En bref : la longueur compte plus que la complexité — les recommandations NIST actuelles sur les mots de passe (SP 800-63B) favorisent explicitement les longues phrases secrètes plutôt que les combinaisons forcées de symboles/chiffres, et recommandent de vérifier par rapport aux listes de mots de passe compromis connus plutôt que de les faire expirer sur un calendrier. Associez ce guide à Character Counter, Text Encryption, Duplicate Finder et AI Hidden Characters.
La force d'un mot de passe concerne fondamentalement l'entropie — combien de tentatives un attaquant a besoin en moyenne — et la longueur augmente l'entropie de manière exponentielle, tandis qu'ajouter un symbole obligatoire ne l'augmente que linéairement.
Pourquoi la longueur bat les règles de complexité
L'espace de recherche d'un mot de passe croît avec la taille du jeu de caractères élevée à la puissance de sa longueur : un mot de passe de 8 caractères en minuscules seulement a environ 26⁸ (~2×10¹¹) combinaisons possibles, mais une phrase secrète de 16 caractères en minuscules seulement en a 26¹⁶ — plusieurs ordres de grandeur plus grand — malgré l'utilisation d'un jeu de caractères plus petit et simple. C'est la raison principale pour laquelle NIST SP 800-63B recommande de longues phrases secrètes plutôt que des chaînes courtes et complexes : quatre mots aléatoires sans lien sont à la fois plus faciles à retenir et plus difficiles à forcer que "P@ssw0rd1!".
Ce que NIST a réellement cessé de recommander
Deux "bonnes pratiques" de longue date sont désormais explicitement déconseillées dans les recommandations actuelles de NIST : l'expiration périodique obligatoire du mot de passe (qui tend à faire choisir des mots de passe plus faibles et prévisibles quand on est forcé de les changer souvent — un schéma courant est d'incrémenter un chiffre à la fin), et les règles de complexité forcée exigeant des classes de caractères spécifiques, qui poussent vers des substitutions prévisibles (@ pour a, 0 pour o) que les dictionnaires des attaquants prennent déjà en compte. La recommandation actuelle est plutôt : autoriser de longs mots de passe (64+ caractères), ne pas forcer de complexité arbitraire, et vérifier les nouveaux mots de passe par rapport à des listes de identifiants compromis connus.
Pourquoi vérifier les listes de fuites compte plus qu'un indicateur de force
Un mot de passe peut avoir une entropie théorique élevée — long, d'apparence aléatoire, casse mixte — et rester dangereux s'il figure dans une fuite de données connue, car les attaquants utilisent ces listes divulguées comme première tentative, pas la force brute. C'est pourquoi des services comme l'API de mots de passe de Have I Been Pwned existent : vérifier un nouveau mot de passe par rapport à des listes de fuites connues capture un risque réel qu'une estimation générique de force, qui ne mesure que le caractère aléatoire théorique, ne peut pas voir.
Une approche pratique
- Utilisez une phrase secrète de 4+ mots sans lien, ou une chaîne aléatoire de 16+ caractères, plutôt qu'une courte et complexe.
- Ne réutilisez jamais un mot de passe sur plusieurs sites — une fuite chez un service devient une attaque sur chaque compte utilisant le même mot de passe.
- Vérifiez les nouveaux mots de passe par rapport à des listes de fuites connues plutôt que de faire confiance seulement à un indicateur visuel de "force".
- Utilisez un gestionnaire de mots de passe pour générer et stocker des mots de passe uniques par site — longueur et unicité cessent d'être un fardeau de mémoire une fois que vous ne les mémorisez plus.
- Ne faites tourner un mot de passe que pour une raison précise (une fuite suspectée), pas sur un calendrier arbitraire.
Erreurs courantes à éviter
- Prioriser la complexité de symboles/chiffres sur la longueur brute — la longueur contribue bien plus d'entropie par caractère ajouté.
- Réutiliser un mot de passe fort sur plusieurs comptes, ce qui annule l'intérêt dès qu'un site est compromis.
- Faire confiance à un mot de passe parce qu'il "a l'air aléatoire" sans vérifier s'il figure dans une fuite connue.
- Faire tourner les mots de passe sur un calendrier fixe par habitude — les recommandations actuelles de NIST déconseillent explicitement cette pratique.
Un mot de passe fort aujourd'hui est long et unique — vérifié par rapport aux fuites connues, pas une chaîne forcée à travers des règles de complexité arbitraires qui la rendent surtout plus difficile à retenir et pas plus difficile à deviner.