Créer des mots de passe solides et les gérer avec un gestionnaire : le guide

Un lecteur m'a écrit la semaine dernière : « J'ai 84 comptes en ligne. Comment je suis censé retenir 84 mots de passe différents ? » Il n'est pas seul. J'ai posé la question autour de moi, dans mon entourage, et la réponse qui revient le plus souvent c'est : « j'utilise le même depuis dix ans, avec un chiffre en plus à la fin. »

Je vais être direct : c'est la pire chose que vous pouvez faire. Pas parce que c'est paresseux — parce que c'est exactement ce que les attaquants cherchent en premier. Une fuite sur un forum quelconque, et le mot de passe qui protégeait votre boîte mail se retrouve en clair dans une base revendue.

Dans cet article, je vous explique comment créer des mots de passe solides, ce qui distingue vraiment un bon mot de passe d'un mauvais, et pourquoi un gestionnaire de mots de passe n'est pas un gadget mais la seule méthode qui tient sur la durée.

Qu'est-ce qu'un mot de passe vraiment solide en 2026 ?

La réponse classique — « majuscule, minuscule, chiffre, symbole » — n'est pas fausse, mais elle passe à côté de l'essentiel. Ce qui protège un mot de passe, c'est le nombre de combinaisons possibles, et ce nombre dépend avant tout de la longueur.

Pourquoi 12 caractères sont devenus le plancher

Un mot de passe de 8 caractères mêlant lettres, chiffres et symboles offre une espace de recherche que du matériel grand public casse en quelques heures. Huit caractères, c'était acceptable il y a quinze ans. Plus maintenant. Les cartes graphiques actuelles testent des milliards de combinaisons par seconde.

Douze caractères, c'est le seuil où l'effort de cassage devient réellement dissuasif pour un attaquant opportuniste. Au-delà de 16, on entre dans une zone où même une attaque ciblée devient coûteuse.

Exemple de mot de passe sécurisé (et pourquoi il l'est)

Prenons trois cas concrets.

Faible : Lyon2019! — 9 caractères, un nom de ville, une année, un symbole prévisible. Un dictionnaire bien construit le trouve en quelques secondes.

Correct : k7#Pm2$qLz9 — 11 caractères, aucun mot identifiable, aucune logique. Bon, mais à la limite basse.

Solide : tramway-bleu-renard-82 — 23 caractères, quatre mots sans lien logique, un chiffre. Pourquoi ça marche ? Parce qu'un attaquant qui teste mot par mot doit essayer chaque combinaison de mots du dictionnaire, ce qui fait exploser le nombre de possibilités. Et vous, vous le retenez en une lecture.

Autre option solide, une chaîne purement aléatoire sur 16 caractères : xT4!mQz8#Lw2$Rp6. Plus difficile à mémoriser, mais parfait pour un mot de passe que vous ne taperez jamais à la main — celui de votre gestionnaire.

Exemple de mot de passe à 12 caractères

Vous cherchez un format précis ? Voici ce qui tient la route :

• Fj9!vLp2@Kx7
• Zq4#Nbm8$Wt3
• pR6!hGy2%Vc9

Ce qui les rend corrects n'est pas la recette magique majuscule/chiffre/symbole. C'est qu'ils ne ressemblent à rien, ne contiennent aucun mot, et ne suivent aucune logique devinable. Une règle simple : si vous pouvez expliquer votre mot de passe à quelqu'un en une phrase, il est probablement devinable.

Comment gérer des dizaines de mots de passe sans devenir fou ?

Voilà où la plupart des gens craquent. Créer un mot de passe unique par site, c'est facile à dire. Le faire pour 80 comptes, c'est humainement impossible sans outil. Le cerveau ne stocke pas 80 chaînes aléatoires — et prétendre le contraire, c'est se mentir.

Ce qu'un gestionnaire de mots de passe sécurisé fait vraiment

Un gestionnaire stocke vos identifiants dans un coffre chiffré, protégé par un seul mot de passe : le mot de passe maître. Vous n'en mémorisez qu'un. Le logiciel génère les autres, les remplit automatiquement dans vos formulaires, et synchronise le tout entre vos appareils si vous le souhaitez.

Le point crucial que beaucoup ignorent : le fournisseur ne connaît pas vos mots de passe. Le chiffrement se fait sur votre appareil, avec votre mot de passe maître. Même en cas de fuite des serveurs, ce qui sort est illisible. C'est la différence entre un coffre-fort et une boîte où l'on garderait la clé.

Gestionnaire de mot de passe gratuit : ce qu'on obtient, ce qu'on sacrifie

Plusieurs solutions gratuites existent et sont parfaitement utilisables au quotidien. La version gratuite d'un gestionnaire couvre généralement : stockage illimité d'identifiants, générateur de mots de passe, synchronisation sur un nombre limité d'appareils ou sur un seul type d'appareil, remplissage automatique.

Ce qui passe souvent à la caisse : le partage sécurisé d'identifiants avec d'autres personnes, le support prioritaire, les rapports de sécurité avancés, et le nombre d'appareils synchronisés.

