Créer un mot de passe sécurisé – et ce qui est vraiment sûr en 2026

Le changement le plus important de ces dernières années : la longueur compte plus que la complexité. L'institut américain de normalisation NIST a publié en juillet 2025 la quatrième version de sa ligne directrice SP 800-63B, qui remplace la version de 2017. Dans la section 3.1.1.2, elle exige des services que les mots de passe comptent au moins 15 caractères lorsqu'ils servent seuls à la connexion ; ce n'est qu'avec un second facteur qu'un minimum de 8 caractères est admis. Les services doivent autoriser au moins 64 caractères, ne doivent pas imposer de classes de caractères (donc pas d'obligation de majuscule, de chiffre et de caractère spécial), ne doivent pas exiger de changement régulier et doivent vérifier les nouveaux mots de passe contre une liste de blocage de mots de passe connus, prévisibles et compromis. Ils doivent accepter les gestionnaires de mots de passe et le remplissage automatique, devraient accepter les espaces et l'Unicode, et ne doivent plus proposer de questions de sécurité ni d'indices de mot de passe.

L'office allemand BSI formule une règle simple à deux voies : court et complexe avec au moins 8 caractères et quatre types de caractères, ou long et moins complexe avec au moins 25 caractères, par exemple une suite de mots. Pour le mot de passe Wi-Fi, il recommande au moins 20 caractères, parce que les attaques y sont possibles hors ligne. Un mot de passe de 8 caractères avec trois types de caractères ne suffit selon le BSI que si un second facteur est activé en plus. Sur le changement, le BSI est clair dans son communiqué de presse du 31 janvier 2025 « Passwortwechseln war gestern » (« changer de mot de passe, c'était hier ») : le conseil de changer régulièrement de mot de passe est dépassé, parce qu'il produit avec le temps des mots de passe plus faibles ; on change lorsqu'il y a un indice de fuite ou d'accès étranger.

L'Office fédéral de la cybersécurité suisse (OFCS) indique sur sa page « Protection des appareils, mots de passe et contrôle d'accès » au moins 12 caractères composés de majuscules, de minuscules, de chiffres et de caractères spéciaux pour les services en ligne, et là aussi au moins 20 caractères pour le Wi-Fi. Il conseille un mot de passe différent pour chaque service, un gestionnaire de mots de passe qui prend aussi en charge le second facteur, et de changer immédiatement un mot de passe si vous pensez que des tiers le connaissent. Les chiffres des trois autorités divergent donc – 12, 15 ou 25 caractères –, la direction est la même. Notre recommandation dans ce guide s'aligne sur la valeur la plus stricte pour les mots de passe à mémoriser (phrase de passe, bien au-delà de 20 caractères) et sur 20 caractères pour les mots de passe aléatoires du gestionnaire.

L'image du pirate qui devine un mot de passe caractère par caractère induit en erreur. Selon le Verizon Data Breach Investigations Report 2026, qui analyse plus de 22 000 fuites de données confirmées, des identifiants volés étaient impliqués dans 36 % des fuites ; l'abus d'identifiants constituait l'accès initial dans 13 % des cas, et le facteur humain jouait un rôle dans 62 %. Les mots de passe proviennent de trois sources : des fuites chez des services qui ont mal protégé les mots de passe stockés ; des infostealers, c'est-à-dire des logiciels malveillants qui aspirent les mots de passe enregistrés directement sur l'appareil ; et du phishing, où vous saisissez vous-même le mot de passe sur une page falsifiée.

Have I Been Pwned en donne la dimension : la collection « June 2026 Stealer Logs », ajoutée le 15 juin 2026, contient selon le site 56,3 millions d'adresses e-mail et 124 millions de mots de passe issus de journaux d'infostealers de diverses origines. Avec de telles listes, les attaquants pratiquent le credential stuffing : ils essaient automatiquement adresse e-mail et mot de passe chez des centaines d'autres services. Cela ne fonctionne que parce que les mots de passe sont réutilisés – c'est pourquoi « un mot de passe différent pour chaque compte » compte plus que n'importe quel caractère spécial. En Suisse, l'étude « Cybersécurité des PME 2026 » de l'OFCS et de ses partenaires le montre : chez les entreprises durement touchées, le piratage de mots de passe était avec 32 % le deuxième type d'attaque le plus fréquent après le phishing avec 39 %, et seules 55 % des PME avaient entièrement déployé l'authentification multifacteur.

Contre le phishing, un mot de passe fort ne sert à rien – vous le saisissez volontairement. Ici, un gestionnaire de mots de passe aide d'une autre manière : il ne remplit les identifiants que sur le domaine pour lequel ils sont enregistrés. Si le champ reste vide sur une prétendue page d'hôtel ou de banque, c'est un signal d'alarme, comme l'OFCS l'a rappelé en octobre 2026 en mettant en garde contre de fausses réservations d'hôtel avec des pages de connexion falsifiées. Et le second facteur n'est pas non plus une panacée : dans ce cas, les escrocs demandaient aussi le code de validation sous un prétexte et contournaient ainsi l'authentification à deux facteurs. Seuls les clés d'accès et les clés matérielles résistent vraiment au phishing – nous y revenons plus bas.

