Quelle longueur pour un mot de passe ? La force sans les mythes

La longueur est la propriété la plus importante d'un mot de passe. Chaque caractère supplémentaire multiplie le travail qu'exige une attaque par force brute, tandis qu'échanger une lettre contre un symbole n'ajoute qu'une option de plus par position. Un mot de passe long et il est vrai « ennuyeux » bat systématiquement un mot de passe court et astucieux.

Comme règle pratique : 16 caractères aléatoires ou plus issus d'un générateur suffisent largement pour les comptes qui comptent, et une phrase de passe aléatoire de quelques mots sans rapport convient tout autant pour ce qu'il faut taper à la main. Un mot de passe de 8 caractères, si aléatoire soit-il, est à la portée de n'importe qui louant du temps de calcul à la minute — voilà pourquoi la taille compte plus que les symboles glissés dedans.

La réutilisation est le vrai danger, pas la complexité. Quand une entreprise mal sécurisée fuit sa base de données, les attaquants essaient les couples e-mail + mot de passe partout ailleurs ; un mot de passe fort réutilisé sur plusieurs sites devient le maillon le plus faible dès que l'un d'eux cède. Utilisez un gestionnaire de mots de passe, gardez chaque mot de passe unique et activez la double authentification partout où cela compte.

Les organismes de normes ont discrètement abandonné les vieilles règles, et pour une raison : les obligations du type « une majuscule, un chiffre, expire tous les 90 jours » poussent vers des schémas prévisibles que les attaquants connaissent par cœur. Longueur, unicité et un bon indicateur de fiabilité — comme celui de notre générateur, qui tourne entièrement dans votre navigateur — vous emmènent plus loin que n'importe quel rituel.