Créer un mot de passe robuste que vous pouvez vraiment gérer

Ce qui rend un mot de passe robuste

Deux facteurs comptent surtout : la longueur et l'imprévisibilité. Chaque caractère supplémentaire multiplie le nombre d'essais dont un attaquant a besoin, au lieu d'en ajouter quelques-uns : les mots de passe longs l'emportent donc sur les mots de passe courts mais compliqués.

L'imprévisibilité signifie que le mot de passe ne doit pas être construit à partir de mots ou de schémas que les attaquants essaient en premier : prénoms, dates de naissance, suites de touches comme azerty, ou substitutions classiques comme a par @. Les logiciels de piratage connaissent ces astuces depuis des années.

Combien de caractères suffisent

Une règle simple : pour les comptes enregistrés dans un gestionnaire de mots de passe que vous n'avez jamais besoin de mémoriser, utilisez au moins 16 caractères aléatoires. Pour un mot de passe principal ou une session d'ordinateur que vous devez retenir, une phrase secrète de plusieurs mots convient mieux.

Une chaîne aléatoire de 16 caractères mêlant majuscules, minuscules, chiffres et symboles est si complexe qu'une attaque par force brute est pratiquement impossible. Pour cette raison, la longueur compte souvent plus que le nombre de types de caractères utilisés.

Phrases secrètes : longues mais mémorisables

Une phrase secrète est composée de plusieurs mots choisis au hasard, par exemple quatre ou cinq mots issus de domaines sans rapport. Elle est longue, donc robuste, et plus facile à retenir qu'une suite comme X7#qL9!z.

L'essentiel est que les mots soient choisis au hasard, et non tirés d'une citation ou d'une chanson préférée. Les humains choisissent mal au hasard : dès que vous pensez vous-même aux mots, ils deviennent prévisibles. Il vaut mieux utiliser un générateur ou lancer des dés pour choisir les mots.

Utiliser un générateur

Le cerveau humain est une mauvaise source d'aléa. Un générateur de mots de passe produit une chaîne réellement aléatoire et vous laisse choisir la longueur et le jeu de caractères. Le générateur de Konvertavimas.lt s'exécute dans votre navigateur : le mot de passe est créé sur votre appareil et n'est envoyé nulle part.

• Choisissez une longueur : au moins 16 caractères pour les mots de passe conservés dans un gestionnaire.
• Laissez tous les types de caractères activés, sauf si un site refuse certains symboles.
• Copiez le mot de passe directement dans votre gestionnaire ou dans le formulaire d'inscription.
• Ne l'envoyez pas dans un message et ne le conservez pas dans un fichier intitulé « mots de passe ».

Un mot de passe par compte

Même un mot de passe robuste devient dangereux quand il sert à plusieurs endroits. Lorsqu'un site est piraté, les attaquants essaient les mêmes identifiants sur d'autres services. C'est pourquoi chaque compte doit avoir son propre mot de passe.

Ce n'est réaliste qu'avec un gestionnaire de mots de passe qui retient tout pour vous. Vous mémorisez une seule longue phrase secrète principale, et le gestionnaire crée et remplit le reste.

Erreurs courantes avec les mots de passe

• Un prénom, une année de naissance ou le nom d'un animal suivi d'un chiffre : ce sont les premières hypothèses testées.
• Le même mot de passe légèrement modifié d'un site à l'autre, par exemple en ajoutant le nom du site.
• Noter ses mots de passe sur un post-it collé à l'écran ou les conserver dans des notes de navigateur non protégées.
• Partager un mot de passe par messagerie instantanée ou par e-mail, où il reste dans l'historique pendant des années.
• Des réponses aux questions de récupération que l'on trouve sur les réseaux sociaux, comme le nom de jeune fille de la mère. Mieux vaut les remplir avec des réponses aléatoires et les conserver dans votre gestionnaire.

Protection supplémentaire

• Activez l'authentification à deux facteurs pour les comptes importants : messagerie, banque, stockage en ligne. Une application d'authentification vaut mieux qu'un SMS.
• Changez un mot de passe quand un service signale une fuite de données, et non chaque mois sans raison.
• Conservez les codes de récupération à part, par exemple imprimés et rangés dans un endroit sûr.
• Méfiez-vous des liens dans les e-mails : même un mot de passe robuste ne sert à rien si vous le saisissez vous-même sur un faux site.