Pour un usage personnel, le gratuit suffit dans la majorité des cas. Pour une famille ou un usage professionnel, la version payante se justifie vite.

Comparatif : quel gestionnaire choisir selon votre profil

Il n'existe pas de « meilleur » gestionnaire dans l'absolu. Il existe celui qui correspond à votre usage. Voici une comparaison sur les critères qui comptent réellement.

Gestionnaire	Modèle	Gratuit ?	Points forts	Limites
Bitwarden	Open source	Oui, très complet	Code auditable, synchronisation illimitée en gratuit, prix bas	Interface un peu austère
KeePass	Open source, hors-ligne	Oui, totalement	Aucun serveur, base de données locale que vous contrôlez	Synchronisation à gérer soi-même
Gestionnaire intégré au navigateur	Propriétaire	Oui	Simple, déjà là, zéro installation	Moins de contrôle, portabilité limitée si vous changez de navigateur
Solutions commerciales (type Dashlane, LastPass)	Propriétaire	Version gratuite bridée	Interface soignée, fonctions familiales, support	Abonnement pour débloquer l'essentiel

Mon avis, que je défends sans hésiter : pour un particulier qui veut du solide sans se ruiner, l'open source gagne. Le code est vérifiable par n'importe qui, le modèle économique ne repose pas sur la revente de données, et la version gratuite n'est pas un piège.

Le mot de passe maître : le seul qui compte vraiment

Tout repose sur lui. Si quelqu'un obtient votre mot de passe maître, il obtient tous les autres. C'est le point unique de défaillance de tout le système — et c'est pour ça qu'il mérite une attention disproportionnée.

Comment créer un mot de passe maître robuste

La meilleure approche que je connaisse : une phrase de passe longue, mémorisable, sans lien avec votre vie. Par exemple, une phrase absurde que vous seul pouvez inventer, avec une ponctuation et un chiffre glissés dedans.

Trois règles :

1. Au moins 16 caractères — c'est le seul mot de passe où vous ne pouvez pas vous permettre d'être à la limite.
2. Aucun rapport avec vos informations personnelles : pas de nom d'enfant, pas de date, pas d'adresse.
3. Mémorisée, jamais écrite en clair dans un fichier ou un post-it.

Si l'oublier vous terrifie, c'est normal. La solution n'est pas de l'écrire quelque part de visible : c'est d'utiliser les mécanismes de récupération prévus par le gestionnaire — phrase de secours, clé de récupération, code imprimé et rangé en lieu sûr.

Faut-il activer la double authentification ?

Oui, systématiquement sur votre compte de gestionnaire, et partout où c'est proposé. Un gestionnaire sans 2FA activée, c'est une porte blindée avec la clé laissée sur le paillasson. La 2FA ajoute une seconde preuve que vous êtes bien vous — un code temporaire généré sur votre téléphone, par exemple.

Le scénario classique : quelqu'un obtient votre mot de passe maître par hameçonnage. Sans 2FA, il entre. Avec, il lui manque le second facteur, et il repart bredouille.

Passer au gestionnaire sans y perdre la journée

L'objection que j'entends le plus souvent : « j'ai déjà tout dans mon navigateur, je ne vais pas tout ressaisir. » Bonne nouvelle : vous n'avez pas à le faire.

La plupart des gestionnaires importent vos identifiants depuis un export de navigateur ou un fichier CSV. Concrètement :

• exportez vos mots de passe depuis votre navigateur vers un fichier,
• importez ce fichier dans le gestionnaire,
• supprimez immédiatement le fichier d'export de votre ordinateur — c'est un point critique, car un CSV de mots de passe en clair est une bombe à retardement,
• profitez de l'occasion pour supprimer les comptes dont vous ne vous servez plus,
• remplacez au fil de l'eau les mots de passe faibles ou réutilisés par des mots de passe générés.

Je conseille de ne pas tout changer en une fois. Commencez par les comptes critiques : messagerie principale, banque, réseaux sociaux. Le reste suivra naturellement, au rythme de vos connexions.

Une chose que j'ai apprise à mes dépens : ne sautez pas l'étape de suppression du fichier d'export. Une fois, j'ai laissé traîner un CSV sur mon bureau pendant trois jours. Rien ne s'est passé, mais rétrospectivement, c'était une négligence que je ne referai pas.

Le vrai basculement, ce n'est pas technique. C'est le moment où vous réalisez que vous ne tapez plus jamais un mot de passe, et que vous ne vous en souvenez plus. C'est exactement le but. Un mot de passe que vous ne connaissez pas ne peut pas être deviné, ni soutiré, ni réutilisé par erreur.

Ce qui laisse une question ouverte, et je n'ai pas de réponse toute faite : que se passe-t-il le jour où l'on délègue entièrement sa mémoire numérique à un outil ? On y gagne une sécurité qu'aucun cerveau humain ne peut égaler. On y perd quelque chose aussi. Reste à décider si le troc en vaut la peine. Pour ma part, après avoir testé les deux approches, le calcul est vite fait.