Alors oui, techniquement, un mot de passe c'est une suite de caractères qui authentifie un utilisateur. Mais dans la vraie vie ? C'est bien plus que ça. C'est le talon d'Achille de notre sécurité numérique, le miroir de nos contradictions, et parfois même... une forme d'art contemporain. (Oui, certains créent des mots de passe poétiques. On y reviendra.)
Pourquoi on a inventé les mots de passe (et pourquoi on les déteste déjà)
L'histoire des mots de passe remonte à bien plus loin qu'on ne l'imagine. Les Romains utilisaient déjà des "watchwords" pour identifier leurs soldats la nuit. Mais c'est en 1961, au MIT, que le premier système informatique de mots de passe moderne voit le jour. Le principe était simple : un identifiant unique pour accéder aux ressources partagées du système CTSS. Sauf que... dès 1962, un étudiant nommé Allan Scherr pirate le système en imprimant tous les mots de passe. Le premier fail de sécurité de l'histoire numérique était né.
Et depuis, rien n'a vraiment changé. On a ajouté des majuscules, des chiffres, des symboles, des longueurs minimales. On nous serine qu'il faut un mot de passe différent pour chaque service. Résultat : selon une étude NordPass, l'utilisateur moyen gère aujourd'hui... 100 mots de passe. Cent. Autant dire que la mémoire humaine n'est pas conçue pour ça. (D'ailleurs, qui se souvient encore du mot de passe de son premier compte Hotmail en 1998 ?)
Le problème, c'est que notre cerveau n'est pas câblé pour retenir des suites aléatoires de caractères. Alors on triche. On utilise "123456" (le mot de passe le plus utilisé au monde en 2023, encore et toujours), "password", ou le prénom de son chat. Et quand on nous force à complexifier, on fait ce que tout le monde fait : on remplace les "a" par des "@", les "e" par des "3", et on ajoute un "!" à la fin. Comme si les pirates étaient assez bêtes pour ne pas avoir anticipé ce genre de combines.
L'illusion de la sécurité par la complexité
Pendant des années, on nous a vendu la même rengaine : "Un bon mot de passe doit contenir au moins 8 caractères, une majuscule, un chiffre et un symbole." Sauf que cette règle, inventée en 2003 par un employé de la NSA, Bill Burr, a depuis été largement remise en question. Burr lui-même a reconnu en 2017 que ses recommandations étaient "probablement trop compliquées" et pas forcément plus sûres.
Pourquoi ? Parce qu'un mot de passe comme "P@ssw0rd!" respecte toutes les règles... et peut être cracké en quelques secondes par un ordinateur moderne. En réalité, la longueur prime sur la complexité. Un mot de passe de 12 caractères aléatoires ("correcthorsebatterystaple", pour reprendre l'exemple célèbre de xkcd) est bien plus robuste qu'un mot de passe de 8 caractères ultra-complexe. Et pourtant, combien d'entre nous appliquent vraiment ce principe ?
Le vrai paradoxe, c'est que plus on nous demande de créer des mots de passe complexes, plus on les simplifie mentalement. On écrit "Tr0ub4dour!" sur un post-it collé à l'écran. On utilise le même mot de passe pour son compte bancaire et son forum de collectionneurs de timbres. On le change tous les 90 jours... en ajoutant simplement un chiffre à la fin. (Oui, "Motdepasse1" devient "Motdepasse2". Bravo.)
Comment les pirates cassent vos mots de passe (et pourquoi vous sous-estimez le danger)
Imaginez un cambrioleur devant une porte blindée. Il a deux options : essayer toutes les combinaisons possibles (la méthode "brute force"), ou chercher la clé sous le paillasson (la méthode "social engineering"). Pour vos mots de passe, c'est exactement la même chose. Sauf que les pirates ont des outils bien plus efficaces qu'un pied-de-biche.
L'attaque par force brute : quand les ordinateurs font le sale boulot
Un mot de passe de 8 caractères avec majuscules, minuscules, chiffres et symboles ? Il existe 7,2 quadrillions de combinaisons possibles. Ça semble énorme, non ? Sauf qu'un ordinateur moderne équipé d'une carte graphique puissante peut tester... 100 milliards de combinaisons par seconde. Votre mot de passe "sécurisé" tiendra donc, au maximum, 20 heures. Et c'est dans le meilleur des cas.
