Vos règles de mot de passe ont produit « Printemps2026! ». Elles ont échoué.
Majuscule, chiffre, caractère spécial, changement trimestriel : ces règles ont produit des mots de passe prévisibles et des post-it. Les recommandations ont changé.
Une majuscule, un chiffre, un caractère spécial, huit caractères minimum, renouvellement tous les trois mois. Ces règles ont structuré vingt ans de politiques de sécurité.
Elles produisent Printemps2024!, puis Printemps2025!. Les autorités qui les recommandaient
en sont revenues.
Pourquoi elles échouent
Un être humain contraint applique des transformations prévisibles : la majuscule en première position, le chiffre à la fin, le point d’exclamation après. Les outils d’attaque connaissent ces schémas et les intègrent depuis longtemps.
Le renouvellement forcé aggrave le problème. Obligé de changer, l’utilisateur incrémente. Le nouveau mot de passe est déductible de l’ancien — ce qui annule l’intérêt du changement si l’ancien a fuité.
Et la contrainte pousse à l’écriture : le post-it sous le clavier est une conséquence directe d’une politique trop rigide.
Ce qui est recommandé aujourd’hui
La longueur avant la complexité. Une phrase de passe de quatre mots sans lien entre eux est plus résistante et plus mémorisable qu’une suite de huit caractères tordus.
Pas de renouvellement périodique sans raison. Le changement s’impose en cas de suspicion de compromission, pas au calendrier.
Le rejet des mots de passe connus. Comparer le mot de passe choisi à une liste de mots de passe déjà compromis élimine bien plus de risque que toutes les règles de forme réunies. Des services permettent cette vérification sans jamais transmettre le mot de passe lui-même.
L’autorisation du gestionnaire de mots de passe. Bloquer le collage dans un champ de mot de passe empêche l’usage d’un gestionnaire, et pousse donc vers des mots de passe faibles et réutilisés. C’est une mesure qui nuit sans rien protéger.
Le stockage, où les erreurs coûtent le plus
Un mot de passe ne se stocke jamais en clair, ni chiffré de manière réversible. Il se stocke sous forme d’empreinte calculée par un algorithme conçu pour être lent — les fonctions rapides sont précisément ce que l’attaquant souhaite.
Le sel est intégré à ces algorithmes ; le réimplémenter à la main est le meilleur moyen de se tromper.
La mesure la plus efficace reste ailleurs
La double authentification apporte davantage que toute politique de mot de passe. Un mot de passe volé devient insuffisant, ce qu’aucune règle de complexité ne garantira jamais.
Sur les comptes à privilèges, elle n’est plus discutable.