Le mot de passe reste la première barrière contre les intrusions dans les comptes personnels et professionnels. Pourtant, beaucoup de règles apprises pour créer un mot de passe fort ne correspondent plus aux recommandations actuelles en cybersécurité. C’est le cas, par exemple, du remplacement des lettres par des symboles ou du changement de mot de passe tous les trois mois.
Dans cet article, nous rassemblons les règles essentielles pour choisir un mot de passe fort. Nous expliquons aussi pourquoi certaines pratiques anciennes ne sont plus recommandées. Enfin, nous montrons comment les entreprises peuvent appliquer ces règles sur leurs plateformes, y compris les plateformes de gestion documentaire.
Règle 1 : La longueur est le facteur le plus important
Un mot de passe long est beaucoup plus difficile à découvrir qu’un mot de passe court et complexe. C’est pourquoi les recommandations actuelles, comme celles du NIST, privilégient avant tout la longueur. En pratique, il convient d’utiliser au moins 15 caractères pour les comptes les plus importants.
Par exemple, les outils automatiques découvrent rapidement un mot de passe de huit caractères avec symboles. En revanche, une phrase de quatre ou cinq mots résiste beaucoup plus longtemps et se retient plus facilement.
Règle 2 : Privilégier les phrases de passe
Une phrase de passe est une suite de mots sans lien évident entre eux, comme « crayon-fenêtre-tonnerre-bleu-comète ». Elle combine ainsi longueur et facilité de mémorisation. Toutefois, les mots ne doivent pas former une expression connue, comme un proverbe, une citation ou les paroles d’une chanson.
Règle 3 : Un mot de passe différent pour chaque service
La réutilisation est l’un des plus grands risques. Lorsqu’un service subit une fuite de données, les attaquants testent les mêmes identifiants sur d’autres sites. Cette technique s’appelle le credential stuffing. Chaque compte doit donc avoir son propre mot de passe, en particulier la messagerie, les plateformes professionnelles et les services bancaires.
Règle 4 : Éviter les informations personnelles et les schémas prévisibles
Les noms de proches, les dates de naissance, les clubs de football ou le nom de l’entreprise sont faciles à deviner. De même, des schémas comme « Entreprise2026! » ou des suites de touches du clavier figurent parmi les premières combinaisons que les attaquants testent. En outre, remplacer des lettres par des symboles, comme « P@ssw0rd », n’apporte plus de protection réelle. En effet, les outils d’attaque connaissent ces transformations.
Règle 5 : Utiliser un gestionnaire de mots de passe
Personne ne peut mémoriser des dizaines de mots de passe longs et différents. C’est pourquoi le gestionnaire de mots de passe est aujourd’hui l’outil le plus pratique. Il crée des mots de passe aléatoires, les conserve sous forme chiffrée et les remplit automatiquement sur les bons sites. Ainsi, l’utilisateur n’a besoin de retenir qu’une seule phrase de passe forte pour ouvrir le coffre-fort.
De plus, de nombreux gestionnaires signalent lorsqu’un mot de passe apparaît dans une fuite de données connue ou lorsqu’il est réutilisé. De cette manière, l’utilisateur sait exactement quels comptes il doit corriger.
Règle 6 : Activer l’authentification multifacteur
Même le meilleur mot de passe peut tomber entre les mains d’un attaquant par hameçonnage ou par un logiciel malveillant. C’est pourquoi l’authentification multifacteur ajoute une deuxième vérification, comme un code dans une application ou une clé de sécurité. Dans la mesure du possible, il vaut mieux privilégier les applications d’authentification ou les clés FIDO2 plutôt que les codes par SMS, plus vulnérables.
Ce qui a changé dans les recommandations
Les experts ne recommandent plus certaines pratiques autrefois courantes. Le tableau suivant résume les principaux changements :
| Pratique ancienne | Recommandation actuelle |
|---|---|
| Changer de mot de passe tous les 60 ou 90 jours | Le changer uniquement en cas de soupçon de compromission |
| Règles strictes sur les symboles et les majuscules | Privilégier la longueur et les phrases de passe |
| Questions de sécurité | Récupération via un second facteur vérifié |
| Mots de passe courts et complexes | Mots de passe longs, uniques et conservés dans un gestionnaire |
Ainsi, les règles deviennent plus simples pour les utilisateurs et, en même temps, plus efficaces contre les attaques actuelles.
Règles pour les entreprises
Les organisations jouent un rôle décisif dans la protection des identifiants de leurs collaborateurs et partenaires. C’est pourquoi une politique de mots de passe moderne doit inclure :
- une longueur minimale adaptée, sans limite maximale trop courte ;
- la vérification des nouveaux mots de passe par rapport aux listes d’identifiants compromis ;
- l’authentification multifacteur obligatoire sur les plateformes critiques ;
- la mise à disposition d’un gestionnaire de mots de passe approuvé ;
- des comptes individuels, sans partage d’identifiants ;
- un blocage temporaire après plusieurs tentatives infructueuses.
Par ailleurs, les organisations doivent stocker les mots de passe sur leurs serveurs avec des fonctions de hachage adaptées, comme Argon2id ou bcrypt, et jamais en clair.
Récupération d’accès sans points faibles
Un mot de passe fort ne sert pas à grand-chose si la récupération d’accès est facile à contourner. Par exemple, les réponses aux questions de sécurité comme « nom du premier animal de compagnie » apparaissent souvent sur les réseaux sociaux. La récupération doit donc reposer sur un second facteur déjà enregistré, comme une application d’authentification ou une adresse e-mail secondaire protégée. De plus, dans les entreprises, le support technique doit confirmer l’identité du demandeur avant de modifier un identifiant.