Les pirates utilisent aujourd'hui des "rainbow tables", des bases de données pré-calculées qui contiennent des millions de mots de passe hachés. Ils comparent simplement le hash de votre mot de passe (cette suite de caractères illisible stockée dans les bases de données) avec leur table. Si votre mot de passe est "qwerty123", il sera cracké en moins d'une seconde. Même chose pour "iloveyou" ou "football".
Et ne croyez pas que les sites web vous protègent. En 2012, LinkedIn a subi une fuite de 6,5 millions de mots de passe. En 2016, c'est Yahoo qui a perdu 3 milliards de comptes. En 2019, Facebook a exposé 540 millions de mots de passe en clair. Chaque fois, les mêmes mots de passe reviennent : "123456", "password", "admin". Comme si on n'apprenait jamais.
Le phishing : quand le maillon faible, c'est vous
Mais le vrai danger ne vient pas des ordinateurs. Il vient de nous. Parce que le maillon le plus faible de la chaîne de sécurité, c'est toujours l'humain. Et les pirates le savent.
Prenez le phishing. Vous recevez un email qui semble venir de votre banque : "Votre compte a été bloqué, veuillez vous connecter pour le débloquer." Le lien vous redirige vers une page qui ressemble trait pour trait à celle de votre banque. Sauf que c'est un faux. Vous entrez votre identifiant et votre mot de passe... et hop, les pirates ont tout. Selon le rapport DBIR 2023, 82% des violations de données impliquent une erreur humaine. Et dans 90% des cas, c'est un email de phishing qui est à l'origine.
Le pire ? Ces attaques deviennent de plus en plus sophistiquées. Finis les emails bourrés de fautes d'orthographe. Aujourd'hui, les pirates utilisent l'IA pour générer des messages ultra-personnalisés. Ils connaissent votre nom, votre entreprise, parfois même vos projets en cours. Et ils savent exactement quel ton employer pour vous faire baisser la garde.
Alors oui, votre mot de passe "Dragon2024!" est peut-être techniquement solide. Mais si vous le donnez à un pirate parce qu'il vous a envoyé un email en se faisant passer pour votre patron, ça ne sert strictement à rien.
Les alternatives aux mots de passe : entre progrès et nouveaux pièges
Face à l'échec patent des mots de passe traditionnels, les géants de la tech cherchent des solutions. Certaines sont prometteuses. D'autres... moins. Tour d'horizon des alternatives qui pourraient (ou pas) remplacer nos bons vieux mots de passe.
La biométrie : quand votre corps devient votre mot de passe
Empreintes digitales, reconnaissance faciale, scan de l'iris... La biométrie a le vent en poupe. Apple a popularisé Touch ID en 2013, puis Face ID en 2017. Aujourd'hui, la plupart des smartphones proposent ces options. Et pour cause : c'est pratique, rapide, et en théorie, impossible à voler.
Sauf que... la biométrie n'est pas infaillible. En 2019, des chercheurs ont réussi à tromper Face ID avec une paire de lunettes et du ruban adhésif. En 2020, c'est l'empreinte digitale du ministre allemand de la Défense qui a été reproduite à partir d'une photo. Et puis, il y a la question de la vie privée : vos données biométriques sont stockées quelque part. Que se passe-t-il si elles sont piratées ? Contrairement à un mot de passe, vous ne pouvez pas changer votre visage ou vos empreintes.
Reste que pour un usage quotidien, la biométrie offre un bon compromis entre sécurité et simplicité. À condition de ne pas s'en contenter pour les accès sensibles (comptes bancaires, données professionnelles).
Les clés de sécurité physiques : le retour du bon vieux trousseau
Imaginez une clé USB qui sert de mot de passe. C'est le principe des clés de sécurité physiques, comme les YubiKey ou les Titan Security Key de Google. Vous branchez la clé sur votre ordinateur ou votre smartphone, vous appuyez sur un bouton, et hop, vous êtes authentifié. Pas besoin de retenir quoi que ce soit.
Ces clés utilisent des protocoles comme FIDO2 ou WebAuthn, qui garantissent que vos identifiants ne quittent jamais la clé. Même si un site est piraté, vos données restent en sécurité. Google a adopté cette technologie en 2017 pour ses employés, et depuis, aucun compte n'a été piraté. Pas un seul.
