Comment créer un mot de passe sécurisé en 2025 : 10 bonnes pratiques

Vous pensiez votre mot de passe de 8 caractères, complètement aléatoire, avec majuscules et minuscules, nombres et caractères spéciaux sécurisé ? Le temps de réfléchir à la réponse, il a probablement déjà été craqué, selon une étude de Specops de janvier 2025. Découvrez nos 10 conseils et bonnes pratiques pour adopter un mot de passe robuste, qui devrait décourager la plupart des pirates.

1. Utiliser une longueur suffisante

Un mot de passe robuste repose en premier lieu sur sa longueur. Un mot de passe court se casse beaucoup plus rapidement par des attaques automatisées. Specops note par exemple qu’un mot de passe de 12 caractères, composé uniquement de minuscule, prend déjà 13 jours à être trouvé. En choisissant au moins 12 caractères, et idéalement 16 ou plus, la complexité augmente de manière exponentielle. Une longueur importante ne suffit pas seule, mais elle forme une première barrière difficile à franchir pour un attaquant. Plus le mot de passe est long, plus il résiste aux tentatives d’intrusion.

2. Mélanger différents types de caractères

Un mot de passe composé uniquement de lettres ou de chiffres s’avère néanmoins facile à deviner pour un logiciel malveillant. Introduire des majuscules, des minuscules, des chiffres et des symboles spéciaux augmente considérablement la robustesse globale, et c’est presque maintenant une obligation. Cette variété rend les combinaisons bien plus difficiles à prédire. Un mélange judicieux permet d’assurer une meilleure protection face aux tentatives de piratage par force brute ou par dictionnaire.

3. Éviter les éléments évidents et personnels

Un mot de passe ne devrait jamais contenir d’éléments personnels et/ou évidents. Le prénom, la date de naissance ou le nom d’une ville représentent des choix très risqués, car ces informations se trouvent souvent en ligne. Les suites logiques de chiffres ou de lettres sont aussi facilement détectées par les attaquants, même quand elles se veulent complexes : un mot de passe comme Marseille@123!, qui passerait la plupart des vérifications, serait instantanément compromis, explique Specops dans son étude. Miser sur l’originalité et éviter les schémas prévisibles réduit drastiquement les chances qu’un mot de passe soit découvert à partir d’une simple recherche ciblée ou par social engineering.

4. Utiliser des phrases de passe

Une phrase de passe constitue une excellente alternative aux mots de passe classiques. En combinant plusieurs mots sans lien évident entre eux, il devient possible de créer un code long, complexe et facile à mémoriser. Par exemple, associer trois ou quatre mots courants choisis de manière inattendue renforce significativement la sécurité. L’ajout de chiffres ou de ponctuation permet de franchir un niveau supplémentaire de protection tout en facilitant la mémorisation au quotidien.

La CNIL propose d’ailleurs un outil en ce sens qui vous aide à générer un mot de passe robuste à partir d’une phrase de votre choix.

5. Ne jamais réutiliser ses mots de passe

Un mot de passe unique pour chaque compte garantit une protection bien plus efficace. Lorsqu’un mot de passe est compromis sur un site, les autres comptes restent alors intacts. La réutilisation favorise les attaques croisées, où une fuite entraîne l’accès à de multiples services. Opter pour un mot de passe différent pour chaque plateforme réduit le risque global et empêche les effets en cascade après des brèches de sécurité, de plus en plus fréquentes, sur un service en ligne.

6. Changer régulièrement ses mots de passe critiques

Les comptes les plus sensibles, comme ceux liés à vos finances ou à vos communications professionnelles, nécessitent une attention renforcée. Même en l’absence de fuite connue, un renouvellement périodique du mot de passe permet de prévenir toute compromission future. Alterner ses mots de passe tous les six à douze mois limite l’impact d’un éventuel vol d’identifiants, certaine entreprise force d’ailleurs le changement régulier auprès de leurs collaborateurs. Cette habitude réduit la durée pendant laquelle un mot de passe volé reste utilisable par un tiers malveillant.

7. Utiliser un gestionnaire de mots de passe

Mémoriser plusieurs mots de passe complexes et uniques pour chaque service peut s’avérer extrêmement difficile. Un gestionnaire de mots de passe permet de stocker toutes les informations sensibles de manière sécurisée. Grâce à ce type d’outil, il devient possible de générer des mots de passe robustes sans avoir à les retenir. Le recours à un gestionnaire réduit également les risques d’utiliser des variantes simplifiées ou des codes facilement prévisibles par un attaquant.

8. Activer l’authentification à deux facteurs

Un mot de passe, aussi solide soit-il, ne constitue qu’une première couche de protection et n’est jamais infaillible. L’authentification à deux facteurs (2FA) ajoute une vérification supplémentaire, basée sur un élément que l’utilisateur possède ou connaît, comme une validation sur smartphone ou un code spécifique. Même en cas de fuite du mot de passe, un attaquant sans le second facteur ne pourra accéder au compte protégé, ce qui rend l’intrusion beaucoup plus difficile.

9. Utiliser les passkeys pour une sécurité renforcée

Les passkeys, ou clés d’accès, offrent une alternative plus sûre aux mots de passe traditionnels. Ce système utilise une paire de clés cryptographiques pour authentifier l’utilisateur, sans jamais transmettre de secret exploitable en cas de fuite. Grâce à cette technologie, les attaques par hameçonnage ou par interception de mot de passe deviennent inefficaces. Les passkeys permettent ainsi de simplifier l’expérience de connexion et d’augmenter significativement le niveau de sécurité sur les services compatibles. De nombreux services les proposent déjà.

10. Adopter une stratégie de veille sur ses comptes

La sécurité d’un compte ne repose pas uniquement sur la qualité d’un mot de passe. Une surveillance régulière de ses activités en ligne permet de détecter rapidement toute tentative suspecte. Consulter les journaux de connexion, activer les alertes de connexion inconnue ou surveiller les accès récents renforce la vigilance et crée une excellente routine sécuritaire.