Recommandations ANSSI sur les mots de passe : guide pratique

Pendant des années, le conseil sur les mots de passe tenait en une recette indigeste : une majuscule, un chiffre, un caractère spécial, puis recommencer jusqu’à obtenir quelque chose d’illisible. Le problème n’est pas seulement que cette méthode fatigue tout le monde. Elle pousse aussi à recycler les mêmes secrets, à les noter n’importe où ou à changer seulement le dernier chiffre.

Les recommandations de l’ANSSI permettent de remettre les priorités dans le bon ordre : adapter la robustesse au risque, utiliser un mot de passe différent pour chaque service, privilégier une longueur suffisante et activer l’authentification multifacteur lorsque c’est possible. Pour les professionnels de la médiation numérique, l’enjeu est de traduire ces principes en consignes compréhensibles et réellement applicables.

Pourquoi s’appuyer sur les recommandations de l’ANSSI ?

L’Agence nationale de la sécurité des systèmes d’information est l’autorité française de référence en matière de cybersécurité. Son guide consacré à l’authentification multifacteur et aux mots de passe ne donne pas une formule magique applicable à tous les comptes. Il demande au contraire d’adapter le niveau de protection au contexte et au risque.

C’est une nuance importante. Le compte utilisé pour réserver un terrain de sport ne présente pas les mêmes conséquences qu’une messagerie principale, un compte bancaire ou un accès administrateur. En atelier, cela ne signifie pas qu’il faut transformer chaque participant en analyste de risques. Cela signifie qu’il faut commencer par les comptes dont la compromission ferait le plus de dégâts.

La page grand public des 10 règles d’or de l’ANSSI fournit un repère simple : utiliser un mot de passe différent pour chaque accès, suffisamment long, complexe et aléatoire, avec un minimum annoncé de 12 caractères. Ce minimum est un point de départ pédagogique, pas une garantie automatique de sécurité.

Longueur, complexité et contexte : remettre les priorités dans l’ordre

Dire que « la longueur compte plus que la complexité » aide à corriger une vieille habitude : prendre un mot courant et remplacer quelques lettres par des symboles. Mais cette phrase ne doit pas devenir une nouvelle règle absolue. Un mot de passe long reste faible s’il correspond à une citation célèbre, à une information personnelle ou à une suite très prévisible.

Le bon objectif est un secret suffisamment long, difficile à deviner et différent pour chaque service. Une phrase de passe peut faciliter la mémorisation, tandis qu’un gestionnaire peut générer et conserver des mots de passe aléatoires impossibles à retenir un par un.

Quelques exemples pédagogiques :

• M@r1e1975! : les substitutions sont classiques et les informations personnelles peuvent être devinées.
• 123456 ou azerty : trop courants pour protéger sérieusement un compte.
• tortue-nuage-piano-soleil : exemple de phrase de passe plus longue, à condition que les mots ne proviennent pas d’une phrase connue et que cet exemple ne soit pas réutilisé tel quel.

Les exemples publiés dans un article ne doivent jamais devenir les mots de passe réels des lecteurs. Leur rôle est de montrer une méthode, pas de fournir un secret prêt à copier.

Gestionnaire de mots de passe certifié ANSSI : ce que cela signifie vraiment

L’ANSSI recommande l’usage d’un coffre-fort de mots de passe. Il permet de conserver un mot de passe unique pour chaque service sans demander à l’utilisateur de tout mémoriser. Il faut toutefois être précis avec le mot « certifié ».

Une certification de sécurité porte sur une version déterminée d’un produit et sur un périmètre défini. Elle ne s’étend pas automatiquement aux versions suivantes. KeePass Manager a bien obtenu une certification CSPN pour sa version 2.10 Portable en 2010. Cette certification historique ne permet donc pas d’affirmer que toutes les versions actuelles de KeePass sont « certifiées ANSSI ».

De la même manière, le fait qu’un logiciel soit open source, audité ou largement utilisé ne signifie pas qu’il dispose d’un Visa de sécurité ANSSI. Pour un atelier, le choix d’un gestionnaire doit aussi tenir compte de l’autonomie du participant, de ses appareils, de sa capacité à sauvegarder son coffre et à protéger son mot de passe maître.

👉 KeePass, Bitwarden, gestionnaire du navigateur ou phrase de passe : l’analyse terrain sera détaillée dans l’article consacré au choix d’un gestionnaire.

Construire une phrase de passe mémorisable

Une phrase de passe associe plusieurs mots afin d’obtenir un secret plus long et plus facile à mémoriser. L’ANSSI présente les phrases de passe comme une alternative possible. Elle n’impose pas, dans les sources officielles vérifiées, une règle universelle de quatre ou cinq mots applicable à tous les usages.