Le problème ? C'est encore peu répandu. Peu de sites supportent les clés de sécurité. Et si vous perdez votre clé, vous êtes bloqué. (Heureusement, la plupart des services proposent des méthodes de récupération.) Autre inconvénient : le prix. Une YubiKey coûte entre 20 et 70 euros. Pas donné quand on sait qu'on en a souvent besoin de deux (une pour le quotidien, une en backup).
Mais pour ceux qui veulent le top en matière de sécurité, c'est clairement la meilleure option aujourd'hui.
Les gestionnaires de mots de passe : la solution (presque) parfaite
Si vous ne deviez retenir qu'une seule chose de cet article, ce serait celle-ci : utilisez un gestionnaire de mots de passe. Bitwarden, 1Password, KeePass, Dashlane... Peu importe lequel, du moment que vous en utilisez un.
Pourquoi ? Parce qu'un gestionnaire de mots de passe fait tout ce que vous ne voulez (ou ne pouvez) pas faire :
- Il génère des mots de passe longs et aléatoires pour chaque site
- Il les stocke de manière chiffrée
- Il les remplit automatiquement quand vous en avez besoin
- Il synchronise vos mots de passe entre tous vos appareils
- Il vous alerte en cas de fuite de données
Et le meilleur ? Vous n'avez plus qu'un seul mot de passe à retenir : celui du gestionnaire lui-même. (D'où l'importance de choisir un mot de passe principal ultra-solide, mais facile à retenir.)
Certains diront : "Mais si le gestionnaire est piraté, je perds tout !" Sauf que les gestionnaires modernes utilisent un chiffrement de bout en bout. Même si leurs serveurs sont compromis, vos données restent illisibles sans votre mot de passe principal. Et puis, soyons honnêtes : le risque qu'un gestionnaire comme Bitwarden soit piraté est bien moindre que celui que vous utilisiez "123456" pour tous vos comptes.
Le seul vrai inconvénient ? La dépendance. Si vous perdez votre mot de passe principal et que vous n'avez pas de backup, vous êtes bon pour tout réinitialiser. Mais c'est le prix à payer pour une sécurité optimale.
L'authentification sans mot de passe : le futur (ou pas) ?
Microsoft, Google et Apple poussent tous vers un monde sans mot de passe. Leur solution ? Des systèmes comme "Passkeys", qui remplacent les mots de passe par des clés cryptographiques stockées sur vos appareils. Quand vous voulez vous connecter, votre smartphone ou votre ordinateur envoie une preuve que vous possédez la clé, sans jamais la transmettre.
L'avantage ? Plus de mots de passe à retenir. Plus de risques de phishing (puisqu'il n'y a rien à voler). Et une sécurité renforcée, puisque chaque site a sa propre clé unique.
Le problème ? C'est encore très récent. Peu de sites supportent les Passkeys. Et si vous perdez votre smartphone, vous perdez l'accès à tous vos comptes. (Heureusement, les solutions de backup existent, mais elles ajoutent de la complexité.)
Autre souci : la standardisation. Chaque géant de la tech a sa propre implémentation. Résultat, on se retrouve avec un écosystème fragmenté, où certains services ne marchent qu'avec Apple, d'autres avec Google, etc. Bref, on est encore loin d'une solution universelle.
Pourtant, le mouvement est lancé. En 2023, plus de 200 entreprises ont adopté les Passkeys. Et avec le soutien des géants du secteur, cette technologie pourrait bien devenir la norme dans les années à venir. À suivre, donc.
Les erreurs que tout le monde fait (et comment les éviter)
On a tous nos mauvaises habitudes en matière de mots de passe. Certaines sont anodines. D'autres peuvent vous coûter cher. Voici les erreurs les plus courantes - et comment les corriger.
Utiliser le même mot de passe partout
C'est la pire erreur de toutes. Et pourtant, 65% des utilisateurs le font, selon une étude Google. Le raisonnement est simple : "Si je me fais pirater, je change mon mot de passe partout." Sauf que dans la vraie vie, ça ne se passe jamais comme ça.
