de passe de 16 caractères s'adresse à absolument tout le monde, de l'internaute occasionnel aux professionnels. La longueur de votre mot de passe n'est que la première ligne de défense de votre vie numérique. Pour vos comptes les plus critiques, comme votre boîte mail principale ou vos accès bancaires, une protection supplémentaire reste indispensable.

La mise en place d'une authentification deux facteurs est l'une des meilleures protections pour verrouiller vos accès. Ce système vous demande une double preuve d'identité (votre mot de passe habituel combiné à un code unique reçu sur votre smartphone) pour valider une connexion. Même si un pirate découvrait votre phrase de passe, il lui manquerait ce second code pour se connecter.