P@ssw0rd_2026!. Voilà l’ennemi.
C’est le genre de mot de passe que vos usagers créent en soufflant de découragement, avant de l’oublier dix minutes plus tard. Ou pire, de le noter sur un post-it collé sous l’écran.
Le constat du médiateur. Quand je vois un senior se battre avec la touche Alt Gr pour insérer un caractère spécial dont il ne comprend pas l’utilité, je me dis que la cybersécurité a raté sa cible. L’ANSSI a pourtant tranché depuis 2021 : la longueur bat la complexité.
L’essentiel en 3 points
Une phrase de passe n’est robuste que si les mots sont tirés au hasard. Choisis par l’usager, ils viennent d’un stock minuscule et la protection s’effondre. L’ANSSI raisonne en caractères, pas en nombre de mots : quinze caractères et plus pour un compte sensible. Le tirage se fait au hasard, la mémorisation par une image absurde.
1. Pourquoi la complexité est devenue votre pire ennemie
Pendant des années, on a imposé aux usagers de mélanger majuscules, chiffres et symboles. Résultat : des mots de passe courts et prévisibles comme Maman123!.
L’ANSSI est explicite sur l’échec de cette approche. Les règles de complexité sont détournées par les utilisateurs de manière parfaitement prévisible : le a devient @, le o devient 0, une majuscule est ajoutée au début et un chiffre à la fin. Les attaquants connaissent ces comportements et construisent des dictionnaires dédiés. L’agence précise qu’un mot de passe issu d’un mot du dictionnaire, d’une date ou d’une information personnelle sera retrouvé en quelques minutes.
La longueur, elle, coûte cher à l’attaquant et rien à l’usager. C’est tout l’intérêt de la phrase de passe. L’ANSSI recommande d’ailleurs aux concepteurs de sites de ne fixer aucune longueur maximale, précisément pour ne pas empêcher leur usage.
2. Ce que l’ANSSI dit réellement, et que presque personne ne cite
Ici, une mise au point s’impose, parce que le web français répète deux approximations.
Première approximation : le nombre de mots. On lit partout « quatre à cinq mots », parfois « au moins sept mots ». Aucun de ces chiffres ne figure dans le guide de l’ANSSI. L’agence ne raisonne pas en mots. Elle raisonne en caractères et en entropie.
| Niveau de sensibilité | Longueur minimale | Force équivalente |
|---|---|---|
| Faible à moyen | 9 à 11 caractères | environ 65 bits |
| Moyen à fort | 12 à 14 caractères | environ 85 bits |
| Fort à très fort | au moins 15 caractères | 100 bits et plus |
Pour les comptes qui comptent vraiment, messagerie principale en tête, visez la troisième ligne. Une phrase de passe de quatre mots tirés au hasard dépasse naturellement quinze caractères.
Seconde approximation, et c’est la plus grave : la manière de choisir les mots.
L’ANSSI définit la phrase de passe comme le fait de choisir aléatoirement un certain nombre de mots parmi un corpus déterminé, comme le dictionnaire de la langue française. Et elle avertit : l’estimation de la robustesse ne vaut que si chaque mot est choisi de manière uniformément aléatoire. Quand l’utilisateur choisit lui-même, cette robustesse se retrouve fortement réduite.
Autrement dit : demander à un usager de « penser à quatre mots au hasard » ne produit pas du hasard. Il puise dans un stock personnel de quelques centaines de mots, liés à son quotidien, souvent dans le même champ lexical. Et les attaques par dictionnaire intègrent déjà, l’ANSSI le précise, les combinaisons et concaténations de mots connus.
C’est la nuance qui sépare une phrase de passe solide d’une phrase de passe qui en a seulement l’apparence.
3. La méthode du tirage, conçue pour l’atelier
La correction est simple. Il suffit de séparer deux gestes que l’on confond presque toujours.
Le hasard sert à choisir les mots. L’histoire absurde sert à les retenir. Jamais l’inverse.
Étape 1, le tirage. Trois façons de faire, par ordre d’efficacité en séance :
- L’enveloppe. Une cinquantaine de mots courants imprimés, découpés, pliés. L’usager tire quatre ou cinq papiers. C’est manuel, c’est visuel, et ça fonctionne remarquablement bien avec un public éloigné du numérique : personne ne conteste le hasard d’un tirage qu’il a fait lui-même.
