Une gérante de commerce m’a montré fièrement son système de mots de passe : le nom de son chien suivi de l’année en cours, décliné sur tous ses comptes professionnels. Elle avait trouvé cette méthode via un générateur de « mot au hasard » en ligne qui, en réalité, ne générait rien d’aléatoire du tout, juste une suggestion de mot simple à mémoriser. La confusion entre mot mémorable et mot réellement aléatoire mérite d’être clarifiée, parce qu’elle a des conséquences concrètes sur la sécurité.
Ce que signifie réellement « aléatoire » en sécurité informatique
Un générateur de mot de passe réellement aléatoire ne pioche pas un mot du dictionnaire, même déguisé avec des chiffres. Il assemble des caractères (lettres majuscules, minuscules, chiffres, symboles) sans aucune logique linguistique, ce qui le rend imprévisible pour un programme de piratage automatisé qui teste systématiquement les mots du dictionnaire et leurs variantes courantes. « Rex2026 » se retrouve dans les premières tentatives de n’importe quel outil d’attaque par dictionnaire, malgré son apparence personnalisée.
Cinq générateurs que je recommande réellement à mes clients
Bitwarden, déjà présent comme gestionnaire de mots de passe complet, intègre un générateur configurable directement dans son interface, pratique puisqu’il stocke immédiatement le résultat de façon chiffrée sans étape supplémentaire.
1Password propose un générateur similaire avec une option « mémorable » qui assemble plusieurs mots aléatoires séparés par des tirets, un compromis intéressant entre sécurité réelle et facilité de saisie manuelle occasionnelle, par exemple pour un mot de passe Wi-Fi à communiquer oralement à un visiteur.
KeePass, solution open source et gratuite installée localement plutôt qu’en ligne, convient particulièrement aux structures qui préfèrent ne pas dépendre d’un service cloud tiers pour stocker leurs identifiants professionnels.
Le générateur intégré à macOS et iOS, accessible directement dans les champs de mot de passe des navigateurs Apple, produit des suites aléatoires solides sans installation supplémentaire, une option souvent ignorée par méconnaissance.
Diceware, une méthode plus artisanale utilisant de vrais dés physiques et une liste de mots normalisée, reste utilisée par certains professionnels de la sécurité pour générer des phrases de passe longues mais mémorisables, sans dépendre d’aucun logiciel ni service en ligne.
Le cas des mots de passe partagés en équipe
Autre situation fréquente en PME : un mot de passe unique partagé entre plusieurs employés pour un compte commun, comme un réseau Wi-Fi ou un outil collaboratif. Cette pratique complique considérablement la révocation d’accès en cas de départ d’un salarié, puisqu’il faut alors changer le mot de passe pour toute l’équipe. Un gestionnaire de mots de passe avec fonction de partage sécurisé, comme Bitwarden en offre, permet de révoquer l’accès d’une seule personne sans exposer ni changer le secret pour les autres, une différence qui compte dès que l’équipe dépasse trois ou quatre personnes.
La différence entre mot de passe et phrase de passe
Face à des clients réticents à l’idée de mémoriser une suite de caractères illisible, je recommande souvent la phrase de passe : quatre à cinq mots aléatoires sans lien logique entre eux, assemblés par des tirets ou des espaces. Une phrase comme « tracteur-nuage-guitare-42-brique » est à la fois plus longue, donc plus résistante à une attaque par force brute, et plus facile à retenir qu’une suite de symboles aléatoires classique, à condition que les mots soient choisis réellement au hasard et non par une logique personnelle devinable.
Ce qui échoue souvent malgré un bon générateur
Générer un mot de passe robuste ne sert à rien si l’utilisateur le note ensuite sur un post-it collé à l’écran, ce que j’ai constaté chez plus d’une PME cliente. La robustesse technique du mot de passe doit toujours s’accompagner d’une solution de stockage sécurisée, comme un gestionnaire de mots de passe, sinon le problème initial (mémorisation difficile) reste entier et pousse l’utilisateur vers de mauvaises habitudes de contournement.
Ce que j’ai cru longtemps sur la complexité des mots de passe
Pendant des années, j’ai suivi la recommandation classique consistant à exiger des mots de passe courts mais très complexes, mêlant majuscules, chiffres et symboles sur huit caractères minimum. Les recherches plus récentes en sécurité informatique, notamment les travaux repris par les guides de l’ANSSI, montrent qu’un mot de passe long mais simple dans sa composition résiste souvent mieux à une attaque par force brute qu’un mot de passe court mais complexe, parce que la longueur pèse davantage que la diversité des caractères dans le calcul du temps nécessaire pour le casser. J’ai révisé mes recommandations en conséquence depuis, en insistant désormais sur la longueur avant la complexité apparente.
Checklist pour une politique de mots de passe en PME
- Utiliser un générateur réellement aléatoire, pas un simple mot suivi d’un chiffre
- Privilégier une phrase de passe de quatre à cinq mots pour les comptes utilisés quotidiennement
- Stocker les mots de passe dans un gestionnaire chiffré, jamais sur un support papier visible
- Activer la double authentification partout où elle est disponible, en complément du mot de passe
- Changer immédiatement tout mot de passe suspecté d’avoir été partagé ou affiché publiquement
Ce que je recommande
Abandonnez les générateurs de « mot au hasard » qui suggèrent en réalité des mots du dictionnaire, et adoptez soit un gestionnaire de mots de passe avec générateur intégré, soit la méthode de la phrase de passe pour les comptes que vous devez mémoriser sans assistance. La gérante de commerce citée en introduction utilise aujourd’hui Bitwarden pour l’ensemble de ses comptes professionnels, avec un vrai mot de passe aléatoire différent pour chacun.
La CNIL publie des recommandations détaillées sur la robustesse des mots de passe en entreprise. Voir les recommandations de la CNIL sur l’authentification et les mots de passe.
Un mot de passe mémorable et un mot de passe sécurisé ne sont pas la même chose. Les bons outils permettent d’avoir les deux à la fois, sans compromis réel entre confort d’usage et sécurité durable.
Sur la sécurité des outils numériques en entreprise, voir aussi les extensions Firefox de sécurité et le transfert sécurisé de documents.