Quelle longueur pour un mot de passe ? Le calcul en clair

Les règles de mots de passe adorent les symboles : une majuscule, un chiffre, un caractère spécial. Les attaquants se soucient bien davantage d’autre chose : combien de mots de passe possibles ils devraient essayer.

Chaque caractère multiplie le travail

Avec les minuscules, les majuscules, les chiffres et les symboles, le générateur de 4Dev puise dans 88 caractères possibles. Chaque caractère supplémentaire multiplie le nombre de combinaisons par 88. Allonger le mot de passe fait croître la recherche de façon exponentielle ; ajouter un symbole à un mot de passe court n’aide presque pas.

8 caractères   88^8  ≈ 3,6 × 10^15  ≈ 52 bits
12 caractères  88^12 ≈ 2,2 × 10^23  ≈ 78 bits
16 caractères  88^16 ≈ 1,3 × 10^31  ≈ 103 bits

Ce que cela veut dire en pratique

Quand une base de hachages de mots de passe fuit, les attaquants testent hors ligne avec des cartes graphiques, des milliards d’essais par seconde contre des hachages rapides. Un mot de passe aléatoire de 8 caractères peut tomber en quelques heures ou quelques jours. Avec 12, il faudrait des dizaines de milliers d’années, et 16 caractères sont hors de portée de toute attaque réaliste.

Le mot clé, c’est aléatoire

Ces chiffres ne valent que pour des mots de passe vraiment aléatoires. Soleil2024! compte 11 caractères, mais fait partie des premiers essais d’un attaquant parce qu’il suit un schéma humain. Les mots, les prénoms, les dates et les suites de touches sont testés bien avant les chaînes aléatoires.

Conseils pratiques

Utilisez au moins 12 caractères, et 16 ou plus pour la messagerie, la banque et tout ce qui peut réinitialiser d’autres comptes. Un mot de passe différent par site, rangé dans un gestionnaire de mots de passe, et la double authentification partout où c’est possible. Si un site refuse les symboles, ajoutez plutôt quelques caractères.

Les phrases de passe : longues et faciles à retenir

Pour les quelques mots de passe que vous devez taper ou retenir, comme le mot de passe maître de votre gestionnaire, une phrase de passe faite de mots aléatoires fonctionne très bien. Avec la liste Diceware de 7 776 mots, chaque mot tiré au hasard ajoute environ 12,9 bits.

5 mots aléatoires  7776^5 ≈ 2,8 × 10^19  ≈ 64 bits
6 mots aléatoires  7776^6 ≈ 2,2 × 10^23  ≈ 77 bits

Six mots aléatoires sont à peu près aussi solides qu’un mot de passe aléatoire de 12 caractères, et bien plus faciles à taper. Les mots doivent être tirés au hasard, aux dés ou avec un générateur : une citation, une parole de chanson ou une phrase que vous avez inventée sont bien plus faibles qu’ils n’en ont l’air.

Les règles qui n’aident pas

Les recommandations du NIST (SP 800-63B) déconseillent d’imposer un changement de mot de passe à intervalles réguliers et des règles de composition comme « un chiffre et un symbole ». Les deux poussent vers des schémas prévisibles comme Password1! et Password2!. De meilleures règles : autoriser les mots de passe longs, autoriser le collage pour que les gestionnaires fonctionnent et vérifier les nouveaux mots de passe contre des listes de mots de passe exposés lors de fuites connues.

Quand un site que vous utilisez est piraté

Changez ce mot de passe immédiatement, ainsi que partout où vous l’avez réutilisé. Les attaquants essaient les couples e-mail et mot de passe divulgués sur d’autres sites en quelques heures, une technique appelée credential stuffing. Un mot de passe différent par site transforme une fuite en un seul problème au lieu de plusieurs.

En générer un en toute sécurité

Le générateur de mots de passe de 4Dev crée les mots de passe dans votre navigateur avec crypto.getRandomValues, le générateur aléatoire cryptographiquement sûr du navigateur. Choisissez de 4 à 128 caractères et les groupes de caractères à inclure ; rien n’est envoyé à un serveur ni conservé.

Ouvrir le générateur de mots de passe