Le tableau le plus connu sur la question est publié chaque année par la société de sécurité américaine Hive Systems, la dernière fois le 14 juillet 2026. Il calcule le temps qu'il faut à un attaquant pour casser par force brute un mot de passe généré aléatoirement à partir d'un hachage volé. Les hypothèses pour 2026 : le service a stocké les mots de passe avec bcrypt (facteur de coût 10), l'attaquant loue 16 cartes graphiques RTX 5090, il n'y a ni verrouillage, ni limitation des tentatives, ni second facteur. Dans ces conditions, un mot de passe de 8 caractères composé de lettres, de chiffres et de symboles résiste selon Hive Systems 132 ans – en 2024, c'étaient encore 225 ans, en 2025 encore 164. Un mot de passe de 8 caractères composé uniquement de minuscules tombe en revanche en deux semaines environ, pour quelque 3 400 dollars de location.

Le tableau lui-même n'existe que sous forme d'image ; nous n'avons donc pas pu reprendre d'autres valeurs pour des mots de passe plus longs. Plus importantes que les chiffres isolés sont de toute façon les réserves que Hive Systems formule lui-même : les durées ne valent que pour des mots de passe vraiment aléatoires qui ne figurent dans aucune fuite de données. Un mot de passe présent dans une liste de mots ou déjà divulgué a été cassé par une seule RTX 5090, dans l'exemple de Hive Systems, en trois secondes environ. Et si un service a stocké ses mots de passe sans bcrypt ou avec un procédé plus faible, toutes les durées fondent drastiquement.

Pour vous, cela signifie : la longueur décide si un attaquant disposant de hachages volés a la moindre chance ; chaque caractère de plus multiplie l'effort. C'est pourquoi nous recommandons 20 caractères pour les mots de passe aléatoires du gestionnaire, alors que le NIST en exige 15 – les cinq caractères de plus ne vous coûtent rien, puisque vous ne les tapez jamais. Que votre mot de passe figure ou non dans une liste ne dépend en revanche pas de sa longueur, mais de la question de savoir si vous l'avez réutilisé quelque part.

Le BSI, l'OFCS, le NCSC et le NIST le recommandent ou l'exigent – le BSI avec l'argument tout simple que vous n'avez alors plus qu'un bon mot de passe principal à mémoriser, le NIST avec l'obligation faite aux services d'accepter les gestionnaires de mots de passe et le remplissage automatique. L'utilité est claire : seul un gestionnaire permet de tenir au quotidien « un mot de passe aléatoire long et différent pour chaque compte ». S'y ajoutent la protection contre le phishing grâce au remplissage limité au bon domaine et le contrôle intégré des mots de passe divulgués et réutilisés.

Les risques sont tout aussi clairs. Premièrement, le mot de passe principal : il protège tout, il doit donc être une longue phrase de passe, utilisée nulle part ailleurs, avec un second facteur – voir l'onglet « Le seul mot de passe que vous devez mémoriser ». Deuxièmement, les vulnérabilités des programmes eux-mêmes : en août 2025, le chercheur en sécurité Marek Tóth a montré à la DEF CON 33 comment les extensions de navigateur de plusieurs gestionnaires pouvaient être amenées par clickjacking à remplir des identifiants sur des pages étrangères ; qui a réagi comment, c'est dans le comparatif (→ Meilleurs gestionnaires de mots de passe 2026 : 1Password, NordPass, Bitwarden et Proton Pass comparés). Troisièmement, une panne ou une perte d'accès – l'accès d'urgence et une exportation occasionnelle vers un lieu sûr y remédient.

Gestionnaire du navigateur ou de l'appareil (Mots de passe d'Apple, Gestionnaire de mots de passe de Google) contre gestionnaire dédié (Bitwarden, 1Password, NordPass, Proton Pass) : les gestionnaires intégrés sont gratuits, toujours là et tout à fait suffisants pour beaucoup, tant que vous restez dans un seul univers – uniquement des appareils Apple, ou uniquement Chrome et Android. Qui mélange iPhone et PC Windows, partage des mots de passe en famille ou veut les clés d'accès et les codes à deux facteurs au même endroit s'en sort mieux avec un gestionnaire dédié. Les prix (état au 16 octobre 2026, en dollars US, facturation annuelle) : Bitwarden est gratuit sans limite d'appareils ni de mots de passe, Premium coûte 1,65 $ par mois (19,80 $ par an), Families 3,99 $ par mois ; 1Password Individual 3,99 $ par mois (47,88 $ par an), Families 5,99 $ ; NordPass est gratuit avec une session active, Premium coûte selon TechRadar 1,24 $ par mois dans la formule sur 2 ans ; Proton Pass est gratuit, Plus coûte 2,99 $ par mois. Détails, forces et faiblesses dans le comparatif (→ Meilleurs gestionnaires de mots de passe 2026 : 1Password, NordPass, Bitwarden et Proton Pass comparés).

