Chaque caractère ajouté multiplie le nombre de combinaisons. Un mot de passe de 8 caractères, même avec des symboles, plafonne à 6,6 quadrillions de combinaisons. Passez à 16 caractères, même en minuscules, et le chiffre explose.
Les attaques par force brute cassent un mot de passe court en quelques secondes. Un mot de passe long exige des mois de calcul, même avec une ferme de GPU.
La longueur écrase la complexité, statistiquement
| NordVPN | ProtonVPN | |
|---|---|---|
| Idéal pour | Streaming et débit | Vie privée et open source |
| Open source | Non | Oui |
| Offre gratuite | Essai 30 jours | Oui |
L’ordre de grandeur suffit : chaque caractère ajouté peut multiplier par plusieurs dizaines le temps nécessaire à une attaque par force brute. Passer de 8 à 12 caractères ne rend pas le cassage 4 fois plus long, mais des millions de fois plus long. Cette progression exponentielle échappe à l’intuition.
Ouest-France le rappelle dans son guide des raccourcis clavier : insérer des symboles comme !, @, # ou $ réduit le risque de piratage, mais uniquement si la longueur suit. Un symbole sur un mot de passe de 8 caractères, c’est un pansement sur une jambe de bois.
Ce que les recommandations officielles ne vous disent pas
Le ministère de l’Économie préconise quatre types de caractères : majuscules, minuscules, chiffres et signes de ponctuation. C’est un point de départ. Ce conseil seul ne suffit plus en 2026. Source : panicvault.org
La vraie faille, celle que les recommandations techniques ne comblent pas, c’est la réutilisation. Un mot de passe complexe, utilisé sur trois comptes, devient 3 fois plus vulnérable. Une base de données fuite, et vos trois comptes tombent en même temps.
Le problème n’est pas la mémoire humaine, c’est le système. On demande aux utilisateurs de retenir des dizaines de mots de passe uniques et complexes, sans outil pour le faire. D’où le post-it sous le clavier, le fichier Excel sur le bureau, ou le « NomChien+AnnéeNaissance ». Ces réflexes ne sont pas de la négligence : ce sont des adaptations à une exigence irréaliste.
J’ai vu ce scénario des dizaines de fois pendant mes années en gendarmerie. Les victimes d’usurpation d’identité n’avaient pas des mots de passe faibles. Elles avaient un mot de passe fort, répété partout.
Le maillon faible, c’est rarement le symbole manquant. C’est l’habitude.
Les caractères piégés à éviter
Certains symboles posent des problèmes sur des systèmes spécifiques. Les chevrons < et > sont autorisés sur la plupart des plateformes, mais ils peuvent interférer avec des formulaires web mal codés ou des scripts de connexion automatisés.
Les espaces, en début ou en fin de mot de passe, passent souvent inaperçus. Vous tapez un espace accidentel, le site l’accepte, et la connexion échoue le lendemain. Ce détail transforme un bon mot de passe en cauchemar silencieux.
Même problème avec les lettres accentuées. Un é tapé sur un clavier AZERTY français peut devenir un caractère illisible sur un système configuré en anglais. Vous voyagez, vous changez d’appareil, et votre mot de passe devient inutilisable alors qu’il est correct.
Dans le domaine des URL et des formulaires web, certains symboles comme le point-virgule ou le dièse peuvent couper le parcours d’un robot d’exploration sans avertir, et provoquer des erreurs silencieuses dans les scripts de connexion automatisés.
Le backslash, omniprésent dans les séquences d’échappement (\n, \t), est un autre piège : mal interprété par un parseur JSON ou une regex, il peut corrompre la chaîne du mot de passe sans que l’utilisateur s’en aperçoive. En cas de doute, limitez-vous aux caractères alphanumériques et à une poignée de symboles universellement reconnus comme sûrs.