Prenez l'exemple de la fuite de données chez LinkedIn en 2012. Des millions de mots de passe ont été volés. Des années plus tard, en 2016, des pirates ont utilisé ces mêmes mots de passe pour accéder à des comptes Gmail, Facebook, et même des comptes bancaires. Pourquoi ? Parce que les utilisateurs utilisaient le même mot de passe partout.
La solution ? Un mot de passe unique pour chaque service. Oui, c'est contraignant. Oui, c'est chiant. Mais c'est le seul moyen de limiter les dégâts en cas de fuite. Et si vous utilisez un gestionnaire de mots de passe, c'est presque transparent.
Choisir des mots de passe "faciles à retenir" (donc faciles à deviner)
"123456", "password", "qwerty"... Ces mots de passe sont toujours en tête des classements des pires mots de passe. Pourtant, des millions de personnes les utilisent encore. Pourquoi ? Parce qu'ils sont faciles à retenir.
Sauf que "facile à retenir" rime souvent avec "facile à deviner". Les pirates utilisent des dictionnaires de mots de passe courants, qu'ils testent en priorité. Et devinez quoi ? "123456" est toujours le premier mot de passe testé.
Alors comment choisir un mot de passe à la fois solide et mémorable ? Voici une méthode qui marche :
1. Prenez une phrase que vous n'oublierez pas ("J'ai acheté ma première voiture en 2010 : une Peugeot 206 bleue !")
2. Prenez les premières lettres de chaque mot ("J'ampv2010:uP206b!")
3. Ajoutez un symbole ou un chiffre pour complexifier ("J'ampv2010:uP206b!#")
Résultat : un mot de passe de 18 caractères, avec majuscules, minuscules, chiffres et symboles. Et surtout, un mot de passe que vous n'oublierez pas.
Ne jamais changer ses mots de passe (ou les changer trop souvent)
Pendant des années, on nous a répété qu'il fallait changer ses mots de passe tous les 3 mois. Sauf que cette recommandation est aujourd'hui considérée comme obsolète par la plupart des experts en sécurité. Pourquoi ? Parce que forcer les utilisateurs à changer leurs mots de passe régulièrement les pousse à choisir des mots de passe plus simples, ou à simplement incrémenter un chiffre à la fin.
Le NIST (National Institute of Standards and Technology) recommande aujourd'hui de ne changer ses mots de passe que s'il y a une raison de le faire (fuite de données, suspicion de compromission). Pour le reste, un mot de passe solide peut rester inchangé pendant des années.
Sauf que... il y a des exceptions. Si vous utilisez un mot de passe faible, ou si vous l'avez partagé avec quelqu'un, il faut le changer immédiatement. Et si vous avez été victime d'une fuite de données (vous pouvez vérifier sur Have I Been Pwned), il faut agir vite.
Stocker ses mots de passe dans son navigateur
Chrome, Firefox, Safari... Tous les navigateurs modernes proposent de stocker vos mots de passe. C'est pratique, c'est gratuit, et c'est intégré. Alors pourquoi s'en priver ?
Parce que c'est une fausse bonne idée. Les navigateurs ne chiffrent pas vos mots de passe de manière aussi robuste qu'un gestionnaire dédié. Et surtout, ils sont vulnérables aux malwares. Un logiciel malveillant qui infecte votre ordinateur peut facilement récupérer tous vos mots de passe stockés dans le navigateur.
Autre problème : la synchronisation. Si vous utilisez plusieurs appareils, vos mots de passe ne seront pas toujours synchronisés de manière sécurisée. Et si vous perdez l'accès à votre compte Google ou Apple, vous perdez aussi l'accès à tous vos mots de passe.
Bref, utilisez un gestionnaire de mots de passe dédié. C'est plus sûr, plus flexible, et ça vous évitera bien des ennuis.
Questions fréquentes (celles que tout le monde se pose, mais que personne n'ose demander)
Est-ce que mon mot de passe est assez long ?
La longueur compte plus que la complexité. Un mot de passe de 12 caractères aléatoires est bien plus sûr qu'un mot de passe de 8 caractères avec majuscules, chiffres et symboles. Pourquoi ? Parce que la longueur augmente exponentiellement le nombre de combinaisons possibles.
Prenons un exemple :
- Un mot de passe de 8 caractères avec majuscules, minuscules, chiffres et symboles : 7,2 quadrillions de combinaisons
- Un mot de passe de 12 caractères avec seulement des minuscules : 3,2 sextillions de combinaisons
Résultat : le mot de passe de 12 caractères est 444 fois plus sûr, alors qu'il est plus simple à retenir. Moralité : privilégiez la longueur.
