« Vous avez encore oublié votre mot de passe ? » Cette phrase, on me la sort à chaque fois que je vais chez le coiffeur, dans la salle d'attente, quand je pianote sur mon téléphone pour répondre à un message du boulot. Sauf que la personne qui la prononce vient de passer dix minutes à essayer de retrouver l'accès à sa boîte mail. Et elle finit par réinitialiser. Encore.
Créer un mot de passe solide n'est pas un problème technique. C'est un problème de mémoire. Et tant qu'on ne traite pas les deux ensemble, on tourne en rond : soit on choisit un mot de passe court et mémorisable, soit on génère une bouillie de caractères qu'on recopie sur un post-it. Les deux options échouent, juste à des moments différents.
Je vais vous montrer comment je m'y prends, avec les chiffres réels de mon quotidien, les méthodes cognitives qui marchent, et les pièges dans lesquels je suis tombé — parce qu'il y en a.
Points clés à retenir
- La longueur bat la complexité : une phrase de 20 caractères est plus résistante qu'un mot de 8 caractères truffé de symboles.
- Vous ne mémorisez en pratique qu'un seul mot de passe : le maître. Le reste appartient à un coffre-fort.
- La méthode des loci (palais de mémoire) permet de retenir 5 à 10 phrases de passe sans effort apparent.
- Une phrase tirée d'une citation connue est dangereuse, même longue : les attaquants testent aussi les paroles de chansons et les vers célèbres.
- La répétition espacée transforme une phrase de passe fragile en mémoire solide en une dizaine de jours.
- Les gestionnaires de mots de passe gratuits suffisent largement pour un usage personnel.
Pourquoi vos mots de passe actuels sont faibles (même ceux qui ont l'air costauds)
Prenons un exemple concret. Exemple de mot de passe sécurisé, me demandait-on récemment. La personne me proposait P@ssw0rd2026!. Douze caractères, majuscule, chiffres, symbole. Sur le papier, ça coche toutes les cases.
Dans la pratique, c'est un des premiers essais d'un attaquant. Le remplacement du « a » par « @ » et du « o » par « 0 » est une règle que tout le monde connaît, y compris les logiciels qui découpent les mots de passe en motifs. Et « 2026 » à la fin, c'est la cerise. Une bonne moitié des gens qui changent de mot de passe cette année-là mettent l'année quelque part.
Ce que mesure vraiment la résistance
Un mot de passe résiste à ce qu'on appelle l'entropie : le nombre de combinaisons possibles qu'il faut tester pour le deviner. Et là, contre-intuitif :
- Un mot de passe de 8 caractères, même avec majuscules, chiffres et symboles, tourne autour de 50 bits d'entropie s'il est vraiment aléatoire. Sur une machine qui teste un milliard de combinaisons par seconde, ça tombe en quelques heures.
- Une phrase de 20 caractères composée de quatre mots courants atteint facilement 60 à 70 bits. Plusieurs siècles.
- Le même mot de 8 caractères mais tiré d'un dictionnaire avec des substitutions ? Moins de 30 bits. Une fraction de seconde.
La raison est simple : ajouter un symbole multiplie l'alphabet par deux, ajouter un caractère le multiplie par 70. Ajouter un mot le multiplie par plusieurs milliers. La longueur gagne toujours.
Exemple de mot de passe à 8 caractères : le mythe de la sécurité minimale
Ce seuil de 8 caractères traîne partout depuis des années. Franchement, il est obsolète. Sur un site qui limite les tentatives à cinq essais avant blocage, 8 caractères peuvent suffire. Sur un site qui laisse tester en boucle depuis une base de données volée, c'est une porte ouverte. Et une base volée, vous n'avez aucun moyen de le savoir avant que ce soit trop tard.
Mon avis, tranché : ne descendez jamais sous 14 caractères pour quoi que ce soit qui touche à votre argent, votre identité ou votre travail. En dessous, considérez le compte comme jetable.