La phrase secrète, plus fiable que les substitutions
Remplacer « a » par « @ » ou « s » par « $ » est un réflexe daté. Les attaquants connaissent ces correspondances. Un outil de cracking moderne teste automatiquement « m@ison » quand il rencontre « maison » dans un dictionnaire.
La phrase secrète est plus efficace. Prenez une phrase que vous seul connaissez, gardez les premières lettres de chaque mot, et ajoutez un chiffre ou un symbole à un endroit logique pour vous. Vous obtenez un mot de passe long, unique et mémorisable sans effort.
Wikipedia précise qu’une phrase de passe contient souvent des suites de mots qui ressemblent à une phrase, contrairement au mot de passe classique qui se limite à une chaîne courte. Cette structure en fait un outil mnémotechnique naturel : votre cerveau retient mieux une suite de mots ayant du sens qu’une séquence aléatoire.
Un exemple : « Mon premier chat s’appelait Tigrou en 2005 » devient MpcsaTe2005. Ajoutez un symbole à un endroit qui fait sens pour vous, et vous avez un mot de passe qui résiste aux attaques par dictionnaire comme aux substitutions automatisées.
La variante recommandée consiste à choisir quelques mots au hasard, par exemple « arbre chaussure facile radiateur », et à les assembler. C’est plus long qu’un mot de passe traditionnel, mais plus facile à mémoriser, et robuste face aux outils de cracking.
Les gestionnaires de mots de passe changent la donne
Retenir 50 mots de passe uniques et complexes est impossible. C’est pour ça que les gestionnaires de mots de passe existent. Ils génèrent, stockent et remplissent automatiquement des mots de passe aléatoires de 20 caractères.
Si vous utilisez encore le même mot de passe partout « parce que c’est plus simple », un gestionnaire est la première chose à mettre en place. Le gain de sécurité est immédiat, et l’effort mental disparaît. Vous ne retenez plus qu’un seul mot de passe : celui du gestionnaire.
Pour choisir un outil fiable, vérifiez 3 points : le chiffrement de bout en bout, l’audit de sécurité indépendant, et la politique de récupération de compte. Un gestionnaire qui peut réinitialiser votre mot de passe maître sans votre accord n’en est pas un.
Autre avantage : la plupart des gestionnaires permettent d’exporter vos mots de passe vers un autre logiciel, ce qui facilite la migration si vous changez d’outil. Et contrairement à une idée reçue, ils ne sont pas condamnés par les passkeys. Ils évoluent, s’adaptent, et deviennent des coffres-forts numériques complets, capables de gérer les mots de passe classiques comme les clés d’authentification sans mot de passe.
Ce qu’on devrait enseigner à la place des symboles
Les formations sur les mots de passe insistent sur les caractères spéciaux, pas sur les comportements. Le risque n’est pas un mot de passe sans dièse. C’est un mot de passe réutilisé, partagé, stocké dans un fichier non chiffré, ou enregistré dans le navigateur d’un ordinateur partagé.
Voici les erreurs qui coûtent plus cher qu’un mot de passe faible :
- Réutiliser le même mot de passe sur plusieurs comptes sensibles.
- Stocker ses mots de passe dans un fichier texte non protégé.
- Partager un mot de passe par message ou par email.
- Laisser son navigateur mémoriser les mots de passe sur un poste partagé.
- Ignorer les alertes de fuite de données de ses services en ligne.
- Répondre aux questions de récupération dont les réponses sont trouvables sur les réseaux sociaux.
Un mot de passe fort, c’est un mot de passe que vous êtes le seul à connaître, que vous n’utilisez qu’une fois, et que vous pouvez changer sans douleur. Le symbole n’est qu’un ingrédient.
Les recommandations officielles sur la marche quotidienne parlent de régularité et de modération, 2 critères qui n’ont pas besoin d’un chronomètre. Même logique pour les mots de passe : la régularité des bonnes pratiques et la modération dans la complexité valent mieux qu’un excès de symboles.
