On gère tous une dizaine de comptes en ligne au minimum, souvent bien plus. Et quand un service impose un mot de passe avec majuscule, chiffre et caractère spécial, on finit par coller un point d’exclamation à la fin d’un mot familier. Ce réflexe, longtemps encouragé par les politiques de sécurité, ne protège plus grand-chose. Les mots de passe complexes restent pourtant au coeur de la cybersécurité, à condition de comprendre ce que « complexe » signifie vraiment en 2025.
Ce que le NIST a changé sur les règles de complexité des mots de passe
La plupart des articles sur la sécurité des mots de passe répètent la même recette : au moins huit caractères, une majuscule, une minuscule, un chiffre, un symbole. Cette approche a été officiellement abandonnée par le NIST (l’organisme fédéral américain de référence en cybersécurité) dans la mise à jour de sa publication SP 800-63B-4 en 2024.
Le constat est pragmatique. Obliger les utilisateurs à insérer des caractères spéciaux produit des mots de passe prévisibles : un mot courant, une majuscule initiale, un chiffre final, un point d’exclamation. Les attaques par dictionnaire intègrent ces schémas depuis longtemps.
Le NIST privilégie désormais la longueur et le filtrage des mots de passe compromis. Les nouvelles lignes directrices recommandent au moins 15 caractères quand le mot de passe est le seul facteur d’authentification, et un minimum de 8 caractères avec une authentification multifacteur activée. Autre changement notable : la rotation périodique imposée (tous les 60 ou 90 jours) disparait, sauf en cas d’indice de compromission avéré.
Concrètement, un mot de passe long composé de plusieurs mots ordinaires enchaînés résiste mieux aux attaques par force brute qu’un mot de passe court truffé de symboles. La longueur augmente l’entropie de façon bien plus fiable que la diversité de caractères sur huit positions.
Mots de passe divulgués : pourquoi la vérification contre les fuites de données change tout
On peut créer un mot de passe de 20 caractères parfaitement aléatoire. S’il a déjà fuité dans une base de données piratée, il ne vaut rien. C’est le deuxième pilier des recommandations actuelles : chaque nouveau mot de passe doit être vérifié contre des listes de mots de passe compromis avant d’être accepté par un service.
Les fuites de données récentes ont exposé des milliards d’identifiants. Les attaquants ne se limitent pas à la force brute pure. Ils utilisent des dictionnaires enrichis par ces fuites, ce qui rend vulnérable tout mot de passe déjà apparu dans une base volée, quelle que soit sa complexité apparente.
Ce que cela implique côté utilisateur
- Avant de valider un mot de passe, vérifier s’il apparait dans une base de fuites publiques (des outils comme Have I Been Pwned permettent cette vérification gratuitement)
- Ne jamais réutiliser un mot de passe entre deux comptes en ligne, même en changeant un seul caractère
- Privilégier un gestionnaire de mots de passe qui génère et stocke des identifiants uniques pour chaque service
Un gestionnaire de mots de passe fiable élimine le problème de mémorisation. On retient un seul mot de passe maitre long et unique, le gestionnaire s’occupe du reste. C’est la solution la plus directe pour appliquer les recommandations du NIST sans y passer ses soirées.
Passkeys et authentification multifacteur : où se situe le mot de passe complexe
Les passkeys (clés d’accès cryptographiques liées à un appareil) sont présentées comme le remplacement naturel des mots de passe. Sur le terrain, la réalité est plus nuancée. Selon les données compilées par Security Boulevard en 2026, les taux d’adoption réels des passkeys restent bas dans la plupart des organisations. Une majorité d’utilisateurs connait le concept, mais la moitié seulement les utilise régulièrement.
Plusieurs freins expliquent ce décalage :
- La compatibilité entre appareils et navigateurs reste inégale, ce qui complique l’usage au quotidien
- La récupération de compte en cas de perte d’appareil pose des problèmes concrets que beaucoup d’entreprises n’ont pas encore résolus
- Les services en ligne n’offrent pas tous le support des passkeys, ce qui oblige à maintenir un mot de passe en parallèle
L’authentification multifacteur (combinaison d’un mot de passe et d’un second facteur comme un code SMS ou une application dédiée) reste le compromis le plus réaliste pour la majorité des comptes. Un mot de passe long associé à un second facteur offre un niveau de sécurité bien supérieur à un mot de passe complexe utilisé seul.
Attaques par phishing et limites du mot de passe, même robuste
Un mot de passe parfait ne protège pas contre le phishing. Si on le saisit sur une fausse page de connexion, l’attaquant le récupère en clair. Les campagnes de phishing sophistiquées imitent des interfaces bancaires, des plateformes de messagerie ou des services administratifs avec un réalisme qui piège même des profils techniques.
La complexité du mot de passe ne compense jamais l’absence de vigilance sur les liens cliqués. C’est une limite structurelle de l’authentification par mot de passe, quelle que soit sa robustesse. Les passkeys, elles, résistent nativement au phishing puisque la clé cryptographique est liée au domaine légitime du service.
En attendant que les passkeys se généralisent, la combinaison la plus solide reste un mot de passe long et unique (généré par un gestionnaire), une authentification multifacteur activée sur chaque compte qui le propose, et une attention soutenue aux tentatives de phishing.
Gestion des mots de passe en pratique : ce qui compte vraiment
On résume souvent la sécurité des mots de passe à une question de caractères spéciaux. Les données récentes montrent que la longueur, l’unicité et le filtrage contre les fuites sont les trois critères qui comptent. Les règles de composition classiques (majuscule, chiffre, symbole) n’apportent qu’un gain marginal si le mot de passe fait moins de 12 caractères ou s’il a déjà été exposé.
Les gestionnaires de mots de passe sécurisés rendent cette discipline accessible sans effort cognitif. Ils génèrent des chaines aléatoires longues, les stockent de manière chiffrée, et remplissent automatiquement les formulaires de connexion.
Les mots de passe complexes n’ont pas perdu leur pertinence. Mais leur définition a changé. Un bon mot de passe en 2025, c’est avant tout un mot de passe long, jamais réutilisé, absent des bases de données compromises, et couplé à un second facteur d’authentification quand c’est possible.
