Mots de passe et clés d'accès

Depuis juillet 2025, la norme américaine NIST SP 800-63B-4 indique qu'un mot de passe utilisé seul doit compter au moins 15 caractères et que les services ne doivent pas t'obliger à le changer à intervalles fixes.

« Summer2024! » coche toutes les cases. Alors pourquoi est-il faible ?

Beaucoup de gens pensent encore qu'un mot de passe solide doit contenir une majuscule, un chiffre et un symbole, et qu'en le changeant tous les 90 jours on reste protégé. Les formulaires d'inscription ont enseigné exactement cela pendant des années. Regarde ce que ces règles ont produit. « Summer2024! » les respecte toutes. Quatre-vingt-dix jours plus tard, il devient « Autumn2024! », et quiconque a vu le premier peut deviner le second. Les règles ont rendu les mots de passe plus difficiles à retenir sans les rendre beaucoup plus difficiles à deviner.

Ce que demande à la place la norme américaine de 2025

La recommandation américaine actuelle, la publication spéciale NIST 800-63B-4, finalisée en juillet 2025, renverse ces habitudes. Un mot de passe utilisé seul doit compter au moins 15 caractères. S'il n'est qu'un élément d'une connexion multifacteur, le minimum est de 8. Les services doivent accepter au moins 64 caractères, les espaces et tous les caractères imprimables, et ils ne doivent pas imposer d'autres règles de composition comme « un symbole ». Ils ne doivent pas non plus imposer de changements périodiques. Un changement n'est exigé que s'il existe une preuve que le mot de passe a fuité. Le NIST demande aussi aux services de comparer chaque nouveau mot de passe à une liste noire de mots de passe courants, prévisibles ou déjà divulgués, car un mot de passe apparu dans une fuite n'est plus secret, quelle que soit sa longueur.

Compter ce qu'un attaquant doit essayer

Pourquoi la longueur l'emporte-t-elle ? Chaque caractère supplémentaire multiplie le nombre de mots de passe possibles. Huit lettres minuscules donnent 26 puissance 8, soit environ 209 milliards de combinaisons. Un ordinateur qui teste un fichier de mots de passe volé en vient vite à bout. Quatre mots tirés au hasard dans une liste de 7776 donnent environ 3.66 × 10¹⁵. Le tableau montre à quelle vitesse les nombres grandissent, et l'exercice de code plus bas te permet d'en calculer deux toi-même.

Pourquoi une fuite se propage à d'autres comptes

La CISA, l'agence américaine de cybersécurité, résume un mot de passe solide en trois mots : long (au moins 16 caractères), aléatoire et unique pour chaque compte. Aléatoire peut désigner une suite de caractères variés ou une phrase de passe de quatre à sept mots sans lien entre eux. Unique compte plus que tout. Quand un site subit une fuite, les criminels essaient le même e-mail et le même mot de passe sur d'autres sites ; un mot de passe réutilisé transforme donc une fuite en plusieurs. Personne ne peut retenir des dizaines de longs mots de passe aléatoires. C'est pourquoi la CISA comme le NIST recommandent les gestionnaires de mots de passe, des programmes qui créent, stockent et remplissent les mots de passe pour que tu n'en retiennes qu'un seul. Le NIST précise que les services doivent autoriser les gestionnaires de mots de passe et le remplissage automatique, et devraient autoriser le collage.

Une clé d'accès ne laisse rien à taper et rien à voler

Une clé d'accès remplace le secret partagé par la cryptographie à clé publique. MDN la décrit comme une paire de clés liée à ton compte sur un site web. La clé privée reste dans un authentificateur intégré ou relié à ton appareil, et tu la déverrouilles avec le code PIN, l'empreinte digitale ou le visage. La clé publique se trouve sur le serveur du site. Pour te connecter, le site envoie un défi et ton appareil le signe. Rien de secret n'est tapé. Rien de secret n'est stocké sur le serveur non plus : une fuite du serveur ne divulgue donc rien de réutilisable. Chaque clé d'accès est aussi liée au domaine du site, si bien qu'une page d'hameçonnage qui imite le site ne peut pas l'utiliser. Le NIST classe ce type de connexion cryptographique comme résistant à l'hameçonnage, contrairement aux mots de passe, et il autorise les clés d'accès synchronisées entre tes appareils.

Par où commencer ? Donne d'abord une longue phrase de passe à ton compte e-mail, car il permet de réinitialiser les autres. Si tu utilises un gestionnaire de mots de passe, cette phrase de passe devient le seul mot de passe à retenir. Change ensuite chaque mot de passe que tu sais avoir réutilisé, en commençant par la banque et les achats en ligne. Quand un site te propose de créer une clé d'accès, accepter est en général l'amélioration la plus rapide. Tu peux garder le mot de passe en secours.