Faut-il vraiment utiliser un mot de passe différent pour chaque site ?
Oui. Absolument. Sans exception. Parce que si un site est piraté et que vous utilisez le même mot de passe partout, tous vos comptes sont en danger. C'est comme utiliser la même clé pour votre maison, votre voiture et votre coffre-fort. Si quelqu'un vole votre clé, il a accès à tout.
Je sais, c'est contraignant. Mais avec un gestionnaire de mots de passe, c'est presque transparent. Et c'est le seul moyen de limiter les dégâts en cas de fuite de données.
Est-ce que les phrases de passe sont vraiment plus sûres ?
Oui, et c'est même la méthode recommandée par le NIST. Une phrase de passe comme "CorrectHorseBatteryStaple" est bien plus sûre qu'un mot de passe comme "Tr0ub4dour!". Pourquoi ? Parce qu'elle est plus longue, donc plus résistante aux attaques par force brute. Et parce qu'elle est plus facile à retenir.
Le seul piège ? Choisir une phrase trop courante. Évitez les citations célèbres, les paroles de chansons, ou les expressions toutes faites. Préférez une phrase personnelle, avec des détails qui n'appartiennent qu'à vous.
Que faire si mon mot de passe a fuité ?
D'abord, vérifiez si votre mot de passe a vraiment fuité. Des sites comme Have I Been Pwned vous permettent de vérifier si votre email ou votre mot de passe apparaissent dans des bases de données piratées.
Si c'est le cas :
1. Changez immédiatement le mot de passe du site concerné
2. Changez aussi les mots de passe de tous les autres sites où vous utilisez le même mot de passe
3. Activez la double authentification si ce n'est pas déjà fait
4. Surveillez vos comptes pour détecter toute activité suspecte
Et surtout, utilisez un gestionnaire de mots de passe pour éviter que ça ne se reproduise.
Verdict : le mot de passe est mort, vive le mot de passe
Alors, où en sommes-nous ? Le mot de passe traditionnel est clairement à bout de souffle. Trop compliqué à gérer, trop facile à pirater, trop dépendant de la vigilance humaine. Et pourtant... il reste la méthode d'authentification la plus répandue au monde. Pourquoi ? Parce que c'est simple, universel, et que personne n'a encore trouvé mieux.
Les alternatives existent : biométrie, clés de sécurité, Passkeys... Mais aucune n'est parfaite. La biométrie pose des questions de vie privée. Les clés de sécurité sont chères et peu pratiques. Les Passkeys sont prometteurs, mais encore trop récents.
Alors en attendant que le monde sans mot de passe devienne une réalité, voici ce que je vous propose :
1. Utilisez un gestionnaire de mots de passe. C'est la solution la plus simple et la plus sûre aujourd'hui.
2. Activez la double authentification partout où c'est possible. Un mot de passe seul ne suffit plus.
3. Choisissez des mots de passe longs et mémorables. Oubliez les "P@ssw0rd!" et préférez les phrases de passe.
4. Méfiez-vous des emails et des liens suspects. Le phishing reste la première cause de piratage.
5. Surveillez les fuites de données. Des sites comme Have I Been Pwned vous alertent en cas de problème.
Et surtout, arrêtez de croire que ça n'arrivera qu'aux autres. Parce que dans le monde numérique, tout le monde est une cible. Même vous. Même moi. (D'ailleurs, pendant que j'écris ces lignes, mon gestionnaire de mots de passe me signale que deux de mes anciens comptes ont fuité. Merci, LinkedIn 2012.)
Le mot de passe n'est peut-être pas parfait. Mais avec un peu de bon sens et les bons outils, il peut encore nous protéger. À condition d'arrêter de le traiter comme une corvée, et de commencer à le voir comme ce qu'il est vraiment : la première ligne de défense de notre vie numérique.
Alors la prochaine fois que vous créerez un mot de passe, prenez deux minutes pour bien le choisir. Parce que dans un monde où tout est connecté, un mauvais mot de passe peut tout faire basculer. Et croyez-moi, vous ne voulez pas découvrir à vos dépens ce que ça fait de se faire pirater.