L’authentification multifacteur, votre meilleure alliée
Même le meilleur mot de passe peut fuiter. L’authentification multifacteur (MFA) est devenue indispensable sur les comptes sensibles :
- banque
- réseaux
- sociaux
- services
- cloud.
Avec le MFA, un attaquant qui possède votre mot de passe ne peut pas se connecter sans le second facteur (code temporaire, clé physique, notification sur votre téléphone). Cette protection transforme une fuite de mot de passe en incident sans conséquence.
Activez-le partout où c’est possible, en priorité sur votre boîte mail principale. Si un attaquant prend le contrôle de votre email, il peut réinitialiser tous vos autres mots de passe. Votre boîte mail est la clé de voûte de votre sécurité numérique.
Le MFA n’est pas réservé aux paranoïaques : c’est la seule parade contre le vol de mot de passe à grande échelle. Quand une base de données fuite, des millions de couples email/mot de passe se retrouvent en vente sur le dark web. Sans MFA, chacun de ces comptes est accessible.
Avec MFA, ces identifiants ne valent plus rien pour l’attaquant. C’est la différence entre une serrure crochetée et une porte blindée.
Questions fréquentes
Un mot de passe de 12 caractères sans symbole est-il plus sûr qu’un mot de passe de 8 caractères avec symboles ?
Oui, dans la grande majorité des cas. La longueur apporte plus de combinaisons possibles que l’ajout de symboles sur un mot de passe court. Un mot de passe de 12 caractères minuscules offre déjà une résistance considérable aux attaques par force brute.
Le problème des questions de récupération
Votre mot de passe peut être irréprochable. Si votre question de récupération est « nom de jeune fille de votre mère » et que la réponse figure sur votre profil Facebook, le système est cassé. Les questions de récupération sont une porte dérobée que beaucoup de sites laissent ouverte.
La parade est simple : répondez faux. Le nom de jeune fille de votre mère devient « pizza ananas 42 ». Une réponse inventée, que vous stockez dans votre gestionnaire de mots de passe, est incassable par un attaquant qui fouille vos réseaux sociaux.
Cette astuce contredit l’instinct naturel de répondre honnêtement. C’est ce qui la rend efficace. Les attaquants comptent sur votre honnêteté. Refusez-la.
Le raisonnement s’applique aussi aux questions de sécurité posées par téléphone ou par chat avec un support client. Si un service vous demande votre date de naissance ou le nom de votre premier animal pour vérifier votre identité, donnez une réponse cohérente mais fausse, et notez-la dans votre gestionnaire. Même principe que pour les mots de passe : l’unicité et l’imprévisibilité priment sur la vérité.
Les mots de passe des enfants et des ados
Les plus jeunes sont les plus exposés, parce qu’ils réutilisent des mots de passe simples sur des jeux, des réseaux sociaux et des services scolaires. Un compte de jeu vidéo piraté semble anodin, mais il peut servir de point d’entrée vers l’email familial.
Apprendre à un adolescent à utiliser un gestionnaire de mots de passe, c’est lui donner un réflexe qui le protégera toute sa vie. C’est aussi simple que de lui apprendre à verrouiller son téléphone. Le plus tôt est le mieux.
Et si vous gérez les comptes de vos enfants, ne réutilisez jamais un de vos mots de passe pour leur compte. Un compte enfant compromis ne doit jamais mettre en danger le compte parent.
Les adolescents partagent aussi leurs mots de passe avec des amis, par confiance ou par commodité. Le danger n’est pas la malveillance de l’ami, mais la cascade de compromissions qui s’ensuit : un téléphone volé, un compte piraté chez l’ami, et c’est toute la chaîne qui tombe. La règle d’or à transmettre : un mot de passe, c’est comme une brosse à dents. Ça ne se prête pas.
Caractères spéciaux sur AZERTY français
Pourquoi les sites français rejettent-ils parfois les accents dans les mots de passe ?
