Messagerie, outils professionnels, réseaux sociaux, données clients : un mot de passe protège souvent bien plus qu’un simple compte. Pourtant, une majuscule, un chiffre et un symbole ne garantissent pas sa sécurité. La longueur, l’imprévisibilité, l’unicité et la protection de la connexion comptent ensemble.
Une fuite ailleurs peut mettre vos comptes en danger
Imaginez que vous utilisiez le même mot de passe sur un site marchand et dans votre messagerie
professionnelle. Si une fuite expose des identifiants utilisables, des cybercriminels peuvent les tester sur
d’autres services. Cette pratique, appelée credential stuffing, exploite la réutilisation des mots de passe.
Une fuite ne livre pas systématiquement tous les mots de passe en clair : le risque dépend aussi de leur
stockage et de la possibilité de les retrouver. [1]
Si les mêmes identifiants fonctionnent ailleurs et que les autres contrôles ne bloquent pas l’accès, un
incident chez un tiers peut affecter vos propres comptes. Un mot de passe unique limite cette
propagation.
Les recommandations ont évolué
Le NIST SP 800-63B-4 impose aux services conformes à ce référentiel un minimum de 15 caractères pour un mot de passe utilisé comme seul facteur. Avec MFA, il autorise un minimum de 8 caractères. Ce sont des exigences de conception du service, pas une obligation universelle pour tous les sites. La MFA ne justifie pas de choisir un secret prévisible. [1] Le NIST écarte aussi les règles arbitraires de composition et les changements périodiques sans compromission. Un mot de passe long peut néanmoins être faible s’il s’agit d’une citation connue ou d’une suite répétitive. [1] [2]
Cinq réflexes pour mieux protéger vos accès
1. Choisissez un secret long et difficile à prévoir
Lorsque vous devez le mémoriser, une phrase de passe composée de mots choisis de façon imprévisible
peut être plus pratique qu’un mot court rendu artificiellement complexe. Évitez les paroles de chansons,
les expressions célèbres, les informations personnelles et les substitutions évidentes. Le NCSC propose
notamment l’approche des mots aléatoires. [2]
La longueur seule ne garantit pas la robustesse. Pour les comptes que vous n’avez pas à mémoriser, un
gestionnaire peut générer un secret aléatoire adapté aux contraintes du service. N’utilisez jamais un
exemple de mot de passe publié dans un article ou un visuel. [2] [3]
2. Un compte = un mot de passe unique
Votre messagerie professionnelle, votre banque et vos réseaux sociaux doivent disposer de secrets
distincts. Ajouter le nom du service à une base commune ou changer uniquement le dernier chiffre crée
des variantes prévisibles. Accordez une attention particulière à votre messagerie principale : elle sert
souvent à récupérer l’accès à d’autres comptes. [3] [4]
3. Utilisez un gestionnaire correctement protégé
Un gestionnaire facilite la génération et la conservation de mots de passe différents pour chaque
compte. Certains signalent les secrets faibles, réutilisés ou exposés. Dans un contexte professionnel,
utilisez une solution approuvée par votre organisation. [3]
Si le coffre repose sur un mot de passe principal, choisissez-le long et unique. Activez la MFA lorsqu’elle
est disponible, mettez la solution à jour et préparez sa récupération. Protégez aussi l’appareil qui y
accède : un gestionnaire ne supprime pas tous les risques.