Une clé d'accès remplace le mot de passe par une paire de clés : la clé privée reste sur votre appareil ou dans le trousseau, le service ne connaît que la clé publique. À la connexion, vous confirmez avec Face ID, l'empreinte digitale ou le code de l'appareil – il n'y a rien que vous pourriez saisir sur une page falsifiée, et rien qui puisse être volé lors d'une fuite chez le service. Le BSI cite les clés d'accès dans son communiqué de presse du 31 janvier 2025 comme alternative sans mot de passe : puisque plus aucun mot de passe n'est saisi, les criminels ne peuvent plus en intercepter.

Les chiffres de la FIDO Alliance, qui porte le standard, montrent la diffusion : le 7 mai 2026, elle annonçait plus de 5 milliards de clés d'accès et 75 % de personnes interrogées avec au moins une clé d'accès activée ; le 15 octobre 2026, on en comptait selon FIDO environ 7 milliards, et chez les 15 grands services grand public du « Passkey Index », plus d'un tiers des connexions réussies passent par une clé d'accès – selon FIDO, presque trois fois plus vite qu'avec un mot de passe et l'authentification à deux facteurs classique. Tous les services participants qui mesurent le phishing ont signalé selon FIDO moins d'attaques réussies après l'introduction.

L'OFCS a classé les procédés en septembre 2026 dans ses considérations technologiques « Classes de sécurité pour les procédés, moyens et services d'authentification ». Il distingue les classes « basse », « moyenne » et « haute » ; un astérisque marque les procédés qui protègent contre le phishing en temps réel et les attaques de l'homme du milieu. Le nom d'utilisateur et le mot de passe seuls relèvent de la classe « basse » – de tels procédés ne devraient plus être utilisés selon l'OFCS, même avec une transmission chiffrée. Mot de passe plus code SMS ou plus app d'authentification relève de la classe « moyenne » sans astérisque, l'OFCS mettant fondamentalement en doute la sécurité des procédés par SMS. Les clés d'accès synchronisées, telles qu'Apple et Google les distribuent via le trousseau, atteignent « moyenne* », donc résistantes au phishing ; les clés matérielles FIDO2 sans synchronisation atteignent « haute* ». Concrètement : si un service propose les clés d'accès, configurez-les – et ne gardez le mot de passe que comme voie de secours, aussi long et unique que décrit ici. Notre guide pas à pas montre comment configurer clé d'accès, invite, application d'authentification et codes de secours sur le compte le plus important (→ Activer la validation en deux étapes sur votre compte Google – invite, application, clé ou clé d'accès).

L'obligation de caractères spéciaux : le NIST interdit aux services, depuis la quatrième version, d'imposer des classes de caractères, et le NCSC qualifie simplement le vieux conseil des caractères, symboles et chiffres aléatoires d'inutile. Un « ! » à la fin ou un « 0 » à la place du « o » vous embrouille, pas le programme de cassage. Le changement régulier : le BSI le juge dépassé, le NIST interdit aux services de l'exiger. On change en cas de soupçon – alerte de fuite, connexion étrangère, e-mail de phishing avec des données personnelles exactes.

Les indicateurs de robustesse : la barre qui passe du rouge au vert ne mesure le plus souvent que les classes de caractères et la longueur – pas si votre mot de passe figure dans une liste de fuites. « Ete2026! » passe au vert et se devine pourtant en quelques secondes. Fiez-vous à la longueur, au hasard et au contrôle contre les fuites de données qu'Apple, Google et les gestionnaires ont intégré. « Enregistrer les mots de passe dans le navigateur n'est pas sûr » : c'était vrai quand les navigateurs les stockaient en clair. Aujourd'hui, Apple et Google les enregistrent chiffrés dans le trousseau ou dans le compte Google, les vérifient contre les fuites et ne les remplissent que sur le bon domaine – c'est plus sûr qu'un mot de passe réutilisé gardé en tête. Ce qui reste important, c'est que l'appareil lui-même soit verrouillé par un code et exempt de logiciels malveillants, car les infostealers visent précisément ces stockages.

Les questions de sécurité : « le nom de votre premier animal » figure souvent sur les réseaux sociaux, et le NIST interdit expressément aux services, dans la section 3.1.1.2, de proposer des questions de sécurité ou des indices de mot de passe. Si vous devez malgré tout en remplir une, indiquez une réponse inventée – un second mot de passe aléatoire – et enregistrez-la dans le gestionnaire avec ce compte.