Cet article s'appuie sur des recherches en cybersécurité accessibles au public, des rapports sectoriels et des pratiques de sécurité largement reconnues. Lorsqu'une expérience personnelle est mentionnée, cela est indiqué explicitement.

En bref

Les mots de passe créés par des humains suivent des schémas prévisibles que les attaquants exploitent avec des attaques par dictionnaire et par règles.
Même des mots de passe qui semblent « astucieux », comme L!nk3d1n2020, tombent en quelques minutes car ils suivent des règles de substitution courantes.
Les mots de passe générés par CSPRNG suppriment les outils les plus puissants de l'attaquant : les dictionnaires et les règles.
Utilisez un gestionnaire de mots de passe avec un mot de passe maître fort, activez le MFA, et ne réutilisez jamais un mot de passe.

Réponse courte

Après quinze ans passés dans les tests d'intrusion, je peux confirmer que les mots de passe créés par des humains sont systématiquement le maillon le plus faible des audits de sécurité. Les attaquants ne devinent pas les mots de passe un par un : ils automatisent leurs attaques à l'aide de dictionnaires contenant des milliards de mots de passe réels et de transformations basées sur des règles. Des mots de passe comme Tiger2021! tombent en quelques minutes parce qu'ils suivent des schémas que les humains ne peuvent s'empêcher d'utiliser : un mot, une majuscule, des chiffres à la fin. La seule vraie défense consiste à éliminer entièrement cette prévisibilité humaine grâce à une génération aléatoire cryptographiquement sécurisée.

Pour une génération rapide, utilisez le Générateur de Mots de Passe. Pour approfondir le sujet, lisez L'Entropie des Mots de Passe Expliquée, Gestionnaire de Mots de Passe vs Navigateur, Quelle Longueur Doit Avoir un Mot de Passe ?, et Est-il Sûr d'Utiliser des Générateurs en Ligne ?.

Une violation que la plupart des gens ont oubliée — mais ne devraient pas

En 2012, LinkedIn a subi ce qui était à l'époque l'une des plus grandes violations de données de l'histoire. Des analyses ultérieures ont montré qu'environ 167 millions de comptes avaient été exposés, dont environ 117 millions incluaient des adresses e-mail et des empreintes (hash) de mots de passe.

Lorsque les équipes de sécurité ont examiné les mots de passe cassés, les résultats étaient douloureusement familiers. password1, linkedin123 et autres choix peu réfléchis sont apparus par millions. Plus intéressant — et plus inquiétant — même des mots de passe qui semblaient astucieux, comme L!nk3d1n2020, sont tombés rapidement. Pourquoi ? Parce qu'ils suivaient des schémas que les humains utilisent presque toujours.

Je travaille depuis plus de quinze ans dans les tests d'intrusion en cybersécurité. Mon travail consiste à m'introduire dans des systèmes — légalement — en utilisant les mêmes méthodes que les véritables attaquants. Les mots de passe ne sont pas un sujet théorique pour moi : c'est quelque chose que je vois échouer en pratique tous les jours.

Comment les mots de passe sont réellement attaqués

Pour comprendre pourquoi certains mots de passe résistent et d'autres non, il faut se placer du côté de l'attaquant. Les attaquants ne devinent pas les mots de passe un par un : ils automatisent tout.

Attaques par dictionnaire : Elles s'appuient sur d'immenses collections de mots de passe réels, de mots, de phrases et de variantes accumulées au fil d'années de violations de données. Ces dictionnaires contiennent des milliards d'entrées et ne cessent de croître.
Attaques basées sur des règles : Elles sont redoutablement efficaces contre la créativité humaine. Les outils appliquent automatiquement des habitudes courantes : remplacer « o » par « 0 », ajouter « 123 » ou « ! » à la fin, mettre une majuscule au début, insérer une année, etc. La plupart des mots de passe « astucieux » tombent exactement à cette étape.
Force brute : Essayer toutes les combinaisons possibles. Cela paraît effrayant, mais face à des mots de passe longs et véritablement aléatoires, stockés avec des algorithmes de hachage modernes, la force brute devient rapidement impraticable, simplement parce que cela prend trop de temps.

Le problème des mots de passe auto-créés

Nous aimons les mots de passe que nous inventons nous-mêmes parce qu'ils semblent personnels et faciles à retenir. Malheureusement, la recherche — et l'expérience — montrent qu'ils sont aussi hautement prévisibles.

Les schémas se répètent : Des études à grande échelle, y compris des travaux de l'université Carnegie Mellon, montrent systématiquement les mêmes structures : un mot ou un nom, une majuscule au début, des chiffres ou des symboles à la fin. Le contenu change, mais la forme reste la même. Une fois que les attaquants ont modélisé cette structure, le cassage devient nettement plus rapide.
La longueur atteint un plafond : La plupart des mots de passe créés par les utilisateurs se situent entre 8 et 10 caractères. Non pas parce que les gens ignorent qu'un mot de passe plus long est plus sûr, mais parce que la mémoire nous pousse naturellement vers des chaînes plus courtes.
Les informations personnelles s'y infiltrent : Dates de naissance, noms d'animaux de compagnie, anniversaires — les gens les utilisent constamment. Et à l'ère des réseaux sociaux, les attaquants n'ont souvent même pas besoin de deviner.

