Le mot de passe que vous utilisez pour votre messagerie principale, c'est probablement le même que celui de votre banque en ligne. Ou une variante à un chiffre près. Je ne vous juge pas : j'ai fait exactement ça pendant des années, jusqu'au jour où un client m'a appelé, paniqué, parce que sa boîte mail professionnelle venait d'être piratée et que des factures frauduleuses partaient en son nom.
Ce jour-là, j'ai compris un truc simple : le problème n'est presque jamais le mot de passe lui-même, c'est le système autour. Un mot de passe de 12 caractères mélangés avec des symboles, c'est bien. Le même, réutilisé sur onze sites, c'est une passoire. Et un mot de passe « fort » qu'on finit par noter sur un post-it collé à l'écran, c'est zéro.
Dans cet article, je vous explique comment créer des mots de passe solides et comment les gérer sans y passer vos soirées. Parce que la deuxième partie est celle que tout le monde zappe, et c'est précisément là que tout se joue.
Points clés à retenir
- La longueur compte bien plus que la complexité : visez 12 caractères minimum, 16 c'est mieux.
- Un mot de passe unique par compte. Aucune exception, même pour les sites « sans importance ».
- La phrase de passe (passphrase) bat le charabia pour tout ce que vous devez mémoriser à la main.
- Un gestionnaire de mots de passe règle 90 % du problème — à condition de choisir une clé principale solide.
- L'expiration automatique tous les 90 jours n'est plus recommandée : on ne change que si fuite avérée.
- L'authentification à deux facteurs transforme un mot de passe volé en mot de passe inutile.
Créer un mot de passe solide : ce qui marche vraiment en 2026
Une longueur de 8 caractères avec majuscules, chiffres et symboles ? C'est le conseil qu'on lisait partout il y a dix ans. Franchement, c'est devenu insuffisant. Un attaquant qui teste des milliards de combinaisons par seconde ne s'arrête pas à huit.
Ce qui compte aujourd'hui, dans l'ordre : la longueur, l'imprévisibilité, et l'unicité. La complexité (majuscules, symboles) arrive loin derrière.
La phrase de passe : la méthode que je recommande à tout le monde
Prenez quatre ou cinq mots sans lien logique entre eux, et collez-les. Du genre : cheval-brique-nuage-42-soleil. Vous obtenez 28 caractères, faciles à retenir par une image mentale, et infiniment plus résistants qu'un Xk9#mP2! de 8 caractères que vous allez oublier dans la semaine.
Pourquoi ça marche ? Parce qu'un mot de passe long et bizarre résiste à l'attaque dite « par dictionnaire », où la machine essaie des milliers de mots courants et leurs variantes. Cinq mots sans rapport, ça fait un espace de recherche gigantesque.
Un exemple de mot de passe à 12 caractères, concrètement
Si vous voulez un exemple de mot de passe fort de 12 caractères, voici ce que ça peut donner : tR7!kLp2&Qz9. C'est correct. Mais honnêtement ? Vous ne le retiendrez pas, et vous finirez par le copier quelque part. C'est pour ça que je préfère la passphrase pour tout ce que je dois taper à la main, et le générateur pour tout le reste.
Générateur de mot de passe : oui, mais le bon
Un générateur gratuit produit un mot de passe aléatoire parfait. Le hic : cet aléa ne vaut que si l'outil est légitime. Évitez les sites obscurs qui vous promettent un « mot de passe fort ». Utilisez plutôt le générateur intégré à votre gestionnaire, ou celui de votre navigateur si vous lui faites confiance. Et surtout : ne générez jamais un mot de passe pour le recopier dans un fichier texte.
Gérer ses mots de passe : l'étape que 80 % des gens sautent
Voilà le vrai sujet. Créer un bon mot de passe, tout le monde sait à peu près faire. Le gérer sur trente comptes différents, c'est là que ça s'effondre.
Je me souviens avoir passé une soirée entière à réinitialiser mes accès après une migration de téléphone. Deux heures perdues, parce que je stockais tout « dans ma tête » et dans un carnet. Plus jamais.
Le gestionnaire de mots de passe, ou comment arrêter de mémoriser
Un gestionnaire fait trois choses : il génère, il stocke de façon chiffrée, et il remplit les formulaires à votre place. Vous n'avez plus qu'un seul mot de passe à retenir : la clé principale qui ouvre le coffre.
