La doctrine a changé. Les référentiels actuels privilégient la longueur sur la complexité imposée, écartent le renouvellement périodique systématique, recommandent de vérifier les mots de passe contre les corpus de fuites et de laisser les gestionnaires de mots de passe fonctionner normalement. La politique héritée des années 2000 — huit caractères, quatre familles obligatoires, changement tous les 90 jours — produit aujourd'hui des mots de passe plus faibles, pas plus forts.
Pourquoi l'ancienne doctrine échoue
Trois mécanismes expliquent le renversement.
Les règles de composition produisent des motifs prévisibles. Contraint d'utiliser majuscule, chiffre et caractère spécial, un utilisateur produit presque toujours la même structure : mot courant, première lettre en majuscule, chiffre et point d'exclamation à la fin. Les outils d'attaque connaissent ces motifs et les explorent en priorité. La contrainte a réduit l'espace de recherche au lieu de l'élargir.
Le renouvellement forcé dégrade la qualité. Devoir changer tous les trimestres conduit à des variations incrémentales — un chiffre final qui progresse — et à l'écriture du mot de passe quelque part. Le NIST SP 800-63B recommande de ne pas imposer de renouvellement arbitraire et de n'exiger un changement qu'en cas de preuve de compromission.
Le vrai risque n'est plus le calcul, c'est la réutilisation. Les identifiants volés, réutilisés ou partagés figurent parmi les tout premiers vecteurs d'intrusion selon le Verizon DBIR. Un mot de passe long et unique ne protège pas davantage s'il a fuité chez un tiers et qu'il est rejoué ailleurs.
Ce que recommandent les référentiels aujourd'hui
| Sujet | Doctrine héritée | Recommandation actuelle |
|---|---|---|
| Longueur minimale | 8 caractères | plus longue, avec des phrases de passe encouragées |
| Composition imposée | 3 ou 4 familles obligatoires | pas d'exigence de composition arbitraire |
| Renouvellement | tous les 60 ou 90 jours | uniquement en cas de suspicion ou de preuve de compromission |
| Corpus de fuites | non vérifié | rejet des mots de passe présents dans des fuites connues |
| Copier-coller | souvent bloqué | autorisé, pour permettre les gestionnaires de mots de passe |
| Caractères autorisés | jeu restreint | jeu large, espaces et caractères Unicode acceptés |
| Questions secrètes | usage courant | à proscrire comme facteur de récupération |
| Indice de mot de passe | proposé | à supprimer |
| Verrouillage de compte | seuil bas | limitation de débit, seuils raisonnés pour éviter le déni de service |
L'ANSSI raisonne pour sa part en termes d'entropie et de mesures compensatoires : la longueur exigée dépend de ce qui entoure le mot de passe. Un compte protégé par une temporisation des tentatives, un plafond d'essais et une authentification multifacteur ne demande pas la même robustesse qu'un secret exposé à une attaque hors ligne après vol d'une base d'empreintes. La règle utile n'est donc pas un chiffre universel, mais une cohérence entre le secret et son environnement.
Le stockage : la moitié oubliée de la politique
Une politique de mots de passe qui ne traite que la saisie est incomplète. Côté serveur, trois principes s'imposent :
- Ne jamais stocker un mot de passe en clair, ni chiffré de façon réversible. Seule une empreinte doit être conservée.
- Utiliser une fonction de dérivation conçue pour être lente et paramétrable, avec un sel unique par utilisateur. Le sel empêche les tables précalculées ; le coût de calcul ralentit les tentatives massives en cas de fuite.
- Prévoir la mise à niveau des paramètres. Le coût de calcul jugé suffisant hier ne l'est plus aujourd'hui ; la procédure de re-dérivation à la prochaine connexion doit exister.
Un point de vigilance supplémentaire concerne la réinitialisation. C'est le chemin le plus attaqué, parce que c'est souvent le moins protégé : un lien envoyé par courriel ou un code par SMS ramène la sécurité du compte à celle de la boîte mail ou de la ligne téléphonique.
Le vrai objectif : réduire la dépendance au mot de passe
Une bonne politique reste une mesure de transition. Le mot de passe conserve un défaut irréductible : c'est un secret réutilisable, donc interceptable, rejouable et transmissible. Ni sa longueur ni sa rotation ne changent ce fait. Un mot de passe de trente caractères saisi sur une page relais est perdu aussi sûrement qu'un mot de passe de huit.
Deux directions permettent de réduire cette dépendance :
- Supprimer le mot de passe des parcours où une alternative est disponible : c'est l'enjeu du passage au passwordless.
- Déplacer la preuve vers une intention humaine explicite plutôt qu'un secret détenu, ce que propose le facteur cognitif, sans identifiant permanent ni secret à mémoriser.
En attendant, une politique réaliste tient en cinq points : longueur suffisante, aucune règle de composition arbitraire, contrôle contre les fuites connues, absence de renouvellement systématique, et sécurisation prioritaire du parcours de réinitialisation.
FAQ
Faut-il vraiment arrêter le changement tous les 90 jours ?
Le NIST SP 800-63B recommande de ne pas l'imposer sans motif, car la contrainte pousse à des variations prévisibles. Le changement reste obligatoire dès qu'une compromission est suspectée ou avérée, et il peut rester pertinent sur certains comptes techniques ou partagés.
Les phrases de passe sont-elles plus sûres ?
À longueur équivalente, une phrase composée de mots choisis aléatoirement offre un bon compromis entre robustesse et mémorisation. En revanche, une citation connue ou une phrase issue d'un ouvrage publié n'apporte presque rien : elle figure dans les dictionnaires d'attaque.
Faut-il autoriser les gestionnaires de mots de passe ?
Oui. Ils permettent des secrets longs, uniques et non mémorisés, ce qui traite directement le risque de réutilisation. Bloquer le copier-coller sur les champs de saisie va à l'encontre de cet objectif.
Comment vérifier qu'un mot de passe n'a pas fuité ?
En le confrontant à des corpus de mots de passe compromis, au moment de sa définition. Les protocoles de vérification par préfixe d'empreinte permettent de le faire sans transmettre le mot de passe lui-même à un tiers.
Aller plus loin : remplacer le secret par une preuve d'intention · le coût caché du mot de passe · l'authentification sans mot de passe · mot de passe face au credential stuffing