Mots de passe sur les équipements partagés
Sur les chantiers, dans les entrepôts ou aux postes de garde, plusieurs intervenants utilisent souvent le même ordinateur ou la même tablette. Dans ces cas, chaque personne doit avoir son propre compte et toujours se déconnecter après utilisation. De même, les navigateurs de ces équipements ne doivent pas enregistrer de mots de passe. Ainsi, personne ne peut accéder au compte d’un autre simplement parce qu’il utilise le même appareil.
Passkeys : L’étape suivante
Les passkeys, ou clés d’accès, sont une alternative moderne aux mots de passe. Au lieu de saisir un mot de passe, l’utilisateur confirme sa connexion avec son empreinte digitale, la reconnaissance faciale ou le code de son appareil. Comme elles ne fonctionnent que sur le site légitime, elles résistent à l’hameçonnage. De nombreux services les prennent déjà en charge et elles arriveront progressivement sur les plateformes professionnelles. Toutefois, les bonnes règles de mots de passe resteront nécessaires dans les années à venir.
Sensibiliser les utilisateurs
Les règles ne fonctionnent que si les personnes les comprennent. La formation doit donc être courte, pratique et centrée sur des exemples réels. Par exemple, montrer combien de temps un outil automatique met pour découvrir un mot de passe court, par rapport à une longue phrase de passe, convainc davantage qu’une liste d’interdictions. En outre, il est utile d’apprendre aux nouveaux collaborateurs à installer et à utiliser le gestionnaire de mots de passe dès leur premier jour.
De même, les utilisateurs doivent savoir quoi faire lorsqu’ils soupçonnent qu’un mot de passe a été exposé : le changer immédiatement, vérifier s’ils l’utilisaient sur d’autres services et informer l’équipe informatique. Ainsi, une situation à risque devient rapidement un incident maîtrisé. Enfin, des campagnes de sensibilisation régulières aident à maintenir le sujet à l’esprit et à renforcer les bonnes habitudes.
Exemple pratique : Mots de passe sur une plateforme de gestion documentaire
Imaginez une plateforme de gestion documentaire utilisée par des centaines de personnes issues d’entreprises prestataires. Beaucoup réutilisent le mot de passe de leur messagerie personnelle et certaines entreprises partagent un seul compte. Ainsi, lorsqu’un de ces mots de passe apparaît dans une fuite de données, la plateforme se retrouve exposée.
L’entreprise décide alors de revoir ses règles. D’abord, elle crée des comptes individuels pour chaque utilisateur. Ensuite, elle exige des mots de passe longs et les vérifie par rapport aux listes d’identifiants compromis. Enfin, elle active l’authentification multifacteur pour tous. De cette façon, le risque d’accès non autorisé diminue nettement, sans compliquer le travail des prestataires.
Erreurs fréquentes dans le choix du mot de passe
L’erreur la plus fréquente consiste à utiliser le même mot de passe sur plusieurs services. Une autre erreur consiste à noter les mots de passe sur un papier près de l’ordinateur ou dans un tableur non protégé. Il est aussi courant de partager des mots de passe par e-mail ou par messagerie avec des collègues. Enfin, beaucoup d’utilisateurs ignorent les alertes de fuite de données et continuent d’utiliser des mots de passe déjà exposés.
Liste de contrôle rapide
- Le mot de passe compte-t-il au moins 15 caractères ?
- Est-il unique et absent des autres services ?
- Évite-t-il les données personnelles et les schémas prévisibles ?
- Est-il conservé dans un gestionnaire de mots de passe ?
- Le compte a-t-il l’authentification multifacteur activée ?
Questions fréquentes
Dois-je changer mon mot de passe régulièrement ?
Seulement en cas de soupçon de compromission. Les changements obligatoires et fréquents conduisent souvent à des mots de passe plus faibles et plus prévisibles.
Les gestionnaires de mots de passe sont-ils sûrs ?
Oui, lorsqu’ils proviennent de fournisseurs reconnus et qu’ils sont protégés par une phrase de passe forte et l’authentification multifacteur. Le risque lié à la réutilisation des mots de passe est bien plus élevé.
Comment savoir si mon mot de passe a été exposé ?
Certains services vérifient si une adresse e-mail apparaît dans des fuites de données connues. De plus, de nombreux navigateurs et gestionnaires de mots de passe effectuent cette vérification automatiquement.
Un mot de passe long suffit-il sans authentification multifacteur ?
Non. Un mot de passe long résiste aux attaques par devinette, mais ne protège pas contre l’hameçonnage ou les logiciels malveillants. L’authentification multifacteur doit donc toujours être activée sur les comptes importants.
Conclusion : Un mot de passe fort et simple à gérer
Un mot de passe fort est long, unique et conservé dans un gestionnaire de mots de passe. Associé à l’authentification multifacteur, il offre une protection bien supérieure aux anciennes règles de complexité et de changement périodique. Ainsi, les particuliers et les entreprises protègent mieux leurs comptes, y compris leurs plateformes de gestion documentaire, sans que la sécurité devienne une contrainte au quotidien.
À lire aussi : Qu’est-ce que l’IAM et à quoi sert-il et Les permissions d’accès dans les plateformes de gestion documentaire.
Pour plus de recommandations en cybersécurité, consultez le Centre national de cybersécurité du Portugal (CNCS).