Le point de vigilance, c'est justement cette clé. Elle doit être la plus solide de toutes. Une passphrase longue, unique, jamais utilisée ailleurs.
Faut-il mémoriser ou tout confier au coffre ?
C'est la question qu'on me pose le plus souvent, et la réponse n'est pas binaire. Voici comment je tranche :
- À mémoriser : la clé du gestionnaire, le code de votre téléphone, et éventuellement le mot de passe de votre session d'ordinateur.
- À confier au coffre : tout le reste. Banque, messagerie, réseaux sociaux, boutiques en ligne, et même les sites que vous jugez « sans importance ».
- Cas particulier : un compte critique sur un appareil partagé ou prêté ? Là, une passphrase mémorisée peut avoir du sens, pour ne pas dépendre d'un coffre inaccessible.
Le raisonnement derrière : vous ne pouvez mémoriser correctement que trois ou quatre secrets à la fois. Au-delà, vous réutilisez. Et la réutilisation, c'est le péché originel de toute cette histoire.
Les erreurs que je vois encore trop souvent
J'ai fait un audit rapide chez trois personnes de mon entourage l'an dernier. Sur les trois, deux réutilisaient leur mot de passe principal sur au moins six sites. Une avait tout dans un fichier Excel, non protégé, sur son bureau.
Ce ne sont pas des gens négligents. Ce sont des gens normaux, débordés, à qui personne n'a jamais expliqué la méthode. Alors voici les pièges à éviter :
- Réutiliser un mot de passe « juste pour les sites pas importants ». Un site pirate fuit, et votre combo email/mot de passe circule.
- Utiliser une info personnelle : date de naissance, prénom d'un enfant, nom du chien. Ce sont les premières choses qu'on essaie.
- Changer tous ses mots de passe tous les 90 jours. Cette pratique est abandonnée par les recommandations actuelles : on ne change qu'en cas de fuite constatée.
- Noter ses mots de passe dans les notes du téléphone, non chiffrées. Mieux que rien, mais pas fou.
- Ignorer l'authentification à deux facteurs. Le pire des raccourcis.
Comment migrer sans y passer la journée
Installer un gestionnaire, c'est facile. Le difficile, c'est de basculer proprement vos anciens comptes. Voici l'ordre dans lequel je procède, du plus urgent au moins pressant :
- La messagerie principale d'abord. C'est la clé de toutes les autres : qui contrôle votre mail peut réinitialiser tout le reste.
- La banque et les comptes financiers.
- Les réseaux sociaux et comptes pro.
- Tout le reste, au fil de vos connexions. Le gestionnaire vous proposera de mettre à jour au fur et à mesure.
Sur mon propre compte, il m'a fallu environ deux semaines pour tout basculer, sans forcer, en changeant un accès par jour au moment où je tombais dessus. Aucune séance de torture.
| Méthode | Sécurité | Effort de mémorisation | Idéal pour |
|---|---|---|---|
| Mot de passe court avec symboles | Faible | Moyen | Rien, vraiment |
| Phrase de passe | Élevée | Faible | Les rares secrets mémorisés |
| Générateur aléatoire 16 caractères | Très élevée | Nul (stocké) | Tous les comptes via un coffre |
| Gestionnaire + clé principale | Très élevée | Faible | La solution globale |
L'arme qu'on oublie : l'authentification à deux facteurs
Même le meilleur mot de passe peut fuir, dans une base de données mal protégée, sans que vous y soyez pour quoi que ce soit. Et c'est là qu'intervient la deuxième barrière.
Activer l'authentification à deux facteurs, c'est ajouter un code temporaire ou une validation sur un appareil que vous seul possédez. Résultat : votre mot de passe peut être volé, personne ne peut s'en servir.
Le piège, c'est d'utiliser le SMS comme second facteur. Ça reste utile, mais vulnérable au détournement de carte SIM. Si vous le pouvez, préférez une application d'authentification ou une clé physique. C'est deux minutes de configuration pour une tranquillité qui dure des années.
Bref, vous n'avez pas besoin d'être un expert en cybersécurité. Il vous faut trois gestes : une phrase de passe pour la clé principale, un gestionnaire pour tout le reste, et l'authentification à deux facteurs là où c'est proposé.
La vraie question, ce n'est pas « mon mot de passe est-il assez fort ». C'est : si demain matin, quelqu'un se connecte à votre boîte mail, qu'est-ce qu'il peut faire en votre nom ? La réponse à cette question, c'est tout ce qui compte.
