La réponse courte
Pour tout compte important, utilisez un mot de passe aléatoire de 16 caractères ou plus, avec majuscules, minuscules, chiffres et symboles, et enregistrez-le dans un gestionnaire de mots de passe. Si vous devez le taper ou le retenir, prenez plutôt une phrase de passe de 6 mots aléatoires ou plus. Le mot de passe principal de votre gestionnaire et celui de votre messagerie principale méritent les plus longs, car ils ouvrent tout le reste.
Les recommandations actuelles du NIST, l'organisme de normalisation américain (SP 800-63B, révisée en 2025), demandent aux services d'exiger au moins 15 caractères quand le mot de passe est la seule protection d'un compte, et d'accepter des mots de passe d'au moins 64 caractères. Elles demandent aussi d'arrêter d'imposer des changements réguliers et des mélanges de caractères obligatoires, et de bloquer plutôt les mots de passe qui figurent déjà dans des listes de fuites. En France, la CNIL et l'ANSSI vont dans le même sens. Autrement dit : de la longueur et un mot de passe unique, pas des règles compliquées.
Essayez ici : Générateur de mot de passe
Ouvrir la page complète de l'outilL'entropie expliquée simplement
La solidité d'un mot de passe se mesure en bits d'entropie. Chaque bit double le nombre d'essais dont un attaquant a besoin. Un mot de passe aléatoire a une entropie égale à sa longueur multipliée par log2(taille du jeu), le jeu étant le nombre de caractères possibles. Les minuscules seules donnent environ 4,7 bits par caractère, les lettres et chiffres environ 5,95, et le jeu complet de 87 caractères utilisé par le générateur de cette page environ 6,44.
Un mot de passe de 16 caractères pris dans les quatre jeux a donc environ 103 bits, alors qu'un mot de passe de 8 caractères n'en a qu'environ 51. Ajouter un caractère ajoute 6,44 bits, ce qui multiplie le travail par environ 87. Ajouter un symbole à un mot de passe court aide beaucoup moins qu'ajouter plusieurs caractères.
L'entropie ne vaut que pour les mots de passe vraiment aléatoires. Soleil2026! semble contenir 11 caractères variés, mais les attaquants ne devinent pas lettre par lettre : ils essaient des mots, des prénoms, des années, une majuscule au début et un symbole à la fin. Sa vraie solidité n'est qu'une infime partie de ce que donne la formule.
| Longueur | Minuscules seules | Lettres et chiffres | Les 4 jeux (87 caractères) |
|---|---|---|---|
| 8 caractères | 38 bits, environ 10 secondes | 48 bits, environ 3 heures | 51 bits, environ 2 jours |
| 12 caractères | 56 bits, environ 55 jours | 71 bits, environ 5 000 ans | 77 bits, environ 300 000 ans |
| 16 caractères | 75 bits, environ 69 000 ans | 95 bits, bien au-delà d'une vie | 103 bits, bien au-delà d'une vie |
| 20 caractères | 94 bits, bien au-delà d'une vie | 119 bits, bien au-delà d'une vie | 129 bits, bien au-delà d'une vie |
Ce que signifient les temps de cassage
Les temps du tableau sont des durées moyennes pour une attaque hors ligne à dix milliards d'essais par seconde, la même hypothèse que celle du générateur ci-dessus pour son estimation. Cette vitesse est réaliste pour quelques cartes graphiques qui attaquent une base de données divulguée protégée par un hachage rapide. Les hachages lents comme bcrypt ou Argon2 réduisent la vitesse de plusieurs ordres de grandeur, alors qu'une grosse grappe de serveurs dans le cloud peut l'augmenter : prenez ces temps comme une comparaison, pas comme une promesse.
Les attaques en ligne contre une page de connexion sont bien plus lentes à cause des limites de tentatives, mais vous ne pouvez pas savoir comment un site stocke les mots de passe. Partez du principe que votre mot de passe fuira un jour sous forme de hachage et choisissez-en un qui y résiste. Environ 80 bits, c'est très solide pour n'importe quel compte en ligne ; 100 bits et plus offrent une marge confortable pour un mot de passe principal ou une clé de chiffrement.
Phrase de passe ou suite aléatoire
Une phrase de passe est composée de plusieurs mots tirés au hasard dans une longue liste, par exemple avec des dés et une liste Diceware de 7 776 mots (il en existe des versions françaises). Chaque mot ajoute environ 12,9 bits. Quatre mots donnent environ 52 bits, cinq environ 65, six environ 78 et sept environ 90. Six mots aléatoires valent à peu près un mot de passe aléatoire de 12 caractères et sont bien plus faciles à taper sur un téléphone ou avec la télécommande d'une télé.