La plupart des services français (La Poste, Ameli, impots.gouv.fr) utilisent des systèmes de vérification qui normalisent les caractères avant comparaison. Un « é » peut être stocké différemment selon l’encodage (UTF-8, ISO-8859-1). Résultat : votre mot de passe avec accent fonctionne à la création, puis échoue à la connexion suivante. Évitez les accents, même si le site les accepte au départ.
Regard OPJ · numéro du 15 octobre 2026
Ce que j'ai décortiqué il y a deux semaines
Des années de réquisitions. Deux faits, deux remèdes. Les abonnés les ont déjà lus. Vous, pas encore.
iOS 27 neutralise votre bloqueur de pubs DNS sans vous demander votre avis
La mise à jour iOS 27 embarque un réglage appelé Connectivity Assist. Activé par défaut, il contourne les bloqueurs de publicité basés sur le DNS comme NextDNS, AdGuard ou Pi-hole.
Ce que je fais : Je désactive Connectivity Assist sur tous mes appareils iOS dès la mise à jour installée. Ensuite, je vérifie que mon bloqueur DNS fonctionne encore.
Amazon équipe ses livreurs de lunettes qui photographient tout
Amazon a construit des lunettes connectées avec caméras intégrées pour ses livreurs. Elles prennent des photos de tout ce que le livreur voit, y compris les personnes et les propriétés.
Ce que je fais : Je n'achète plus rien sur Amazon quand je peux l'éviter. Et si un livreur arrive avec ces lunettes, je lui demande de les retirer avant d'ouvrir.
La lettre complète en contient trois, avec mon regard d'ancien OPJ et le détail de chaque remède.
Gratuit, sans pub, désabonnement en un clic.
Ou passez directement à la version complète :
Sans engagement, résiliable en un clic.
Ce que je retiens de mes années d’enquêtes
Pendant mes années en gendarmerie, j’ai traité des affaires où des comptes bancaires avaient été vidés, des identités usurpées, des vies numériques retournées. Dans presque tous les cas, la faille initiale n’était pas un algorithme de chiffrement. C’était un mot de passe réutilisé, une question de récupération trop honnête, ou un mot de passe noté dans un carnet volé.
Les victimes n’étaient pas négligentes. Elles appliquaient des conseils obsolètes. Elles pensaient qu’un point d’exclamation et un chiffre suffisaient. Personne ne leur avait expliqué que la longueur, l’unicité et le MFA comptent davantage.
La sécurité d’un mot de passe n’est pas une question de symboles. C’est une question de méthode. Et la méthode, contrairement aux symboles, ne s’improvise pas.
La prochaine fois qu’un site vous impose un caractère spécial « entre la deuxième et la sixième position », souriez. Ce site applique des règles conçues pour des machines, pas pour des humains. Votre vraie sécurité se joue ailleurs : dans la longueur de vos mots de passe, leur unicité, et le gestionnaire qui les retient à votre place.
Preuves et références
| NIST ↗ |
D’autres articles sur le sujet
| Voici pourquoi vos mots de passe devraient contenir au moins 12 caractères |
Ce que la gendarmerie m’a appris sur les mots de passe des autres
Quand on est OPJ, on ne choisit pas les mots de passe qu’on croise. On les découvre, souvent écrits sur un post-it collé à l’écran, parfois dans un carnet qui traîne dans un tiroir.
J’ai passé des années à constater que les gens protègent leurs comptes comme ils fermeraient leur porte avec un élastique. Pas par bêtise, mais parce que personne ne leur a expliqué ce qu’était une vraie menace.
La sécurité ne dépend pas de la complexité qu’on exige, mais de la simplicité qu’on comprend.
Article utile ? Dites-le à Google. Ajoutez ce blog à vos sources préférées : un clic, et vous le retrouverez dans vos recherches (et l’AI Mode) au lieu du contenu recyclé par des robots. C’est votre façon de reprendre le contrôle sur ce que vous lisez.