4. Renforcez la connexion avec la MFA
Un mot de passe robuste peut être volé par hameçonnage. L’authentification multifacteur ajoute une
preuve d’une autre catégorie, par exemple la maîtrise d’un authentificateur. Activez-la sur vos comptes
importants et refusez toute demande que vous n’avez pas initiée. [4] [5]
Toutes les méthodes ne résistent pas au phishing : un code SMS ou un code d’application peut être
relayé sur une fausse page. Pour les accès sensibles, privilégiez une méthode résistante au phishing
lorsque le service le permet. [5]
5. Remplacez rapidement un mot de passe compromis
Le NIST ne recommande pas d’imposer une rotation arbitraire. Il exige un changement lorsqu’il existe
une preuve de compromission. Si vous avez saisi votre mot de passe sur un site frauduleux ou reçu une
alerte fiable d’exposition, remplacez-le rapidement. Changez aussi les secrets identiques utilisés sur
d’autres comptes. [1]
Les cinq réflexes, en un regard
En cas de doute, vérifiez aussi les accès
Une connexion inhabituelle ou une alerte mérite une vérification, mais ne prouve pas automatiquement le vol du mot de passe. Ouvrez le service depuis votre application ou un favori connu, plutôt que depuis le lien du message. Si le doute est sérieux, suivez la procédure officielle de sécurisation du compte. Un changement de mot de passe ne met pas nécessairement fin à toutes les sessions ouvertes. La réponse peut inclure la révocation des sessions, le contrôle des options de récupération et la vérification des méthodes MFA. Pour un compte professionnel, signalez immédiatement la situation à votre équipe informatique. [6]
Et si le service propose une passkey ?
Une passkey peut remplacer le mot de passe par un mécanisme cryptographique lié au service légitime. Avec une vérification locale par PIN ou biométrie demandée par le service, elle peut assurer une authentification multifacteur. C’est une option résistante au phishing, à examiner selon les possibilités du service et les règles de votre organisation. [7] La sécurité dépend aussi de l’appareil, du fournisseur qui conserve ou synchronise la passkey et de la récupération du compte. Une méthode de connexion robuste doit s’accompagner d’une protection cohérente de ces éléments. [7]
Votre mini-audit : cinq questions utiles
Prenez dix minutes pour vérifier vos pratiques. Les questions sont formulées pour qu’une réponse « non
» indique une amélioration à apporter.
• Votre messagerie principale possède-t-elle un mot de passe unique ?
• Vos mots de passe professionnels sont-ils différents de vos mots de passe personnels ?
• Vos comptes importants disposent-ils de MFA ou d’une méthode équivalente adaptée ?
• Votre gestionnaire et ses moyens de récupération sont-ils correctement protégés ?
• Savez-vous qui contacter et quoi faire en cas de suspicion de compromission ?
En entreprise, la protection dépasse les habitudes individuelles
Les organisations doivent donner aux collaborateurs des moyens simples d’appliquer les bonnes
pratiques : gestionnaire approuvé, MFA adaptée, procédures de récupération et sensibilisation régulière.
Il faut aussi gérer les droits d’accès, retirer les accès inutiles et surveiller les connexions inhabituelles.
[3] [8]
Côté service, le NIST prévoit notamment de refuser les mots de passe courants ou compromis et de
limiter les tentatives de connexion. La responsabilité ne peut donc pas reposer uniquement sur la
personne qui choisit son mot de passe. [1]
Le réflexe à retenir
Choisissez un mot de passe long et imprévisible, différent pour chaque compte. Utilisez un
gestionnaire bien protégé, renforcez la connexion et remplacez rapidement tout secret compromis.
La protection des accès repose sur ces habitudes et sur les contrôles du service. Aucun mot de passe,
même excellent, ne protège à lui seul contre toutes les attaques.
Tunisian Cloud accompagne les organisations dans la sensibilisation à la cybersécurité et le
renforcement de leurs pratiques de protection. Découvrez notre expertise sur www.tunisiancloud.com.
Sources et références
[1] NIST - SP 800-63B-4 : Authentication and Authenticator Management
Consulter le référentiel.
[2] NCSC - The logic behind three random words
Consulter l’article.
[3] CISA - Use Strong Passwords
Consulter les recommandations.
[4] NCSC - Setting up 2-Step Verification (2SV)
Consulter le guide.
[5] CISA - Implementing Phishing-Resistant MFA
Consulter la fiche officielle (PDF).
[6] Microsoft Security - From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud
Consulter l’analyse.
[7] FIDO Alliance - Passkeys
Consulter la présentation.
[8] CISA - Require Strong Passwords
Consulter les recommandations pour les entreprises.