Le mot de passe reste le premier rempart
Le mot de passe protège l’accès à la quasi-totalité de nos comptes numériques : messagerie, banque, réseaux sociaux, outils professionnels.
C’est aussi, très souvent, le premier maillon qui cède. Un mot de passe absent ou trop faible figure parmi les causes les plus fréquentes des compromissions de comptes, avant même une faille technique sophistiquée.
Pendant longtemps, les politiques de sécurité ont surtout misé sur la longueur et sur des contraintes de composition (une majuscule, un chiffre, un caractère spécial).
Ces règles, appliquées sans discernement, ont souvent produit l’effet inverse de celui recherché : des mots de passe difficiles à retenir, donc notés n’importe où, ou construits selon des schémas prévisibles (une majuscule en début, un chiffre en fin) que les outils d’attaque connaissent parfaitement.
De la longueur à l’entropie
La CNIL a fait évoluer sa recommandation le 14 octobre 2022, en remplacement de sa délibération du 19 janvier 2017.
Le changement de fond porte sur le critère retenu : ce n’est plus une longueur minimale unique qui compte, mais le degré de complexité, c’est-à-dire l’entropie du mot de passe, cette mesure du nombre de combinaisons possibles qu’un attaquant devrait tester pour le retrouver.
La CNIL fixe un niveau minimal générique de 80 bits d’entropie pour un mot de passe utilisé sans mesure complémentaire (sans limitation du nombre d’essais, par exemple). Pour atteindre ce niveau, elle propose trois exemples équivalents, au choix :
- Exemple 1 : au minimum 12 caractères, avec des majuscules, des minuscules, des chiffres et des caractères spéciaux choisis dans une liste d’au moins 37 caractères spéciaux possibles.
- Exemple 2 : au minimum 14 caractères, avec des majuscules, des minuscules et des chiffres, sans caractère spécial obligatoire.
- Exemple 3 : une phrase de passe composée d’au minimum 7 mots.
Depuis la recommandation CNIL de 2022, sur quel critère porte principalement l'exigence de sécurité d'un mot de passe ?
Voir la réponse
Réponse : B. La recommandation du 14 octobre 2022 vise le degré de complexité du mot de passe, son entropie, et non une longueur minimale unique. Elle propose trois exemples équivalents pour atteindre le niveau minimal de 80 bits d’entropie, dont une phrase de passe.
Source : Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité, CNIL, 2026.
La phrase de passe, une solution accessible
Parmi ces trois exemples, la phrase de passe présente un avantage pratique : elle s’appuie sur la mémoire naturelle plutôt que sur un enchaînement de caractères arbitraires.
Elle doit toutefois être construite avec soin pour rester réellement difficile à deviner.
La CNIL rappelle que réduire les choix possibles, par exemple en choisissant des mots d’une langue courante assemblés selon un schéma logique, facilite les attaques dites « par dictionnaire » : au lieu de tester toutes les combinaisons possibles, l’attaquant ne teste qu’un nombre restreint de mots courants et de leurs variantes classiques.
Une bonne phrase de passe assemble donc plusieurs mots sans lien logique entre eux, et n’est ni une citation célèbre, ni une phrase personnelle qu’un proche pourrait deviner (date, nom, lieu).
Nous ne donnons volontairement aucun exemple de phrase de passe utilisable : toute phrase publiée cesse, par construction, d’être sûre.
Selon la CNIL, combien de mots minimum doit compter une phrase de passe pour atteindre le niveau de sécurité recommandé ?
Voir la réponse
Réponse : B. Le troisième exemple équivalent proposé par la CNIL est une phrase de passe composée d’au minimum 7 mots, ce qui atteint le niveau minimal de 80 bits d’entropie fixé par la recommandation.
Source : Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité, CNIL, 2026.
Un mot de passe par service, et un gestionnaire pour les tenir
Une bonne phrase de passe ne protège qu’un seul compte si elle reste unique par service.
Réutiliser le même mot de passe partout revient à faire dépendre la sécurité de tous vos comptes de celle du plus faible d’entre eux : si un seul service subit une fuite de données, les identifiants qui y ont fui sont immédiatement testés sur tous les autres.
Retenir une phrase de passe différente et complexe pour chaque service dépasse vite les capacités de la mémoire.
La CNIL cite, parmi les bonnes pratiques à privilégier, le recours à un gestionnaire de mots de passe : un outil qui génère et stocke des identifiants robustes et distincts pour chaque service, derrière un seul mot de passe maître à retenir.
La fin du renouvellement imposé, sauf pour les comptes sensibles
Autre évolution notable de 2022 : la CNIL abandonne l’obligation de renouvellement périodique pour les comptes utilisateurs classiques.
Changer de mot de passe tous les trois mois, sans raison particulière, n’améliore pas la sécurité : cela pousse plutôt les utilisateurs vers des variations prévisibles d’un même mot de passe (un chiffre qui s’incrémente, par exemple).
Cette obligation de renouvellement reste en revanche requise pour les comptes à privilèges, c’est-à-dire les comptes de type administrateur ou disposant de droits étendus sur un système d’information : leur compromission expose bien davantage qu’un compte utilisateur classique.
Depuis la recommandation CNIL de 2022, le renouvellement périodique du mot de passe est-il toujours obligatoire ?
Voir la réponse
Réponse : B. La CNIL abandonne l’obligation de renouvellement périodique pour les comptes utilisateurs classiques. Elle maintient cette obligation pour les comptes à privilèges, comme les comptes administrateur, dont la compromission est plus sensible.
Source : Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité, CNIL, 2026.
Choisir une bonne phrase de passe, unique par service et gérée dans un gestionnaire dédié, ne suffit cependant pas à sécuriser un compte à lui seul. C’est ce que permet d’ajouter la double authentification, objet du chapitre suivant.
Ce cours existe aussi en atelier animé, sur site ou à distance.