Pour un atelier, quatre ou cinq mots sans lien évident constituent néanmoins un repère pratique. Il faut surtout éviter les paroles de chanson, les citations, les informations personnelles et les suites que quelqu’un pourrait deviner en consultant un profil public.

Une méthode simple :

1. Choisir plusieurs mots sans rapport évident entre eux.
2. Écarter tout élément lié à sa vie personnelle : prénom, date de naissance, adresse, animal ou club préféré.
3. Ajouter un séparateur lorsque le service l’accepte.
4. Créer une image mentale absurde pour faciliter la mémorisation.
5. Ne jamais réutiliser cette phrase de passe sur un autre service.

Exemples de démonstration :

• tortue-nuage-piano-soleil
• velo.citron.marteau.nuage
• livre-fusee-cactus-tambour

Ces exemples sont publics. Ils servent uniquement à comprendre le principe et ne doivent pas être utilisés comme mots de passe.

Les erreurs les plus fréquentes

• Réutiliser le même mot de passe : une fuite sur un service peut alors ouvrir l’accès aux autres comptes.
• Modifier seulement l’année ou le dernier caractère : ces variantes sont prévisibles et testées lors des attaques automatisées.
• Utiliser des informations personnelles : elles sont souvent accessibles sur les réseaux sociaux ou devinables par l’entourage.
• Conserver ses mots de passe dans un fichier texte non protégé ou à la vue de tous : la mémorisation ne doit pas être remplacée par un stockage dangereux.
• Changer systématiquement tous les mots de passe selon un calendrier : pour un utilisateur ordinaire, le renouvellement est surtout nécessaire en cas de fuite, de compromission, de réutilisation ou de doute sérieux.
• Tester son adresse sur n’importe quel site : la CNIL conseille de privilégier l’information de l’organisme concerné et les ressources officielles plutôt que les services non officiels prétendant vérifier une fuite.

En cas de fuite signalée, il faut se rendre directement sur le site ou dans l’application officielle du service concerné, changer le mot de passe compromis et modifier les autres comptes sur lesquels il aurait été réutilisé. La CNIL détaille les réflexes à adopter après une fuite ou un vol de données.

Ce que j’en retiens pour mes ateliers

En atelier, je ne cherche pas à transformer une séance sur les mots de passe en cours complet de cybersécurité. Je pars des comptes réellement utilisés, je sécurise d’abord les accès essentiels et je donne une méthode que la personne pourra reproduire seule.

Les réglages avancés, la récupération de compte ou le déploiement d’un gestionnaire sur plusieurs appareils peuvent ensuite faire l’objet d’un accompagnement individuel.

FAQ

Existe-t-il un gestionnaire de mots de passe certifié ANSSI ?

Il n’existe pas un label général qui rendrait tous les gestionnaires d’une marque automatiquement « certifiés ANSSI ». KeePass Manager 2.10 Portable a obtenu une certification CSPN en 2010. Cette certification concernait cette version et un périmètre précis. Elle ne s’applique pas automatiquement aux versions actuelles. L’ANSSI recommande par ailleurs l’usage d’un coffre-fort de mots de passe.

Quelle longueur minimale recommande l’ANSSI pour un mot de passe ?

La page grand public des 10 règles d’or de l’ANSSI indique un minimum de 12 caractères. Le guide technique rappelle toutefois que la robustesse doit être adaptée au contexte, au niveau de risque et aux protections complémentaires. Douze caractères constituent donc un repère minimum, pas une garantie suffisante dans toutes les situations.

Faut-il changer ses mots de passe régulièrement ?

Pas systématiquement pour les comptes ordinaires. Un changement est nécessaire lorsqu’un mot de passe a fuité, a été compromis, a été réutilisé sur plusieurs services ou lorsqu’un doute sérieux existe. Imposer des changements trop fréquents peut pousser à choisir des variantes prévisibles. Les comptes administrateurs ou soumis à une politique de sécurité particulière peuvent suivre des règles différentes.

Peut-on utiliser le même mot de passe sur plusieurs sites ?

Non. L’ANSSI recommande un mot de passe différent pour chaque service. En cas de fuite, la réutilisation permet aux attaquants de tester les mêmes identifiants sur la messagerie, les réseaux sociaux, les services publics ou les sites marchands. Un gestionnaire de mots de passe facilite cette unicité.

Qu’est-ce que l’authentification multifacteur et pourquoi l’activer ?

L’authentification multifacteur ajoute au mot de passe une autre preuve, par exemple une application d’authentification, un appareil de confiance ou une clé physique. Elle réduit fortement le risque lorsqu’un mot de passe est volé. Elle n’est toutefois pas infaillible : certaines méthodes peuvent être contournées par du phishing, une interception ou la validation précipitée d’une demande frauduleuse.