Pourquoi les mots de passe aléatoires changent la donne

Un mot de passe créé par un générateur de mots de passe aléatoires sécurisé — quelque chose comme r8$NpL#2qW9 — n'est pas simplement « plus complexe ». Il est fondamentalement différent.

Chaque caractère est choisi indépendamment. Il n'y a ni mot, ni substitution, ni logique humaine. Ce seul fait supprime les outils les plus puissants de l'attaquant : les dictionnaires et les règles.

D'un point de vue numérique :

Un mot de passe de 8 caractères composé uniquement de minuscules offre environ 26⁸ possibilités (~209 milliards).
En ajoutant les majuscules, les chiffres et les symboles, on atteint soudainement environ 95⁸ (~6 quadrillions).
En poussant à 12 caractères, l'espace devient astronomiquement grand.

Mais le véritable avantage n'est pas seulement la taille : c'est que les mots de passe aléatoires forcent les attaquants à recourir à la force brute, ce qui est lent, coûteux, et souvent pas rentable.

À quoi ressemble le cassage de ces mots de passe en pratique

Du point de vue d'un testeur d'intrusion, la différence est frappante :

Type de mot de passe	Exemple	Méthode de l'attaquant	Temps de cassage
Auto-créé	`Tiger2021!`	Dictionnaire & basé sur des règles	Minutes à heures
Généré aléatoirement	`r8$NpL#2qW9`	Force brute pure	Années / Siècles

Si le mot de passe est correctement haché avec un algorithme comme bcrypt ou Argon2, la force brute contre la chaîne aléatoire implique un délai qui rend l'attaque irréalisable. Dans la plupart des cas réels, l'attaquant passe simplement à autre chose.

Le vrai compromis : humains contre aléatoire

La plus grande faiblesse des mots de passe aléatoires n'est pas la sécurité — c'est l'utilisabilité. Les humains sont très mauvais pour retenir des chaînes dénuées de sens. C'est là que se trouve la tension centrale de la sécurité des mots de passe :

Les mots de passe que les humains retiennent bien ont tendance à être faibles.
Les mots de passe robustes ont tendance à être impossibles à mémoriser.

Les pratiques de sécurité modernes existent précisément pour combler cet écart.

Ce qui fonctionne vraiment aujourd'hui

Sur la base du consensus du secteur et de l'expérience de terrain :

Utilisez un gestionnaire de mots de passe : Des outils comme Bitwarden ou 1Password vous permettent de ne retenir qu'un seul mot de passe maître fort, tandis que tout le reste est long, aléatoire et unique. C'est largement considéré comme la meilleure option pour la plupart des gens.
Si vous devez mémoriser, misez sur la longueur : Une suite de mots sans rapport entre eux (par exemple coffee-zebra-battery-stapler) résiste souvent mieux aux attaques — et est plus facile à retenir — qu'un mot de passe court et bourré de symboles.
Ne réutilisez jamais un mot de passe : Dès qu'un site est compromis, la réutilisation transforme cela en effet domino.
Activez le MFA : E-mail, banque, comptes cloud — utilisez toujours l'authentification multi-facteurs.
Vérifiez votre exposition aux violations : Des services comme Have I Been Pwned vous permettent de vérifier si votre adresse e-mail apparaît dans des jeux de données de violations connues.

Points clés à retenir

Les mots de passe humains suivent des schémas structurels répétables (mot + chiffre + symbole).
Les attaques par dictionnaire contiennent des milliards de mots de passe réels issus de violations de données.
Les attaques basées sur des règles appliquent automatiquement des substitutions courantes (o→0, a→@, ajout de 123 ou !).
Les mots de passe aléatoires de 12 caractères ou plus forcent les attaquants à recourir à la force brute, ce qui est irréalisable en pratique face au hachage moderne.
Les gestionnaires de mots de passe comblent l'écart entre sécurité et facilité d'utilisation.

En résumé

La créativité humaine ne fait pas le poids face aux outils d'attaque automatisés. Les seuls mots de passe qui résistent à de véritables tests d'intrusion sont ceux générés par un CSPRNG, où chaque caractère est indépendant et imprévisible. Ce n'est pas un débat philosophique sur qui, des humains ou des machines, crée de « meilleurs » mots de passe : c'est une question de gestion des risques. Les ordinateurs sont doués pour générer de l'aléatoire, et les humains sont doués pour protéger un secret unique et réagir à des invites comme le MFA. Laissez chacun faire ce qu'il fait de mieux.

Prêt à renforcer votre sécurité ? Générez dès maintenant un mot de passe fort et hors ligne pour protéger vos comptes immédiatement.

Pourquoi vous pouvez faire confiance à PassGenerate

Les mots de passe sont générés localement dans votre navigateur grâce à l'API Web Crypto.
Aucun mot de passe n'est transmis à un serveur.
Utilise un générateur de nombres pseudo-aléatoires cryptographiquement sécurisé (CSPRNG).
Suit les meilleures pratiques de sécurité modernes recommandées par le NIST et l'OWASP.

Références

NIST SP 800-63B – Lignes directrices sur l'identité numérique
OWASP Password Storage Cheat Sheet
OWASP Authentication Cheat Sheet
Documentation MDN sur l'API Web Crypto
Recommandations de la CISA sur les mots de passe

Pourquoi les attaquants adorent les mots de passe créés par des humains