Pourquoi un mot de passe long ne suffit-il pas toujours ?

Pourquoi la réutilisation d'un même mot de passe est-elle risquée ?

Cybermalveillance.gouv.fr recommande un mot de passe différent par service, « en cas de perte ou de vol, seul le service concerné sera vulnérable. » Si un mot de passe, même long et complexe, est réutilisé sur plusieurs comptes, il suffit qu'un seul de ces services subisse une fuite de données pour que tous les autres comptes utilisant le même mot de passe deviennent accessibles. La CNIL a ainsi alerté en juin 2025 sur l'exposition de 16 milliards d'identifiants, en précisant qu'il s'agissait d'une agrégation de fuites déjà survenues par le passé, pas d'une attaque nouvelle : la recommandation reste la même, surveiller ses comptes sensibles (messagerie, banque, e-commerce) et changer tout mot de passe potentiellement compromis.

Pourquoi la longueur n'arrête-t-elle pas l'hameçonnage ?

Sur un faux site qui imite un service légitime, par exemple après avoir reçu un SMS usurpant un transporteur ou scanné un QR code piégé, c'est la victime elle-même qui tape son mot de passe, quelle que soit sa longueur : l'attaquant le récupère directement, sans avoir besoin de le deviner ni de le casser par force brute. La robustesse d'un mot de passe protège contre une tentative de deviner ou de casser ce mot de passe depuis l'extérieur, pas contre le fait de le communiquer soi-même, de bonne foi, sur une fausse page de connexion.

Comment la CNIL mesure-t-elle vraiment la robustesse d'un mot de passe ?

La CNIL raisonne en entropie plutôt qu'en longueur brute, et propose trois options équivalentes pour atteindre un bon niveau de sécurité.

D'après la délibération de la CNIL du 14 octobre 2022.

La CNIL fixe aussi des seuils d'entropie minimale selon le contexte : 80 bits pour une authentification simple sans autre protection, 50 bits si l'accès est déjà limité par ailleurs, comme un nombre d'essais restreint sur un webmail ou un site d'e-commerce, et seulement 13 bits si la personne détient en plus un second facteur matériel. Ce dernier chiffre, beaucoup plus bas, montre à lui seul l'intérêt d'ajouter un second facteur : il permet d'accepter un mot de passe nettement plus simple sans perdre en sécurité globale.

Qu'apporte réellement l'authentification à plusieurs facteurs ?

Un guide conjoint de l'ANSSI, publié sous la référence ANSSI-PG-078, formule cinq recommandations, dont « privilégier l'utilisation de l'authentification multifacteur » et « privilégier l'utilisation de l'authentification reposant sur un facteur de possession », comme une application sur un téléphone ou une clé de sécurité physique. L'intérêt de ce second facteur est qu'il reste indépendant du mot de passe : même si celui-ci fuite ou est intercepté par un faux site, l'attaquant ne possède pas l'appareil ou l'application qui génère le second code.

Un gestionnaire de mots de passe est-il vraiment utile ?

Cybermalveillance.gouv.fr recommande l'usage d'un gestionnaire de mots de passe, et cite en exemple KeePassXC, présenté comme gratuit, open source, disponible en français et certifié par l'ANSSI. Un tel outil permet de générer un mot de passe différent et robuste pour chaque service, sans avoir à tous les retenir soi-même, ce qui limite directement le risque de réutilisation évoqué plus haut.

Lire la vidéo