Chaque année, les chercheurs en sécurité publient la liste des mots de passe les plus utilisés. Chaque année, « 123456 » et « password » figurent en tête de classement. Pendant ce temps, les fuites de données exposent des milliards d'identifiants. L'écart entre ce que les gens savent qu'ils devraient faire et ce qu'ils font réellement avec leurs mots de passe reste immense.
Ce guide couvre tout ce que vous devez savoir pour créer et gérer des mots de passe robustes en 2026, y compris les alternatives plus récentes qui pourraient un jour remplacer complètement les mots de passe.
Pourquoi les mots de passe comptent toujours
Malgré les progrès de la biométrie et des passkeys, les mots de passe restent la principale méthode d'authentification pour la grande majorité des services en ligne. Votre messagerie, votre compte bancaire, votre stockage cloud, vos réseaux sociaux et vos outils de travail dépendent tous de mots de passe. Un mot de passe faible ou réutilisé est souvent le maillon faible qui conduit à la compromission d'un compte.
Les conséquences peuvent être graves : usurpation d'identité, pertes financières, exposition de communications privées, et dans un contexte professionnel, des violations qui affectent toute une organisation.
Anatomie d'un mot de passe robuste
Un mot de passe solide possède trois qualités essentielles :
- La longueur. C'est le facteur le plus important. Chaque caractère supplémentaire multiplie le nombre de combinaisons possibles de manière exponentielle. Un mot de passe de 16 caractères est astronomiquement plus difficile à craquer qu'un mot de passe de 8 caractères.
- L'aléatoire. Le mot de passe ne doit pas contenir de mots du dictionnaire, de noms, de dates ou de schémas prévisibles. C'est le caractère véritablement aléatoire qui rend les attaques par force brute irréalisables.
- L'unicité. Chaque compte doit avoir son propre mot de passe. Réutiliser un mot de passe signifie qu'une fuite sur un service compromet tous les services partageant ce mot de passe.
| Type de mot de passe | Exemple | Temps pour le craquer |
|---|---|---|
| 6 chiffres | 481937 | Instantané |
| Mot courant | soleil | Instantané |
| Mot + chiffre | Singe12 | Quelques secondes |
| 12 car. mixtes | kP7$mN2@xL9q | Des siècles |
| 16 car. aléatoires | vB8#nR4&jF6!wQ1% | Des millions d'années |
| Phrase de passe (5 mots) | correct cheval batterie agrafe vert | Des siècles |
Les phrases de passe fonctionnent aussi. Une suite de 4 à 6 mots aléatoires sans rapport entre eux (comme « marbre trompette océan bicyclette ») peut être à la fois robuste et mémorisable. La longueur compense l'utilisation de mots du dictionnaire, à condition que les mots soient véritablement choisis au hasard.
Les erreurs les plus courantes
- Réutiliser ses mots de passe. Si un service subit une fuite, les attaquants essaieront ce mot de passe sur tous les autres services (c'est le « credential stuffing »).
- Informations personnelles. Le nom de votre animal, votre date de naissance ou votre adresse sont faciles à trouver sur les réseaux sociaux.
- Substitutions simples. Remplacer « a » par « @ » ou « o » par « 0 » ne trompe pas les outils de craquage modernes. Ils testent ces variantes automatiquement.
- Mots de passe trop courts. Tout ce qui fait moins de 12 caractères est de plus en plus vulnérable à mesure que la puissance de calcul augmente.
- Motifs au clavier. « azerty », « qwerty » et « azertyuiop » font partie des premières combinaisons que les attaquants testent.
Les gestionnaires de mots de passe : la solution pratique
Personne ne peut mémoriser des dizaines de mots de passe uniques, aléatoires et de 16 caractères. C'est là qu'interviennent les gestionnaires de mots de passe. Un gestionnaire stocke tous vos mots de passe dans un coffre-fort chiffré protégé par un seul mot de passe maître.
Les avantages d'un gestionnaire de mots de passe :
- Génère des mots de passe forts et aléatoires pour chaque compte
- Remplit automatiquement les formulaires de connexion
- Se synchronise entre tous vos appareils
- Vous alerte si un mot de passe stocké apparaît dans une fuite connue
- Stocke aussi les notes sécurisées, cartes bancaires et autres données sensibles
Parmi les options populaires, on trouve Bitwarden (open source, version gratuite disponible), 1Password, et les gestionnaires intégrés à iOS et Android. L'important est d'en choisir un et de l'utiliser systématiquement.
L'authentification à deux facteurs (2FA)
Un mot de passe robuste est votre première ligne de défense. L'authentification à deux facteurs est la deuxième. Avec le 2FA activé, la connexion nécessite à la fois votre mot de passe et un second facteur, généralement un code provenant d'une application d'authentification ou d'une clé de sécurité physique.
Même si un attaquant obtient votre mot de passe, il ne peut pas accéder à votre compte sans le second facteur. Activez le 2FA sur chaque compte qui le propose, en particulier la messagerie, la banque et le stockage cloud.
Préférez les applications d'authentification aux SMS. Le 2FA par SMS est mieux que rien, mais il peut être contourné par des attaques de type SIM-swapping. Les applications d'authentification (comme Aegis, Ente Auth ou Google Authenticator) et les clés de sécurité physiques (comme YubiKey) sont nettement plus sûres.
Les passkeys : l'avenir de l'authentification
Les passkeys sont une technologie récente soutenue par Apple, Google et Microsoft qui pourrait à terme remplacer entièrement les mots de passe. Un passkey est un identifiant cryptographique stocké sur votre appareil. Lors de la connexion, votre appareil prouve votre identité grâce à la cryptographie à clé publique — aucun mot de passe n'est transmis ni stocké sur le serveur.
Les passkeys ne peuvent pas être hameçonnés (ils sont liés au site web spécifique), ne peuvent pas être réutilisés entre services et n'ont pas besoin d'être mémorisés. En 2026, le support des passkeys progresse rapidement et de nombreux services majeurs les proposent désormais.
Avez-vous déjà été victime d'une fuite ?
Votre adresse email et vos mots de passe circulent peut-être déjà dans des bases de données de fuites. Des services comme Have I Been Pwned vous permettent de vérifier si votre adresse email apparaît dans des fuites connues. Si c'est le cas, changez immédiatement les mots de passe des comptes concernés et assurez-vous de ne pas réutiliser ces mots de passe ailleurs.
Un plan d'action simple
- Installez un gestionnaire de mots de passe et commencez à y stocker vos mots de passe
- Changez d'abord vos mots de passe les plus critiques (messagerie, banque, cloud)
- Chaque mot de passe doit faire au moins 14 caractères, être aléatoire et unique
- Activez le 2FA sur chaque compte qui le propose
- Configurez les passkeys là où c'est disponible
- Consultez Have I Been Pwned régulièrement
Pour aller plus loin
ToolK.io propose des outils gratuits pour générer des mots de passe robustes et vérifier la solidité de vos mots de passe, ainsi que des tutoriels pour sécuriser vos comptes pas à pas.