Un mot de passe de huit caractères peut céder avant la fin de cette phrase. Une suite aléatoire beaucoup plus longue peut survivre au Soleil. Entre les deux, il n’existe pourtant aucun chronomètre universel : tout dépend de sa construction, de sa réutilisation et surtout de la manière dont le site le protège.
Les tableaux viraux promettant de révéler en une case colorée le temps nécessaire pour « hacker » votre mot de passe racontent une demi-vérité. Ils supposent généralement qu’un pirate teste toutes les combinaisons à une vitesse précise. Dans la vraie vie, il commence rarement par jouer au loto avec l’alphabet entier. Il essaie d’abord les mots déjà volés, les prénoms, les dates, les suites de clavier et les petites transformations humaines aussi originales qu’un « ! » collé à la fin.
Notre calculateur tient donc compte de la longueur et des caractères, mais aussi de la méthode de création, d’une éventuelle fuite, de la réutilisation et de l’authentification multifacteur. Il ne vous demandera jamais votre véritable mot de passe. Décrivez seulement un secret construit de la même manière.
Combien de temps faudrait-il pour pirater votre mot de passe ?
Décrivez sa structure sans jamais le saisir. Le calculateur compare force brute, base de données volée et réutilisation d’identifiants.
Aucun mot de passe demandé ni conservéUn mot de passe ne se « décrypte » pas toujours : il se devine
Lorsqu’un service fait correctement son travail, il ne conserve pas votre mot de passe en clair. Il stocke une empreinte calculée par une fonction de hachage, accompagnée d’un sel unique. Au moment de la connexion, le site hache ce que vous tapez et compare le résultat avec l’empreinte enregistrée.
Si un pirate vole cette base, il ne peut normalement pas inverser directement l’opération. Il doit proposer des candidats, calculer leur empreinte puis vérifier s’ils correspondent. C’est là que commence le « cassage » hors ligne. Aucune page de connexion ne vient alors le ralentir, aucun compte ne se verrouille et la carte graphique peut mouliner jusqu’à trouver.
La vitesse varie brutalement selon le stockage choisi par le service. Une fonction rapide peut autoriser des milliards de tentatives par seconde. À l’inverse, un algorithme conçu pour les mots de passe consomme volontairement du temps et de la mémoire à chaque essai. L’OWASP recommande notamment Argon2id, avec un réglage suffisamment coûteux pour rendre les attaques massives beaucoup moins rentables.
Le même secret peut donc tomber en quelques minutes dans une base mal protégée et demander des années dans une autre. Le cadenas dépend autant de la clé que de la serrure.
Force brute, dictionnaire et credential stuffing : trois attaques différentes
La force brute parcourt toutes les combinaisons
La force brute est la version la plus simple à expliquer : l’attaquant essaie « a », puis « b », puis « aa », jusqu’à tomber sur la bonne combinaison. Chaque caractère supplémentaire multiplie le nombre de possibilités. Avec 26 minuscules, passer de huit à neuf caractères ne rajoute pas seulement 26 essais : cela multiplie l’espace total par 26.
Le NIST prend l’hypothèse de 100 milliards de tentatives par seconde pour illustrer le danger des secrets courts face à des calculs rapides. Notre estimation la plus sévère reprend cet ordre de grandeur. Elle ne signifie pas que tous les sites, tous les ordinateurs et tous les algorithmes atteignent cette vitesse.
L’attaque par dictionnaire joue contre les habitudes humaines
Un pirate sérieux ne commence pas par « aaaaaaaa ». Il dispose de listes issues de fuites réelles et de règles capables de produire « Soleil2026! », « Marseille13 » ou « Ch@rlotte1 » avant des milliards de suites absurdes. Voilà pourquoi l’ajout mécanique d’une majuscule, d’un chiffre et d’un symbole ne transforme pas un mot courant en bunker.
Une étude sur PassGAN avait déjà montré la puissance de ces modèles nourris avec des mots de passe humains. Notre article consacré à cette IA capable de deviner des mots de passe en quelques minutes illustre le problème : les machines apprennent nos recettes, et nous cuisinons tous à peu près les mêmes.
Le credential stuffing ne casse absolument rien
Si votre combinaison adresse e-mail et mot de passe a déjà fuité sur un service, un attaquant peut la tester automatiquement sur Gmail, Amazon, Facebook ou votre banque. Il ne calcule aucune empreinte et ne devine aucun caractère. Il tente simplement une clé volée dans toutes les portes.
