La réponse honnête est « cela dépend de ce que vous protégez » — un compte de forum et un portefeuille de cryptomonnaie ne présentent pas le même risque en cas de compromission, donc ils n'ont pas besoin de la même longueur de mot de passe. Cet article donne des objectifs de longueur concrets par type de compte, et explique pourquoi les directives actuelles privilégient la longueur aux règles de composition comme les symboles obligatoires.

En bref

NIST SP 800-63B recommande d'autoriser (et d'encourager) les mots de passe longs plutôt que d'imposer des règles de complexité comme les symboles obligatoires.
16 caractères est une valeur par défaut raisonnable pour la plupart des comptes ; 20+ pour tout ce qui protège de l'argent ou une identité ; 24-32+ pour le mot de passe maître de votre gestionnaire de mots de passe.
La longueur augmente votre protection de façon exponentielle ; chaque règle obligatoire de type de caractère apporte comparativement peu. Voir L'entropie des mots de passe expliquée pour le calcul.
La longueur n'aide que si les caractères sont véritablement aléatoires — un mot de passe long mais prévisible (une phrase, un motif de clavier) n'en tire pas pleinement bénéfice.

Réponse courte

Utilisez au moins 16 caractères pour la plupart des comptes, 20+ pour les comptes financiers ou critiques pour l'identité, et 24-32+ pour le mot de passe maître de votre gestionnaire de mots de passe ou tout autre point unique de défaillance. PassGenerate vous permet de définir directement la longueur et utilise 16 par défaut, ce qui couvre le cas courant ; augmentez-la pour les comptes à plus fort enjeu.

Longueur recommandée par type de compte

Type de compte	Longueur suggérée	Pourquoi
Compte de forum ou newsletter à faible risque	12-16 caractères	Conséquence faible en cas de compromission ; il reste utile d'éviter les tentatives triviales
E-mail et stockage en nuage	16-20 caractères	L'e-mail est souvent le chemin de récupération pour tout le reste — sa compromission a un effet en cascade
Banque et services financiers	20-24 caractères	Exposition financière directe ; les institutions imposent de toute façon des minimums de plus en plus longs
Comptes administrateurs, portefeuilles crypto, mot de passe maître du gestionnaire	24-32+ caractères	Point unique de défaillance — sa compromission peut exposer tout ce qui en dépend
Phrase de passe mémorisable (à taper souvent, de mémoire)	4-6 mots aléatoires	Entropie comparable ou supérieure à un mot de passe plus court chargé de symboles, plus facile à saisir avec précision

Pourquoi le NIST s'est éloigné des règles de complexité forcée

Les anciennes politiques de mots de passe — une majuscule obligatoire, un chiffre obligatoire, un symbole obligatoire, une rotation obligatoire tous les 90 jours — partaient d'une bonne intention mais se sont révélées contre-productives en pratique. La complexité forcée pousse les gens vers des schémas prévisibles (Ete2024!, MotDePasse1@) qui satisfont la règle tout en ajoutant peu d'entropie réelle, et la rotation forcée pousse les gens à simplement incrémenter un chiffre (MotDePasse1, MotDePasse2) plutôt qu'à choisir quelque chose de véritablement nouveau.

Le NIST a formalisé ce virage dans la Révision 4 de SP 800-63B, publiée en 2025 : les services doivent autoriser des mots de passe d'au moins 64 caractères et doivent accepter les espaces et l'ensemble des caractères imprimables ; si un mot de passe est le seul facteur d'authentification, le NIST fixe désormais un minimum de 15 caractères, réduit à 8 caractères lorsqu'il est associé à une authentification multifacteur. La Révision 4 va plus loin que les directives précédentes en interdisant explicitement les règles de composition obligatoires (majuscules, chiffres, symboles requis) plutôt que de simplement les déconseiller, et demande aux services de vérifier les nouveaux mots de passe par rapport à des listes de mots de passe compromis à la place. Elle abandonne aussi entièrement la rotation périodique obligatoire — les mots de passe doivent être changés en cas de preuve réelle de compromission, pas selon un calendrier fixe. Le levier de sécurité qui fonctionne réellement est la longueur combinée à une aléa véritable, pas une liste de types de caractères requis.

La longueur seule garantit-elle la sécurité ?

Non — la longueur n'aide que si elle s'accompagne d'une véritable aléa. aaaaaaaaaaaaaaaaaaaa (20 caractères) est trivialement devinable malgré sa longueur, et une phrase de 20 caractères tirée d'un livre connu est devinable via des attaques par dictionnaire construites sur des expressions courantes. Les recommandations de longueur ci-dessus supposent que les caractères sont générés par un générateur de nombres pseudo-aléatoires cryptographiquement sûr (CSPRNG), comme le fait PassGenerate, ou tirés d'une liste de mots véritablement aléatoire pour les phrases de passe — pas choisis pour être mémorisables, ce qui signifie presque toujours moins d'aléa qu'il n'y paraît.

Une façon pratique d'appliquer cela

Vous n'avez pas besoin de calculer l'entropie à la main à chaque fois. Comme règle pratique :

Demandez-vous ce qui se passerait si ce compte spécifique était compromis — est-ce gênant, ou est-ce un désastre en cascade ?
Choisissez une longueur dans le tableau ci-dessus selon cette réponse.
Générez-le aléatoirement plutôt que de le composer vous-même — la longueur ne paie que si une véritable aléa se cache derrière.
Pour les comptes que vous devez souvent taper de mémoire, utilisez une phrase de passe aléatoire plutôt qu'une chaîne de caractères aléatoire — sécurité comparable, nettement plus facile à saisir correctement.

Points clés à retenir

La longueur du mot de passe doit s'adapter à ce qui est réellement en jeu si le compte est compromis, et non être un seul chiffre fixe pour tout.
NIST SP 800-63B privilégie des minimums plus longs et la vérification par liste de compromissions plutôt que des règles obligatoires de composition de caractères.
La longueur seule ne suffit pas — elle doit être associée à une véritable aléa (générée par CSPRNG ou une liste de mots aléatoire) pour offrir la sécurité qu'elle laisse entendre.
16 caractères couvrent la plupart des comptes du quotidien ; passez à 24-32+ spécifiquement pour le mot de passe maître de votre gestionnaire de mots de passe.

Pourquoi vous pouvez faire confiance à PassGenerate

Les mots de passe sont générés localement dans votre navigateur grâce à la Web Crypto API.
Aucun mot de passe n'est transmis à des serveurs.
Utilise un générateur de nombres pseudo-aléatoires cryptographiquement sûr (CSPRNG).
Suit les meilleures pratiques de sécurité modernes recommandées par le NIST et l'OWASP.

Références

NIST SP 800-63B Révision 4 (2025) – Directives d'identité numérique
Fiche de référence sur l'authentification de l'OWASP
Directives sur les mots de passe de la CISA

En résumé

Il n'existe pas une seule longueur de mot de passe correcte — il existe une longueur correcte pour le niveau de risque de chaque compte. Seize caractères est un plancher raisonnable pour la plupart des comptes, les comptes financiers et critiques pour l'identité méritent 20+, et tout ce qui agit comme point unique de défaillance (le mot de passe maître d'un gestionnaire en particulier) mérite 24-32 ou plus. Rien de tout cela ne compte, cependant, à moins que les caractères ne soient réellement aléatoires — la longueur est le multiplicateur, mais l'aléa est ce qu'elle multiplie.

Quelle doit être la longueur d'un mot de passe ? Guide pratique par type de compte