Les mots doivent être choisis au hasard, pas par vous. Un vers de chanson, une citation ou quatre mots qui forment une phrase figurent tous dans les dictionnaires des attaquants. Les séparateurs et les majuscules ajoutent peu ; des mots en plus ajoutent beaucoup.
Utilisez une suite aléatoire quand le mot de passe vit dans un gestionnaire et que vous ne le tapez jamais. Gardez la phrase de passe pour les rares secrets à retenir : le gestionnaire lui-même, la session de votre ordinateur et peut-être votre messagerie principale.
| Méthode | Exemple de longueur | Entropie | Idéal pour |
|---|---|---|---|
| Caractères aléatoires, tous les jeux | 16 caractères | environ 103 bits | Comptes enregistrés dans un gestionnaire |
| Caractères aléatoires, tous les jeux | 20 caractères | environ 129 bits | Clés Wi-Fi, secrets d'API, chiffrement |
| Mots aléatoires (liste de 7 776 mots) | 6 mots | environ 78 bits | Mot de passe principal, session de l'appareil |
| Mots aléatoires (liste de 7 776 mots) | 7 mots | environ 90 bits | Mot de passe principal du gestionnaire |
| Chiffres aléatoires | Code PIN à 6 chiffres | environ 20 bits | Téléphones et cartes avec limite d'essais uniquement |
Le gestionnaire de mots de passe fait le plus dur
Personne ne peut retenir 100 mots de passe uniques de 16 caractères, c'est pourquoi on les réutilise, et la réutilisation est la cause de la plupart des piratages de comptes : un site fuit, et les attaquants essaient la même adresse e-mail et le même mot de passe partout ailleurs. Un gestionnaire stocke un mot de passe aléatoire différent pour chaque site et le remplit à votre place : la longueur ne vous coûte donc rien.
Les solutions intégrées suffisent à la plupart des gens : les gestionnaires de Chrome, Edge, Firefox et Safari, l'app Mots de passe d'Apple sur iPhone et Mac, et le Gestionnaire de mots de passe de Google sur Android se synchronisent tous entre vos appareils. Les applications dédiées ajoutent le partage, l'accès d'urgence et la prise en charge de tous les navigateurs. Protégez le gestionnaire avec une longue phrase de passe et activez la double authentification pour lui et pour votre messagerie.
Le code PIN est un cas à part
Un code PIN à 4 chiffres n'a que 10 000 combinaisons et un code à 6 chiffres un million, ce qui serait inutile comme mot de passe. Le PIN fonctionne parce que l'appareil impose la limite : un téléphone s'efface ou se bloque pendant des heures après plusieurs erreurs, et une carte bancaire est bloquée après trois essais. Cette protection n'existe que sur l'appareil, ne réutilisez donc jamais un PIN comme mot de passe sur un site.
Évitez les PIN que tout le monde choisit : 1234, 0000, 1111, les années de naissance et les dates. Prenez 6 chiffres quand l'appareil le permet, et laissez la variante Générateur de code PIN de cet outil les choisir pour vous.
Ce qui rend un mot de passe faible
- La réutilisation : le même mot de passe sur deux sites, c'est une fuite sur l'un qui ouvre les deux.
- Les informations personnelles : prénoms, animaux, anniversaires, clubs de foot et lieux se trouvent sur les réseaux sociaux.
- Les modèles : une majuscule au début, une année et un point d'exclamation à la fin sont les premières variantes testées.
- Les suites de clavier : azerty, qwerty, 1qaz2wsx et asdfgh sont dans toutes les listes de mots.
- Les substitutions : M0td3p@sse et autres astuces du même genre sont connues et n'ajoutent presque rien.
- Les petites modifications : passer de motdepasse1 à motdepasse2 après un changement imposé se devine immédiatement.
- La faible longueur : en dessous de 12 caractères, même un mot de passe aléatoire peut céder à une attaque hors ligne.
Conseils pour utiliser le générateur
Laissez les quatre jeux de caractères activés, sauf si un site refuse les symboles ; dans ce cas, désactivez les symboles et ajoutez 2 ou 3 caractères pour garder la même solidité. Activez Éviter les caractères qui se ressemblent pour les mots de passe que vous lirez à voix haute ou recopierez depuis un papier, comme une clé Wi-Fi sur l'étiquette d'une box. Cela retire des caractères comme 0 et O ou 1, l et I et réduit un peu l'entropie : ajoutez donc un ou deux caractères.
Réglez Combien pour en créer une série, par exemple des mots de passe provisoires pour de nouveaux comptes du personnel. Le mot de passe est créé avec le générateur aléatoire sécurisé de votre navigateur et n'est jamais envoyé ni stocké : copiez-le dans votre gestionnaire avant de quitter la page.