Mots de passe : les bonnes pratiques indispensables en 2025
Comment créer des mots de passe vraiment sécurisés, choisir un gestionnaire, activer le double facteur et éviter les erreurs fatales.
Pourquoi vos mots de passe actuels ne suffisent probablement plus
En 2025, la quasi-totalité des internautes ont au moins une partie de leurs mots de passe compromis sans le savoir. Les grandes fuites de données des dernières années — Facebook (533 millions de comptes en 2021), LinkedIn (700 millions en 2021), Deezer (228 millions en 2022), Free (19 millions en 2024) — ont alimenté des bases de données colossales de couples e-mail/mot de passe qui circulent librement sur le dark web. Les cybercriminels utilisent ces données pour pratiquer le credential stuffing : tester automatiquement ces combinaisons sur des centaines de services populaires (banques, réseaux sociaux, boutiques en ligne) jusqu'à trouver une correspondance. Si vous réutilisez le même mot de passe sur plusieurs services — comme le font encore plus de 60 % des internautes selon les études — une seule fuite suffit à compromettre l'ensemble de vos comptes en quelques minutes. Un mot de passe comme « Prénom2024! » ou « motdepasse1 » peut être cracké en quelques secondes par les algorithmes modernes, qui connaissent parfaitement toutes les substitutions courantes.
Ce que recommande l'ANSSI en 2025
L'Agence nationale de la sécurité des systèmes d'information (ANSSI) et la CNIL ont publié des recommandations claires et actualisées sur les mots de passe. L'ANSSI préconise désormais des mots de passe d'au moins 12 à 16 caractères, avec un accent mis sur l'entropie (le degré d'imprévisibilité) plutôt que sur une complexité artificielle imposée par des règles rigides. Le concept de phrase de passe est particulièrement mis en avant : une suite de 4 à 5 mots aléatoires — par exemple « soleil marmite fusée tribunal balcon » — est à la fois bien plus longue qu'un mot de passe classique, difficile à craquer par force brute, et plus facile à mémoriser. L'ANSSI insiste également sur l'unicité absolue de chaque mot de passe : aucun service ne doit partager son mot de passe avec un autre, quelle que soit la confiance accordée au service. Enfin, l'agence recommande de ne changer un mot de passe que lorsqu'il y a une raison de penser qu'il a été compromis — les changements forcés réguliers incitent souvent à créer des mots de passe plus faibles.
Utiliser un gestionnaire de mots de passe : la solution indispensable
La seule façon réaliste d'utiliser un mot de passe unique et complexe pour chacun des dizaines ou centaines de services en ligne que nous utilisons, c'est de déléguer cette gestion à un outil dédié. Les gestionnaires de mots de passe génèrent, stockent et remplissent automatiquement des mots de passe aléatoires pour chaque service — vous n'avez plus qu'un seul mot de passe maître à mémoriser et à sécuriser particulièrement. L'ANSSI recommande plusieurs solutions : KeePass, qui est entièrement local (vos données restent sur votre appareil) et gratuit, convient aux utilisateurs soucieux de ne confier leurs données à aucun service cloud. Bitwarden est une alternative open source, gratuite dans sa version de base, qui propose également un stockage cloud chiffré et une synchronisation entre appareils. 1Password et Dashlane sont des solutions commerciales appréciées pour leur interface et leurs fonctionnalités avancées. Ces outils s'intègrent directement dans votre navigateur pour remplir automatiquement les formulaires de connexion, rendant leur usage aussi simple que pratique.
