Les conseils sur les mots de passe forts sont partout, et ils visent presque tous la mauvaise attaque.
Majuscules, chiffres, caractères spéciaux, changement tous les trois mois : tout cela suppose que quelqu'un essaie de deviner votre mot de passe. Dans le cas le plus fréquent aujourd'hui, personne ne devine quoi que ce soit.
Ce qui arrive vraiment : on ne le devine pas, on le rejoue
Le scénario ordinaire tient en trois étapes :
- un service quelconque où vous aviez un compte subit une fuite ;
- votre adresse e-mail et votre mot de passe se retrouvent dans une liste ;
- un programme essaie ce couple, tel quel, sur des dizaines d'autres sites.
La solidité du mot de passe n'intervient à aucune de ces étapes. Un mot de passe de quarante caractères aléatoires tombe exactement aussi vite qu'un mot de passe faible, s'il est réutilisé et que le service qui le stockait a fui.
C'est pour cela que l'unicité passe avant la complexité, et non l'inverse, comme le suggèrent la plupart des formulaires d'inscription.
Un cadenas d'acier et sa chaîne ferment une grille métallique rouge devant l'entrée d'un commerce. Derrière la grille on distingue une porte, des affiches et un sol en mosaïque à motifs.
Pourquoi les règles de complexité déçoivent
Exiger « une majuscule, un chiffre, un caractère spécial » a un effet secondaire mesurable par n'importe qui : les gens contournent la contrainte de la même manière. Majuscule au début, chiffre à la fin, point d'exclamation pour finir. La règle voulait de l'imprévisibilité ; elle produit un schéma.
À l'inverse, une phrase longue composée de mots ordinaires est plus facile à retenir et plus coûteuse à attaquer par essais successifs, parce que ce qui coûte cher à ce type d'attaque est la longueur, pas la présence d'un symbole.
La question à se poser n'est donc pas « est-ce qu'il a l'air compliqué ? » mais « combien d'endroits l'utilisent ? ».
Changer régulièrement : l'habitude qui fabrique des séries
Changer par calendrier, sans raison, produit ce que produisent toutes les contraintes arbitraires : des variations numérotées. Une version connue rend les suivantes devinables.
Ce qui justifie un changement, c'est un événement, pas une date :
- un service annonce une fuite ;
- vous voyez une connexion que vous ne reconnaissez pas ;
- vous savez avoir réutilisé ce mot de passe ailleurs ;
- vous avez perdu un appareil resté connecté.
Dans ces cas, changez tout de suite, et commencez par la messagerie.
L'ordre qui compte vraiment
- Un mot de passe différent par service. C'est le seul point qui casse le scénario du rejeu.
- De la longueur plutôt que des symboles. Une phrase de plusieurs mots bat un mot court décoré.
- Un gestionnaire, parce que sans lui la seule façon de tenir le point 1 est de répéter ou d'écrire. Il reste un mot de passe à retenir : celui-là doit être long et n'avoir jamais servi ailleurs, l'erreur classique est d'y placer un ancien mot de passe.
- La messagerie d'abord. Elle commande les autres comptes, parce que c'est là qu'arrivent les liens de réinitialisation. Vous pouvez le vérifier en trois minutes sur vos propres comptes : regardez où arrive le message « mot de passe oublié » de trois services que vous utilisez.
Ce quatrième point est celui que les listes de conseils placent en dernier, alors qu'il décide de tout le reste.
Et une chose que ni la longueur ni l'unicité ne couvrent
Tout ce qui précède protège vos comptes. Cela ne dit rien de ce que votre navigateur raconte de lui-même pendant que vous naviguez, ni de ce qu'un appareil perdu déverrouille encore, ni de la question de savoir quel compte peut réinitialiser les autres chez vous précisément.
Ce sont des habitudes, pas des réglages, et elles ne se corrigent pas avec un mot de passe.
Situez votre propre surface d'attaque, 10 questions, environ trois minutes, sans compte, sans adresse e-mail, et rien n'est conservé. Le résultat nomme le geste qui, chez vous, réduit le plus l'exposition, et il n'est pas le même pour tout le monde.
En résumé
| Conseil courant | Ce qu'il vaut réellement |
|---|---|
| « Une majuscule, un chiffre, un symbole » | Produit des schémas prévisibles ; effet limité |
| « Changez tous les trois mois » | Fabrique des séries numérotées ; changez sur événement |
| « Faites-le long » | Vrai, et c'est ce qui coûte cher à l'attaque par essais |
| « Un mot de passe différent partout » | Le seul point qui casse le rejeu après une fuite |
| « Commencez par le compte le plus sensible » | Commencez par la messagerie : elle commande les autres |
La phrase à retenir tient en une ligne : un mot de passe imprenable réutilisé n'est pas un mot de passe fort.
Voir l'offre NordVPN
30 jours satisfait ou remboursé