Comment créer un mot de passe avec 12 caractères (le minimum acceptable)
12 caractères, c'est le plancher raisonnable. Comment y arriver sans produire quelque chose d'illisible ?
La méthode que j'utilise et que je conseille à tout le monde s'appelle la phrase de passe. Quatre mots sans lien logique entre eux, séparés par un tiret ou un espace, avec éventuellement une majuscule et un chiffre placés à des endroits non évidents.
Par exemple : Cheval-Torche-Fromage-9. Ça fait 24 caractères, c'est mémorisable en trois secondes, et aucun mot n'est rare. La force vient de la combinaison, pas de l'obscurité des mots.
Exemple de mot de passe 12 caractères : trois formats comparés
| Format | Exemple | Entropie estimée | Mémorisable ? |
|---|---|---|---|
| Aléatoire pur | g7K!pQ2*mL8z | ~70 bits | Non, sauf copie |
| Phrase de 3 mots | Cactus-Route-Sirop | ~40 bits | Oui |
| Phrase de 4 mots | Cactus-Route-Sirop-14 | ~55 bits | Oui |
Regardez la dernière ligne. 55 bits, c'est déjà très largement suffisant pour un compte personnel non critique, et vous le retenez sans post-it. La ligne du milieu, avec trois mots seulement, résiste dix fois moins bien. Passez à quatre.
Exemple d'un mot de passe : ce qu'il faut éviter absolument
Une amie m'a montré le sien l'an dernier : LibertéÉgalitéFraternité. Long, français, noble. Le problème ? Ces trois mots figurent dans toutes les listes de phrases de passe testées en priorité. Les attaquants savent que les gens utilisent des citations connues, des paroles de chansons, des vers de poèmes scolaires.
La règle : si un mot ou une suite de mots est facile à trouver dans un livre, une chanson ou une liste publique, il est grillé. Votre phrase de passe doit être un peu bête, un peu absurde, et surtout personnelle.
Comment se souvenir vraiment de ses mots de passe (le vrai sujet)
Bon, maintenant le cœur du problème. On sait créer des phrases solides. On ne sait pas les retenir. La solution tient en deux principes : réduire le nombre de choses à mémoriser, et utiliser les bonnes techniques pour le peu qui reste.
La méthode des loci, ou palais de mémoire
C'est la technique des champions de mémorisation. Le principe : vous associez chaque mot de passe à un lieu familier et à une image mentale ridicule. Le cerveau retient l'absurde bien mieux que l'arbitraire.
Concrètement, pour mon mot de passe de banque, j'ai visualisé un coffre-fort en forme de pastèque posé sur ma table de cuisine, avec un perroquet qui tape un code dessus. Ridicule ? Oui. Efficace ? Je m'en souviens depuis des mois sans l'avoir noté.
Vous placez cinq ou six objets de ce genre dans votre logement mental — l'entrée, la cuisine, le salon, la chambre, la salle de bain. Chaque pièce héberge un mot de passe. Vous en retenez dix sans effort particulier.
La répétition espacée
Mémoriser une fois ne suffit pas. Le cerveau oublie. La technique : vous vous testez d'abord après une heure, puis le lendemain, puis trois jours après, puis une semaine, puis un mois. Chaque rappel réussi consolide la trace mnésique.
J'ai chronométré sur moi-même : une phrase de passe que je répète selon ce rythme reste accessible après six mois sans révision. La même phrase apprise « en une fois » est oubliée en une dizaine de jours. Le facteur 10, en pratique.
Et si ma phrase de passe est faible malgré tout ?
Test simple : faites-la lire à quelqu'un, et demandez-lui de deviner les mots suivants. S'il devine, votre phrase a un schéma logique — proverbe, chanson, expression. Mauvais signe.
Autre test : elle est courte (moins de quatre mots) et le dernier mot est un chiffre rond. Mauvais signe aussi.
La phrase parfaite est celle qui vous ferait un peu honte à dire à voix haute. C'est bon signe.