L'authentification à deux facteurs (2FA) : indispensable en 2025
L'authentification à deux facteurs (2FA ou MFA) est la mesure de sécurité la plus efficace après le gestionnaire de mots de passe. Son principe est simple : même si un attaquant connaît votre mot de passe, il ne peut pas accéder à votre compte sans le second facteur d'authentification. Il existe plusieurs types de seconds facteurs, dont la sécurité varie. Le SMS est le plus répandu mais aussi le plus vulnérable : des attaques de SIM swapping (transfert frauduleux de votre numéro de téléphone vers une autre carte SIM contrôlée par l'attaquant) permettent d'intercepter les codes envoyés par SMS. L'ANSSI recommande de préférer les applications d'authentification basées sur le protocole TOTP (Time-based One-Time Password) comme Google Authenticator, Authy ou Microsoft Authenticator — ces applications génèrent un code à 6 chiffres valable 30 secondes, sans connexion réseau et sans risque d'interception. Les clés de sécurité physiques (YubiKey, par exemple) offrent le niveau de protection le plus élevé. Activez le 2FA en priorité sur vos comptes les plus sensibles : adresse e-mail (c'est la porte d'entrée de tous vos autres comptes via les réinitialisations), banque, réseaux sociaux, et services d'achats en ligne.
Les erreurs fatales à ne plus jamais commettre
Certaines pratiques répandues créent des vulnérabilités graves que les cybercriminels savent parfaitement exploiter. Réutiliser le même mot de passe sur plusieurs services est l'erreur numéro un — elle transforme chaque fuite de données en une menace globale pour tous vos comptes. Utiliser des mots de passe prévisibles basés sur des informations personnelles (prénom, date de naissance, nom d'animal de compagnie) est dangereux : ces informations sont souvent exposées dans des fuites ou disponibles sur les réseaux sociaux. Stocker vos mots de passe dans un fichier texte, un tableur non chiffré ou dans les notes de votre téléphone est une pratique risquée si votre appareil est volé ou compromis. Partager un mot de passe par e-mail, SMS ou messagerie instantanée expose ces informations aux fuites de ces canaux. Ignorer les alertes de compromission est également dangereux : si un service vous avertit que votre compte a été compromis ou vous incite à changer votre mot de passe, agissez immédiatement. Enfin, négliger les mises à jour de sécurité de vos applications et systèmes laisse ouvertes des failles que les attaquants exploitent activement.
Les passkeys : l'avenir de l'authentification sans mot de passe
Les passkeys (clés d'accès) représentent la prochaine étape de l'authentification numérique, et leur adoption s'accélère depuis 2023. Développées par l'alliance FIDO (Fast IDentity Online), dont Apple, Google et Microsoft sont membres, les passkeys remplacent entièrement le mot de passe par une paire de clés cryptographiques : une clé privée stockée sur votre appareil (jamais transmise sur le réseau) et une clé publique enregistrée sur le service. L'authentification se fait via la biométrie de votre appareil (empreinte digitale, reconnaissance faciale) ou votre code PIN local. L'avantage est majeur : aucun mot de passe à retenir, aucune base de données de mots de passe à protéger côté serveur, et aucune possibilité de phishing puisque la clé privée ne quitte jamais votre appareil. Des services comme Google, Apple, Microsoft, GitHub et de nombreuses banques supportent déjà les passkeys. En 2025, si un service vous propose de créer une passkey, il est vivement conseillé de l'activer — c'est une protection supérieure à n'importe quel mot de passe, aussi complexe soit-il.
Plan d'action : sécurisez vos comptes étape par étape
Voici un plan d'action concret pour sécuriser vos comptes en partant de zéro, ou pour renforcer une sécurité existante. Première étape : installez un gestionnaire de mots de passe (Bitwarden est gratuit et recommandé pour débuter), créez un mot de passe maître très solide (phrase de passe de 5 mots aléatoires) et ne l'utilisez nulle part ailleurs. Deuxième étape : ajoutez vos comptes existants dans le gestionnaire et utilisez sa fonction de vérification pour identifier ceux qui utilisent des mots de passe faibles ou réutilisés — changez-les par ordre de priorité (e-mail, banque, réseaux sociaux en premier). Troisième étape : activez le 2FA sur tous vos comptes importants, en privilégiant une application d'authentification. Quatrième étape : vérifiez si vos adresses e-mail apparaissent dans des fuites connues via Have I Been Pwned ou Datalogia, et agissez immédiatement sur les comptes concernés. Cinquième étape : activez les alertes de monitoring pour être prévenu en temps réel si de futures fuites vous concernent. Ces cinq étapes, réalisables en une soirée, transforment radicalement votre posture de sécurité numérique.