- Le dé. Une liste numérotée et deux dés à six faces. Plus lent, mais le côté jeu désamorce l’appréhension.
- Le générateur. Celui intégré à un coffre-fort de mots de passe. Le plus rigoureux, le moins pédagogique.
Étape 2, l’assemblage. Relier les mots tirés par un séparateur simple : tiret, point ou tiret bas. On vérifie qu’on dépasse quinze caractères.
Étape 3, la mémorisation. C’est là que l’histoire absurde entre en jeu, et seulement là. L’usager invente une image mentale ridicule avec les mots qu’il vient de tirer. Plus c’est idiot, mieux ça tient. Notre cerveau retient les images, pas les symboles.
Conseil de terrain : ne cherchez pas à être élégant. Une phrase absurde, invraisemblable, un peu grotesque se grave en une lecture. Une phrase sensée s’oublie en deux jours.
À quoi ça ressemble
Des phrases construites sur ce principe donnent des formes du type tortue-nuage-piano-soleil ou livre.fusee.cactus.tambour. Ce sont des illustrations de format, pas des modèles à recopier : tout exemple publié sur le web est, par définition, déjà brûlé. Le vôtre doit sortir de votre propre tirage.
4. Coffre-fort ou navigateur : arbitrer sans dogme
C’est le grand débat en atelier. Faut-il faire confiance au gestionnaire intégré du navigateur ?
Notons au passage un choix de vocabulaire révélateur : l’ANSSI écrit « coffre-fort de mots de passe » plutôt que « gestionnaire », pour insister sur la protection offerte plutôt que sur la commodité. Et elle en recommande explicitement l’usage, tant aux responsables informatiques qu’aux utilisateurs finaux.
| Critère | Gestionnaire de navigateur | Coffre-fort dédié |
|---|---|---|
| Prise en main | Immédiate, souvent déjà active | Apprentissage réel, plusieurs séances |
| Point de défaillance | Le compte Google ou Microsoft associé | Le mot de passe maître, à ne jamais perdre |
| Évaluation officielle | Aucune | KeePassXC 2.7.9 certifié CSPN depuis 2025 |
| Générateur aléatoire | Basique | Complet, paramétrable |
Le verdict de terrain : le navigateur est une marche acceptable pour sortir des post-its. Le coffre-fort dédié est la destination, quand l’usager est prêt. Sur la question de la certification, la réponse précise est ici : existe-t-il vraiment un gestionnaire certifié ANSSI. Et pour savoir quel outil proposer à quel profil, à quelle séance : KeePass, Bitwarden ou carnet.
Un point mérite d’être dit clairement : même avec un coffre-fort, un mot de passe reste à mémoriser, celui qui ouvre le coffre. C’est exactement celui qui doit être une phrase de passe tirée au hasard.
5. Répondre aux objections classiques
« C’est trop long à taper ! »
Quatre mots courants, c’est plus rapide à taper qu’un code tordu qu’on cherche sur le clavier. Et si l’usager passe au coffre-fort, il ne le tape qu’une fois par session.
« Pourquoi tirer au sort ? Je peux choisir mes mots. »
C’est l’objection la plus fréquente, et la plus importante à traiter. Formulation qui fonctionne : « Votre cerveau n’est pas fait pour le hasard. Si je vous demande quatre mots, vous allez piocher dans les mêmes trois cents que tout le monde. Les logiciels d’attaque commencent par ceux-là. »
« Et si on me vole mon téléphone ? »
Le coffre est protégé par l’empreinte ou le mot de passe maître. Sans lui, le voleur n’a que des données chiffrées illisibles.
« Les sites refusent les espaces. »
Certains sont restés au siècle dernier. Tirets, points ou mots collés avec majuscules règlent le problème.
6. Les erreurs que l’ANSSI veut voir disparaître
- Le même mot de passe partout. L’agence recommande un mot de passe différent pour chaque service. Une seule fuite, et tous les comptes tombent ensemble.
- La variation incrémentale du type
Chat2025puisChat2026. Les attaquants testent ces itérations en priorité. - Les informations personnelles. Nom, date de naissance, prénom des enfants, nom du chien : tout ce qui est visible sur les réseaux sociaux.