Et si vous avez aimé, partagez (c’est le meilleur coup de pouce pour un blog indépendant qui publie sans algorithme ni sponsor déguisé).
Un clic, gratuit. Nécessite d’être connecté à votre compte Google.
SALUT COMMENT VAS JAI BESION DE CHERIS
Bjr, Je ne pense pas que vous soyez au bon endroit pour ça.
Merci pour cette page, mais il y a au moins une imperfection :
Vous confondez
‘ Apostrophe U+0027
(première liste)
‘ Single quotation mark
(deuxième et troisième liste suivantes, certes pour la deuxième il s’agit des caractères acceptés par Oracle Identity Manager et Microsoft Active Directory)
et
backtick `
(quatrième liste)
Voici les corrections nécessaires :
‘ Apostrophe (U+0027) : Dans mon tableau, le caractère indiqué comme « Apostrophe » avec le code Unicode U+0027 est en fait correct. L’apostrophe standard est bien représentée par le code U+0027. Cependant, il existe également une autre forme d’apostrophe, souvent utilisée dans la typographie, connue sous le nom d’apostrophe typographique ou de guillemet simple haut, qui a un code Unicode différent.
‘ Single Quotation Mark : Ce caractère est différent de l’apostrophe standard (U+0027). Il est souvent utilisé comme guillemet simple ouvrant dans la typographie et a le code Unicode U+2018.
` Backtick (U+0060) : Ce caractère est correctement identifié comme « Accent grave » avec le code Unicode U+0060. Il est aussi appelé backtick en informatique et est visuellement différent de l’apostrophe standard et du guillemet simple haut.
L’un des principaux problèmes est que certains caractères de différentes langues ont l’air identiques ou sont très similaires les uns aux autres.
A Α А ᗅ ᗋ ᴀ Ａ
Ces caractères se ressemblent tous, mais ils ont tous un encodage différent sous le système Unicode. Par conséquent, ils sont tous complètement différents en ce qui concerne l’ordinateur.
Les attaquants peuvent exploiter cela lors d’une attaque de phishing, car les utilisateurs accordent une grande confiance aux noms de domaine. Lorsque vous voyez un nom de domaine de confiance, comme « google.com » dans votre barre d’adresse URL, vous faites immédiatement confiance au site Web que vous visitez.
Les attaquants peuvent profiter de cette confiance en enregistrant un nom de domaine qui ressemble à celui de confiance, par exemple « goōgle.com ». Dans ce cas, les victimes peuvent facilement ignorer le marquage supplémentaire sur le « o », croire qu’elles sont bien sur le site de Google, et fournir au site frauduleux leurs identifiants Google.
L’usurpation de noms de domaine de cette manière peut également aider les attaquants à attirer les victimes sur leur site. Par exemple, l’attaquant peut poster un lien « images.goōgle.com/puppies » sur un site de réseau social. Elle fait croire à ses victimes que le lien redirige vers une photo de chiot sur Google alors qu’il redirige en réalité vers une page de téléchargement automatique de logiciels malveillants.
Salut,
C’est vrai que le problème des mots de passe, c’est que les règles sont différentes suivant les sites, certains veulent tant de caractères et pas plus, tous les car. spéciaux ne passent pas non plus. Et pourtant, on pourrait limiter les hacks avec des « phrases mot de passe » par exemple …
Est-ce que certains caractères comme le tilde, n’existent que sur claviers français ou européen ?
Bonjour,
Merci de votre commentaire.
Pour le tilde, il faut généralement appuyer sur « Alt-Gr » et en même temps sur la touche où se trouvent « + » « * » et « ~ ».
Mais dans les fenêtres de xming, je dois appuyer deux fois sur la touche contenant les trois symboles avant qu’ils ne s’affichent.
Lorsque j’ouvre Xemacs, je ne peux même pas taper le tilde du tout.