Courriels, banque, réseaux sociaux, billetterie, outils de collaboration : de plus en plus de services essentiels à votre organisme passent par internet, et chacun réclame un mot de passe unique et difficile à deviner. Le problème, c’est que « difficile à deviner » rime trop souvent avec « impossible à retenir ».
Alors on réutilise le même mot de passe partout, on le note sur un papier collé à l’écran, ou on l’inscrit dans un fichier Excel partagé. Ce sont des réflexes bien compréhensibles, et bien risqués.
La bonne nouvelle, c’est que les règles ont changé. Un bon mot de passe aujourd’hui n’est plus une suite imprononçable de symboles à changer tous les trois mois. C’est plus simple que ça, et plus solide.
Qu’est-ce qu’un bon mot de passe, au juste?
Pour qu’un mot de passe soit considéré comme sûr, les organismes de référence en cybersécurité (comme l’ANSSI, l’agence française de sécurité informatique) recommandent qu’il respecte ces conditions :
- Être unique, jamais réutilisé d’un compte à l’autre
- Ne pas contenir d’informations faciles à deviner : nom d’un proche, date de naissance, nom de l’organisme
- Ne pas figurer dans les listes de mots de passe les plus courants
- Compter au moins 20 caractères
Vous remarquerez ce qui manque dans cette liste : aucune mention de majuscules, de chiffres ou de caractères spéciaux. Ajouter un ! ou un 7 ne complexifie pas assez un mot de passe pour compenser sa courte longueur.
La règle à retenir tient en une phrase : la longueur compte plus que la variété des caractères. Un long mot de passe simple est plus sûr qu’un court mot de passe compliqué.
Comment créer un mot de passe long mais facile à retenir?
Personne ne retient 20 caractères aléatoires. Mais 20 caractères, ça peut aussi être quatre mots. C’est tout le principe de la phrase de passe.
Choisissez quatre mots sans lien entre eux, pour former une phrase absurde mais mémorable grâce à une image mentale. Par exemple :
- cheval robinet crémière salami
- surréel endorphine réacteur tutu
- attendue paprika haut-parleur startup
Le secret, c’est l’absence de lien. « lundi mardi mercredi jeudi » ou « soleil plage vacances été » restent trop prévisibles. Une astuce qui fonctionne bien : ouvrez un dictionnaire à quatre pages au hasard et prenez un mot sur chacune.
Si un site refuse les espaces, remplacez-les par des tirets : cheval-robinet-crémière-salami.
Dois-je changer mes mots de passe régulièrement?
Non. On a longtemps conseillé de changer ses mots de passe tous les quelques mois, au cas où. Les recherches en sécurité ont depuis montré l’inverse : forcer des changements fréquents pousse les gens à choisir des mots de passe plus faibles et plus faciles à retenir, souvent de simples variantes du précédent. Mieux vaut un mot de passe fort, choisi une fois, et conservé, sauf si vous avez une raison de croire qu’il a été compromis.
Deux réflexes à adopter tout de suite
N’utilisez jamais un outil en ligne pour générer ou tester vos mots de passe. N’importe qui peut mettre en ligne un « testeur de force de mot de passe » dans le seul but de récupérer ce que vous y tapez, pour ensuite s’en servir pour se connecter à vos comptes.
Actualisez vos connaissances de temps en temps. Ces recommandations évoluent parce que les moyens des pirates évoluent aussi, et suivre les avis des organismes officiels vous garde à jour.
Et pour ne pas avoir à tout retenir : le gestionnaire de mots de passe
Même avec des phrases de passe, retenir un mot de passe unique pour chacun de vos dizaines de comptes reste irréaliste. La solution, c’est un gestionnaire de mots de passe : un coffre-fort numérique qui les mémorise tous à votre place. Vous n’avez plus qu’à retenir une seule phrase de passe forte, celle qui protège le coffre.
Pour un OSBL, c’est un des gestes les plus rentables en cybersécurité. Fini le fichier Excel partagé, les mots de passe qui partent avec la personne qui quitte l’équipe, et le « c’était quoi déjà le mot de passe du compte Facebook? ». Quelques options connues : Bitwarden (libre, notre préféré), 1Password, Dashlane, ou Vaultwarden si vous voulez garder vos données chez vous, une version auto-hébergée de Bitwarden.
Le vrai enjeu, pour une équipe, n’est pas seulement de choisir l’outil. C’est de le configurer, le remplir et le faire adopter par tout le monde, sans quoi il finit contourné. C’est exactement le genre de chose que nous mettons en place avec vos équipes, dans l’accompagnement Sylvéa.
Envie d’aller plus loin?
Un bon mot de passe est une première brique. La suite se construit à votre rythme, sans jargon et sans discours anxiogène : authentification à deux facteurs, gestion claire des accès, sauvegardes fiables.
Si vous voulez faire le point sur les pratiques de votre organisme, une rencontre gratuite de trente minutes suffit pour comprendre votre contexte et repérer les quelques gestes qui changeront vraiment les choses.
Cet article est adapté de « Choisir un mot de passe sécurisé », publié par Aynils sous licence Creative Commons CC BY-SA 4.0. Recommandations basées sur les guides de l’ANSSI. Vous pouvez le partager et l’adapter librement, à condition de citer la source et de conserver la même licence.