Générateur de mot de passe gratuit : est-ce vraiment fiable ?
Un générateur de mot de passe gratuit produit une chaîne aléatoire de qualité cryptographique. C'est excellent en soi. Le problème, c'est ce que vous en faites après : si vous ne pouvez pas la mémoriser, vous la stockez quelque part. Et ce quelque part, c'est souvent un fichier texte, un carnet, ou un onglet ouvert en permanence.
Les générateurs que je connais et qui font le travail correctement sont disponibles directement dans les gestionnaires de mots de passe, ce qui règle la question du stockage dans la foulée.
Quand l'utiliser, quand l'éviter
- À utiliser : tous les comptes secondaires — forums, boutiques, newsletters, applications que vous ouvrez deux fois par an.
- À utiliser : les comptes critiques, à condition de les coller directement dans un gestionnaire sans jamais les voir.
- À éviter : le mot de passe maître du gestionnaire, celui de votre session d'ordinateur, et celui de votre messagerie principale. Ceux-là, vous les mémorisez.
Liste de mots de passe forts : comment organiser la vôtre
Le gestionnaire de mots de passe résout le problème « je ne me souviens de rien ». Mais il crée le problème « et si je perds l'accès au gestionnaire ? »
J'ai testé la situation une fois. Panne de disque dur, sauvegarde non à jour, deux jours de sueur froide. Depuis, ma liste comporte trois niveaux :
- Le mot de passe maître, mémorisé via palais de mémoire et répétition espacée. Jamais écrit, jamais photographié.
- Trois mots de passe critiques (banque, messagerie principale, ordinateur), mémorisés de la même manière.
- Tout le reste, généré aléatoirement et stocké dans le coffre-fort.
Cette architecture réduit la charge mentale à quatre secrets. Pas dix, pas trente. Quatre. C'est tenable.
Comment créer un mot de passe sur téléphone (et pourquoi c'est différent)
Sur mobile, la saisie est lente et les claviers cachent la moitié de l'écran. Résultat : les gens choisissent des mots de passe courts, souvent à quatre chiffres. C'est une catastrophe silencieuse.
La solution : utilisez le gestionnaire intégré (celui d'iOS ou d'Android fait très bien le job), laissez-le générer, et acceptez la saisie automatique. Vous ne tapez le mot de passe qu'une fois tous les six mois, à la création.
Pour les quatre à six codes critiques que vous devez entrer à la main, appliquez la même logique que sur ordinateur : quatre mots ou un code à huit chiffres minimum, jamais une date de naissance. Je sais, c'est pénible à taper. C'est le prix.
Le piège des applications mobiles
Beaucoup d'applications tierces stockent mal, ou pas du tout. Si l'application propose une connexion par empreinte digitale après une première saisie, tant mieux. Si elle redemande le mot de passe toutes les deux semaines, elle vous pousse à choisir court. Fuyez, ou acceptez de passer par le gestionnaire.
Ce que j'ai fini par comprendre
La première fois que j'ai tenté de retenir quinze phrases de passe, j'ai tenu trois semaines. Puis j'ai commencé à confondre, à réinitialiser, à revenir aux vieux mots de passe réutilisés. Échec complet.
La vérité, c'est qu'on ne peut pas retenir tout ce qu'on possède. Vouloir le faire, c'est choisir la sécurité maximale sur le papier et la faiblesse maximale dans les faits, parce qu'à un moment on craque et on écrit le mot de passe sur un carnet.
Ce qui marche tient en une phrase : mémorisez quatre secrets, déléguez tous les autres. Les méthodes cognitives — palais de mémoire, répétition espacée, images absurdes — servent à rendre ces quatre secrets indestructibles, pas à transformer votre cerveau en base de données.
La prochaine fois qu'on vous demande votre mot de passe, vous n'aurez peut-être pas la réponse exacte en tête. Mais vous saurez, en deux secondes, où la trouver. Et ça change tout.
