Un gestionnaire de mots de passe garde tous vos identifiants dans un coffre protégé par un seul mot de passe maître et génère des mots de passe aléatoires. Cybermalveillance.gouv.fr le recommande plutôt que de noter vos mots de passe ou de les stocker dans un fichier non protégé, et cite KeePassXC, libre, gratuit et certifié par l’ANSSI en version 2.7.9.
Pourquoi un outil plutôt que votre mémoire ?
La CNIL fixe la robustesse d’un mot de passe utilisé seul à 80 bits d’entropie. Cybermalveillance.gouv.fr ajoute deux règles : un mot de passe différent pour chaque service, et la double authentification activée dès qu’elle est proposée. Avec des dizaines de comptes, seul un outil rend cela tenable.
Trois façons d’atteindre 80 bits (CNIL)
| Longueur minimale | Composition | |
|---|---|---|
| Mot de passe complexe | 12 caractères | Majuscules, minuscules, chiffres, caractères spéciaux |
| Mot de passe long | 14 caractères | Majuscules, minuscules, chiffres |
| Phrase de passe | 7 mots | Mots choisis au hasard |
La CNIL ne recommande plus de changer périodiquement les mots de passe des comptes ordinaires : mieux vaut un mot de passe long et unique, changé dès qu’un service est piraté. Un mot comme « Informatique » maquillé de chiffres reste faible ; allonger vaut mieux que compliquer.
Le mot de passe maître, la clé de tout
Tout repose sur un seul secret : le mot de passe qui ouvre le coffre. Suivez les exemples de la CNIL, par exemple une phrase de passe d’au moins 7 mots ou un mot de passe de 14 caractères mêlant majuscules, minuscules et chiffres. Ne le réutilisez nulle part et ne le communiquez à personne, rappelle Cybermalveillance.gouv.fr.
Changez-le au moindre doute, par exemple si vous l’avez tapé sur un ordinateur qui ne vous appartient pas. C’est le seul mot de passe que vous aurez désormais à retenir : prenez le temps de bien le choisir.
Les 5 critères pour choisir
Les 5 critères d’un bon gestionnaire
- Coffre chiffréLe coffre doit être protégé par un mot de passe maître, idéalement une phrase de passe d’au moins 7 mots.
- Double authentificationActivez-la pour déverrouiller le compte en ligne, comme le conseille Cybermalveillance.gouv.fr.
- Générateur intégréL’outil doit créer des mots de passe aléatoires, un par service.
- Évaluation indépendantePrivilégiez un logiciel audité ou certifié, comme KeePassXC 2.7.9 par l’ANSSI.
- Sauvegarde du coffreLe coffre doit pouvoir être exporté ou copié pour ne jamais être perdu.
Et du côté des sites ?
La CNIL demande aussi aux services en ligne de ne jamais conserver les mots de passe en clair, mais transformés par une fonction cryptographique non réversible, avec sel ou clé, comme scrypt ou Argon2. En cas de fuite, le responsable doit notifier la CNIL dans un délai de 72 heures au plus, imposer un nouveau mot de passe à la prochaine connexion et conseiller de changer ceux des autres services qui utilisaient le même. Avec un mot de passe unique par site, cette dernière étape devient inutile.
Local ou synchronisé ?
Un gestionnaire local comme KeePassXC stocke le coffre sur votre ordinateur : vous en gardez la maîtrise, mais la synchronisation entre appareils est à organiser. Un service en ligne synchronise tout seul ; vérifiez alors qu’il propose la double authentification et une méthode de récupération claire. Dans les deux cas, le coffre doit être copié ailleurs, comme toute donnée importante : appliquez notre méthode pour sauvegarder vos données.
KeePassXC figure aussi dans notre sélection de logiciels gratuits indispensables, aux côtés d’autres outils libres pour équiper votre ordinateur.
Testez vos réflexes
Mots de passe : vrai ou faux ?
01La CNIL recommande-t-elle de changer son mot de passe tous les 3 mois ?
La CNIL ne demande plus de renouvellement périodique pour les comptes standard, seulement pour les comptes à privilèges.
02Combien de mots pour une phrase de passe robuste selon la CNIL ?
Une phrase de passe d’au moins 7 mots atteint le seuil de 80 bits d’entropie.
03Peut-on réutiliser un bon mot de passe sur plusieurs sites ?
Cybermalveillance.gouv.fr recommande un mot de passe différent par service pour limiter les dégâts en cas de fuite.
04Combien de caractères au minimum avec chiffres, lettres et caractères spéciaux ?
La CNIL donne 12 caractères mêlant les quatre types comme exemple de mot de passe de 80 bits.
Cliquez sur une réponse : la correction s’affiche aussitôt.
Questions fréquentes
Questions fréquentes
Un gestionnaire de mots de passe peut-il être piraté ?
Aucun outil n’est infaillible ; d’où l’importance d’un mot de passe maître robuste, de la double authentification et d’un logiciel évalué de façon indépendante. Changez vos mots de passe dès qu’un service annonce une fuite.
Faut-il encore changer ses mots de passe régulièrement ?
Plus pour les comptes ordinaires, selon la CNIL. Il faut en revanche les changer dès le moindre doute ou après une fuite de données.
Que faire si j’oublie le mot de passe maître ?
Avec un coffre local, il n’existe en général aucune récupération : choisissez une phrase de passe mémorisable et conservez une copie de secours en lieu sûr.
Choisissez un gestionnaire chiffré, protégé par une phrase de passe d’au moins 7 mots et la double authentification, capable de générer des mots de passe uniques, et sauvegardez son coffre.
Sources
- Mots de passe : recommandations pour maîtriser sa sécurité — CNIL : 80 bits d’entropie, exemples de 12 et 14 caractères, phrase de 7 mots, fin du renouvellement périodique.
- Délibération n° 2022-100 du 21 juillet 2022 — CNIL : texte de la recommandation sur les mots de passe.
- Mots de passe : bonnes pratiques — Cybermalveillance.gouv.fr : 12 signes minimum, mot de passe unique, double authentification, KeePassXC certifié ANSSI.
- Les sauvegardes : bonnes pratiques — Copies sur plusieurs supports, dont une déconnectée.
