La sécurité des mots de passe repose sur un ensemble de pratiques dont l’efficacité varie considérablement selon leur mise en oeuvre. Entre les recommandations officielles de la CNIL, les habitudes réelles des utilisateurs et les mécanismes côté serveur souvent ignorés, l’écart est mesurable. Cet article compare les mesures de protection des mots de passe selon leur impact réel sur la résistance aux attaques.
Stockage et filtrage côté serveur : l’angle mort de la sécurité des mots de passe
La plupart des guides grand public se concentrent sur la création de mots de passe forts. Peu abordent ce qui se passe après la saisie, côté système. La CNIL recommande pourtant que les mots de passe soient stockés uniquement sous forme hachée avec un sel, jamais en clair, y compris chez les sous-traitants.
A voir aussi : Comment transformer un audit SEO en plan d'action concret
Le hachage transforme le mot de passe en une empreinte irréversible. Le sel ajoute une chaîne aléatoire propre à chaque utilisateur, ce qui empêche deux comptes ayant le même mot de passe de produire la même empreinte. Sans ce mécanisme, une fuite de base de données expose directement les identifiants.
La CNIL recommande aussi de bloquer les tentatives d’authentification par des mécanismes comme une temporisation progressive, un plafond d’essais ou un CAPTCHA. Ces protections côté serveur réduisent drastiquement l’efficacité des attaques par force brute, même lorsque le mot de passe choisi par l’utilisateur n’est pas optimal.
Lire également : Le processus simple pour comprendre comment ne plus être en compte pro sur Insta
Un autre volet préventif gagne du terrain : filtrer les mots de passe compromis dès la création du compte. Le principe consiste à vérifier si le secret proposé figure dans des listes connues de mots de passe exposés lors de fuites antérieures. Ce contrôle bloque les combinaisons déjà présentes dans les dictionnaires d’attaque avant même qu’elles ne soient enregistrées.
Longueur contre complexité : comparatif des critères de robustesse d’un mot de passe
La complexité (majuscules, chiffres, caractères spéciaux) a longtemps été le critère principal mis en avant. Les recommandations récentes inversent la hiérarchie en faveur de la longueur.
| Critère | Approche classique | Recommandation actuelle (CNIL) |
|---|---|---|
| Longueur minimale | 8 caractères | 12 caractères minimum |
| Types de caractères | Majuscules + minuscules + chiffres + spéciaux obligatoires | Accepter tous types, sans obligation de chaque catégorie si la longueur compense |
| Longueur maximale | Souvent bridée (20-30 caractères) | Ne pas brider, accepter les phrases de passe longues |
| Renouvellement | Tous les 90 jours | Uniquement en cas de compromission ou de suspicion |
| Phrases de passe | Rarement mentionnées | Recommandées, avec espaces et caractères spéciaux |
La phrase de passe longue (quatre mots ou plus sans lien logique) offre une résistance supérieure à un mot de passe court mais truffé de symboles. Elle est aussi plus facile à mémoriser, ce qui réduit le recours au post-it ou au fichier texte non protégé.
Renouvellement périodique : une pratique abandonnée par la CNIL
La CNIL ne recommande plus le renouvellement périodique systématique pour les utilisateurs classiques. Cette pratique, autrefois standard, pousse souvent à choisir des mots de passe plus faibles ou à incrémenter un compteur en fin de chaîne (Motdepasse1, Motdepasse2). Le changement reste préconisé en cas de compromission avérée ou suspectée, mais pas selon un calendrier fixe.
En revanche, pour les comptes à privilèges élevés (administrateurs système, accès à des données personnelles sensibles), un renouvellement plus fréquent peut rester justifié selon le niveau de risque.
Gestionnaire de mots de passe et authentification multifacteur : deux couches complémentaires
Un gestionnaire de mots de passe génère et stocke des identifiants uniques pour chaque service. Il élimine le problème principal : la réutilisation d’un même mot de passe sur plusieurs comptes. Quand un service est compromis, seul ce compte est exposé.
- Le gestionnaire crée des mots de passe aléatoires longs, impossibles à deviner par dictionnaire ou par force brute dans un délai raisonnable.
- Il chiffre la base locale avec un mot de passe maître unique. La robustesse de l’ensemble repose donc sur la qualité de ce seul secret.
- Certains gestionnaires vérifient automatiquement si un mot de passe stocké figure dans des bases de données de fuites connues, ce qui permet un assainissement régulier.
L’authentification multifacteur (MFA) ajoute une barrière indépendante du mot de passe. Même si l’identifiant est volé, l’accès au compte nécessite un second facteur : application d’authentification, clé physique ou code temporaire.
La combinaison des deux mesures couvre des scénarios distincts. Le gestionnaire protège contre la réutilisation et la faiblesse du mot de passe. La MFA protège contre le vol d’identifiant par phishing ou fuite de base de données. Aucune des deux ne remplace l’autre.
Erreurs fréquentes et vecteurs de compromission des comptes en ligne
Les classements annuels de NordPass montrent une constante : les combinaisons simples restent massivement employées. Suites numériques, mots du clavier, prénoms et termes affectifs apparaissent systématiquement dans les fuites de données.
Au-delà du choix du mot de passe lui-même, plusieurs comportements augmentent le risque de compromission :
- Réutiliser un mot de passe sur plusieurs services transforme une seule fuite en accès à l’ensemble des comptes partageant cet identifiant.
- Communiquer un mot de passe par messagerie ou par téléphone l’expose à une interception, même si le destinataire est de confiance.
- Stocker ses mots de passe dans un fichier texte, un tableur ou un navigateur sans mot de passe maître offre un accès direct à quiconque accède à la machine.
- Ignorer les notifications de connexion suspecte retarde la réaction en cas de compromission, laissant le temps à l’attaquant d’exploiter l’accès.
Le phishing reste le vecteur principal de vol d’identifiants. Un gestionnaire de mots de passe offre ici un avantage souvent sous-estimé : il ne remplit pas automatiquement les champs sur un domaine frauduleux, ce qui alerte l’utilisateur sur la nature suspecte de la page.
La sécurité des mots de passe en 2024 repose moins sur la mémorisation de règles de complexité que sur trois piliers mesurables : des protections côté serveur conformes aux recommandations de la CNIL, un gestionnaire de mots de passe pour éliminer la réutilisation, et une authentification multifacteur activée sur chaque service qui la propose. Le maillon le plus faible de la chaîne n’est généralement pas le mot de passe lui-même, mais l’absence de l’une de ces couches.