- Le changement périodique imposé. Contre-intuitif mais documenté : l’ANSSI recommande de ne plus imposer d’expiration par défaut sur les comptes ordinaires, parce que ça pousse aux variations prévisibles. En revanche, après une fuite avérée ou suspectée, le changement doit être immédiat.
- Le fichier bureautique protégé par mot de passe en guise de coffre-fort. L’ANSSI l’écarte explicitement : le niveau de protection n’a rien à voir.
Ce que ça change pour nos ateliers
Ces recommandations nous donnent une base légitime, publique et datable. Fini les injonctions contradictoires héritées des années 2010. Voici le message à trois étages que l’on peut transmettre sans mentir ni simplifier à l’excès :
Un, une phrase de passe tirée au hasard vaut mieux qu’un mot de passe court et tordu. Deux, des mots de passe différents selon l’enjeu, en protégeant la messagerie principale en priorité, parce qu’elle commande toutes les réinitialisations. Trois, la double authentification partout où c’est possible.
Une précision sur ce troisième point, rarement faite en atelier : l’ANSSI recommande de ne pas utiliser le SMS comme moyen de réception d’un code d’authentification. Les protocoles téléphoniques présentent des vulnérabilités connues, et le détournement de carte SIM par ingénierie sociale permet à un attaquant de prendre le contrôle d’une ligne. Quand le service propose une application d’authentification, c’est elle qu’il faut activer. Quand il ne propose que le SMS, mieux vaut le SMS que rien.
Le cadre complet des règles de l’agence est détaillé ici : recommandations ANSSI sur les mots de passe. Le document source, lui, est public : guide ANSSI relatif à l’authentification multifacteur et aux mots de passe.
FAQ
Qu’est-ce qu’une phrase de passe selon l’ANSSI ?
L’ANSSI la définit comme le fait de choisir aléatoirement un certain nombre de mots parmi un corpus déterminé, par exemple le dictionnaire de la langue française. Le mot décisif est aléatoirement : c’est le tirage au hasard qui fait la robustesse, pas le nombre de mots.
Pourquoi ne faut-il pas choisir soi-même les mots ?
Parce que l’ANSSI précise que l’estimation de la robustesse ne vaut que si chaque mot est choisi de manière uniformément aléatoire. Quand l’utilisateur choisit lui-même, il puise dans un stock personnel très restreint et la robustesse réelle s’effondre. Les attaques par dictionnaire intègrent d’ailleurs les combinaisons de mots courants.
Combien de caractères pour une phrase de passe solide ?
L’ANSSI raisonne en caractères, pas en nombre de mots : 9 à 11 caractères pour une sensibilité faible à moyenne, 12 à 14 pour une sensibilité moyenne à forte, au moins 15 pour une sensibilité forte à très forte. Une phrase de passe tirée au hasard dépasse naturellement ces seuils.
Comment tirer les mots au hasard pendant un atelier ?
Trois méthodes fonctionnent en séance : des petits papiers pliés dans une enveloppe dont on tire quatre ou cinq mots, un dé à six faces avec une liste numérotée, ou le générateur intégré d’un coffre-fort. Le tirage physique fonctionne particulièrement bien avec un public éloigné du numérique.
Faut-il activer la double authentification par SMS ?
L’ANSSI recommande de ne pas utiliser le SMS comme moyen de réception d’un facteur d’authentification, en raison des vulnérabilités des protocoles téléphoniques et du risque de détournement de carte SIM. Une application d’authentification est préférable. En l’absence d’alternative proposée par le service, le SMS reste mieux que rien.
Où creuser chaque question
- Recommandations ANSSI mots de passe : le guide complet 2026
- Gestionnaire de mots de passe certifié ANSSI : existe-t-il vraiment ?
- KeePass, Bitwarden ou carnet : quel outil pour quel usager
- Gérer les mots de passe en atelier : méthode terrain Clé A / Clé B
- Animer un atelier mots de passe : déroulé complet
- Reconnaître et expliquer le phishing à vos usagers
Vous voulez cet atelier clé en main, tirage compris, adapté à votre public et à votre durée de séance ? Voir les formats d’intervention et de formation.