C’est pourquoi un mot de passe aléatoire de 30 caractères peut rester catastrophique s’il est réutilisé. La résistance mathématique ne répare pas une fuite. Vous pouvez contrôler votre exposition avec notre guide Have I Been Pwned. Le service sépare les adresses compromises des empreintes de mots de passe et permet des vérifications sans associer un secret à une identité.
Pourquoi la longueur écrase les règles de complexité absurdes
Pendant des années, les sites ont forcé les internautes à choisir huit caractères, une majuscule, un chiffre, un symbole et parfois le sacrifice d’une chèvre un soir de pleine lune. Le résultat était prévisible : un mot, une majuscule au début, « 1! » à la fin, puis le même mot de passe partout.
La version actuelle des recommandations NIST SP 800-63B demande au moins 15 caractères lorsqu’un mot de passe constitue le seul facteur d’authentification. Elle déconseille d’imposer des règles de composition et les changements périodiques sans preuve de compromission. Les services doivent plutôt bloquer les secrets courants ou déjà exposés, accepter les gestionnaires et autoriser une longueur d’au moins 64 caractères.
Nous avions analysé ce virage dans notre dossier sur la fin des règles débiles imposées aux mots de passe. Le principe est simple : ajouter huit caractères aléatoires agrandit beaucoup plus l’espace de recherche que remplacer un « a » par « @ » dans un mot déjà présent dans tous les dictionnaires de pirates.
Aléatoire ne veut pas dire « compliqué à mes yeux »
Une chaîne comme « H7!qM2#pL9@x » semble chaotique, mais sa force dépend de la manière dont elle a été obtenue. Si un gestionnaire a tiré chaque caractère indépendamment, on peut estimer son entropie à partir de la taille de l’alphabet et de la longueur. Si un humain l’a inventée, des motifs, des syllabes et des positions préférées réduisent l’espace réel.
Notre calculateur applique donc une pénalité aux mots de passe créés manuellement. Ce n’est pas une mesure exacte de votre cerveau. C’est une manière de ne pas faire croire qu’une personne choisit aussi aléatoirement qu’un générateur cryptographique.
Pour une phrase de passe, le raisonnement change encore. Quatre mots simplement choisis parce qu’ils forment une jolie phrase restent prévisibles. Quatre mots tirés indépendamment dans une liste de 7 776 entrées représentent environ 52 bits d’entropie. Cinq mots approchent 65 bits, six dépassent 77 bits. Ce sont le hasard et le nombre de choix possibles qui créent la résistance, pas l’espace entre les mots.
Ce que signifient les trois temps affichés par le calculateur
L’outil compare volontairement plusieurs scénarios, car afficher un seul chiffre serait trompeur.
- Base volée avec hash rapide : le pirate dispose de l’empreinte et peut tester 100 milliards de candidats par seconde. C’est notre scénario brutal.
- Base protégée par hash lent : l’estimation descend à 10 000 essais par seconde pour représenter un stockage volontairement coûteux. Un réglage réel peut être plus lent ou plus rapide.
- Connexion en ligne limitée : l’outil illustre un site plafonné à dix tentatives par minute. Les services sérieux imposent des délais, des blocages et une détection des comportements suspects.
- Identifiant réutilisé : si le secret a déjà fuité, le temps peut tomber à quelques secondes, quelle que soit sa longueur.
Les résultats correspondent au temps moyen pour parcourir la moitié de l’espace estimé. Un attaquant chanceux peut trouver plus tôt, un autre plus tard. Surtout, un pirate ne s’oblige jamais à utiliser la méthode la moins efficace. Si le phishing fonctionne, il ne va pas chauffer une grappe de cartes graphiques par amour de l’art.
Un mot de passe incassable peut encore être volé
Le calcul de résistance ne couvre pas le faux formulaire de connexion envoyé par e-mail, l’extension malveillante, le logiciel espion, la récupération de compte détournée ou le cookie de session volé. Dans ces scénarios, même 40 caractères aléatoires deviennent aussi utiles qu’une porte blindée dont le propriétaire donne la clé au livreur.
Un malware peut même contourner le secret en dérobant une session déjà ouverte. Nous avions détaillé le cas d’un malware capable d’accéder à Google sans connaître le mot de passe. La sécurité du compte dépend donc aussi de l’appareil, du navigateur et de votre réaction face aux demandes de connexion.
L’authentification multifacteur réduit fortement le risque lorsqu’un mot de passe tombe. Une application d’authentification est généralement préférable au SMS, tandis qu’une clé physique ou une passkey offre une meilleure résistance au phishing. Notre guide explique comment activer l’A2F sur vos principaux comptes.
Le gestionnaire règle le problème que votre mémoire ne peut pas résoudre
La consigne « un mot de passe long, aléatoire et unique pour chaque service » est excellente sur le papier et grotesque sans outil. Personne ne mémorise proprement 80 chaînes différentes. La conséquence naturelle est la réutilisation, le carnet posé près du bureau ou une petite famille de mots de passe presque identiques.
Un gestionnaire fabrique une combinaison aléatoire pour chaque compte, la conserve dans un coffre chiffré et la remplit automatiquement sur le bon domaine. Vous ne gardez en tête qu’une phrase maîtresse robuste. Le NIST demande d’ailleurs explicitement aux services d’autoriser les gestionnaires, le remplissage automatique et le collage.
Si vous découvrez une fuite, changez d’abord le mot de passe du compte touché, puis toutes ses copies. Activez l’A2F, déconnectez les sessions inconnues et vérifiez les méthodes de récupération. Le post de la Federal Trade Commission consacré aux comptes e-mail et sociaux piratés renvoie justement vers les premières mesures d’urgence.
Les passkeys déplacent enfin le problème
Une passkey ne repose pas sur un secret partagé avec le site. Votre appareil conserve une clé privée et le service ne reçoit qu’une clé publique. La connexion est liée au véritable domaine, ce qui la rend beaucoup plus résistante aux faux sites de phishing. Les spécifications FIDO2 et WebAuthn organisent ce mécanisme.
Le mouvement est déjà bien engagé : la FIDO Alliance annonçait en 2026 que plusieurs milliards de passkeys étaient utilisées. Notre article consacré aux passkeys dans Google Chrome explique leur fonctionnement et leurs limites pratiques.
Les mots de passe ne vont pas disparaître demain. Mais lorsqu’un service propose une passkey, l’accepter peut être plus efficace que de chercher encore un symbole exotique pour décorer « Dragon2026 ».
Comment obtenir un résultat honnête
- Ne saisissez jamais votre vrai mot de passe : choisissez seulement sa méthode de construction.
- Indiquez sa longueur totale et les familles de caractères réellement utilisées.
- Pour une phrase de passe, comptez uniquement les mots tirés indépendamment au hasard.
- Signalez toute réutilisation et toute fuite connue : ces deux critères peuvent écraser la résistance théorique.
- Lisez le scénario le plus dangereux et appliquez les actions proposées, plutôt que de vous hypnotiser avec un nombre d’années.
Le meilleur mot de passe n’est pas celui qui affiche « dix milliards d’années » dans une jolie carte. C’est celui qui est long, généré aléatoirement, unique, correctement stocké par le service et soutenu par une protection résistante au phishing.
Questions fréquentes
Combien de caractères faut-il en 2026 ?
Le NIST recommande un minimum de 15 caractères lorsque le mot de passe est utilisé seul. Pour un secret généré aléatoirement par un gestionnaire, 16 à 20 caractères offrent une marge confortable dans la plupart des usages. La longueur ne compense toutefois ni une fuite connue ni la réutilisation.
Les symboles rendent-ils toujours un mot de passe plus fort ?
Oui s’ils agrandissent réellement l’alphabet d’une génération aléatoire. Beaucoup moins si vous remplacez systématiquement « a » par « @ » ou ajoutez « ! » à la fin d’un mot courant : les outils de cassage connaissent déjà ces habitudes.
Une phrase de passe est-elle meilleure ?
Elle peut combiner longueur et mémorisation, à condition que ses mots soient choisis au hasard. Une citation, une expression connue ou une phrase personnelle reste attaquable par dictionnaire et par règles.
Faut-il changer son mot de passe tous les trois mois ?
Pas sans raison. Le NIST déconseille les changements périodiques imposés, qui poussent souvent à fabriquer des variantes prévisibles. Changez-le lorsqu’il est compromis, réutilisé, partagé ou lorsque le service vous signale un incident.
La double authentification empêche-t-elle le cassage ?
Non. Elle ne rend pas le mot de passe mathématiquement plus résistant, mais elle peut empêcher sa possession de suffire à ouvrir le compte. Les passkeys et clés de sécurité offrent la meilleure protection contre le phishing parmi les options courantes.
Sources
- NIST, Digital Identity Guidelines SP 800-63B
- NIST, How Do I Create a Good Password?
- OWASP, Password Storage Cheat Sheet
- Have I Been Pwned, fonctionnement de Pwned Passwords
- FIDO Alliance, spécifications d’authentification et passkeys
- Partager l'article :
