Tu cliques sur « mot de passe oublié » pour la troisième fois du mois. Tu attends le mail, tu en choisis un nouveau, et comme il faut s’en souvenir, il ressemble beaucoup à l’ancien. Ce bricolage coûte du temps tous les jours et il ne protège presque rien. Ce guide te fait tester la solidité de ton mot de passe, en générer un vrai, puis choisir l’outil qui les retient à ta place, gratuit ou payant.
Combien de temps perds-tu à cause de tes mots de passe ?
Le vrai coût d’un mot de passe retenu de tête, c’est la boucle de réinitialisation : tu oublies, tu redemandes, tu en recrées un que tu pourras retenir, donc un mot de passe faible ou déjà utilisé ailleurs. Personne ne mesure ces minutes, mais tout le monde les reconnaît : le mail de réinitialisation qui arrive dans les spams, le code envoyé sur un ancien numéro, le compte bloqué après trois essais juste avant une réunion.
Le second coût est moins visible. Quand on doit tout retenir, on finit par réutiliser le même mot de passe, avec une variante pour faire bonne figure. Le jour où un seul site fuit, la porte s’ouvre sur tous les autres. La CNIL demande d’ailleurs aux sites victimes d’une fuite de conseiller à leurs utilisateurs de changer leur mot de passe sur les autres services s’ils l’avaient réutilisé. Ajoute la peur de tout perdre si tu notes tes codes dans un carnet ou un fichier, et tu as les trois raisons de changer de méthode.
Combien de temps faudrait-il pour casser ton mot de passe ?
Le temps de cassage, c’est le temps qu’il faut à un attaquant pour essayer toutes les combinaisons possibles une fois qu’il a volé la base de mots de passe d’un site. Il dépend de deux choses : le nombre de combinaisons, qui grimpe avec la longueur et la variété des signes, et la vitesse de son matériel. Le tableau 2026 de Hive Systems pose une hypothèse précise : 16 cartes graphiques RTX 5090, sur un site qui protège ses mots de passe avec l’algorithme bcrypt. Dans ces conditions, 8 minuscules tirées au hasard tiennent environ 2 semaines, et 12 caractères de tous types tiennent des milliards d’années.
Le testeur : combien de temps tiendrait ton mot de passe ?
Rien ne quitte ta page. Le calcul se fait dans ton navigateur : aucune requête, aucun enregistrement. Tape quand même un mot de passe qui ressemble au tien (même longueur, même genre de mots et de chiffres), jamais le vrai.
Ce chiffre est un plafond : si tu as inventé ce mot de passe toi-même, un attaquant le trouvera sans doute bien plus vite. Seul un mot de passe tiré au hasard tient ces durées.
Le générateur : un vrai mot de passe tiré au hasard
Comment le calcul est fait (et ses limites)
Durée = nombre de combinaisons à essayer, divisé par 150 000 essais par seconde. Cette vitesse est calée sur le tableau 2026 de Hive Systems : 16 cartes graphiques RTX 5090, sur un site qui protège ses mots de passe avec bcrypt (facteur 10). C'est une hypothèse datée, pas une mesure de ton cas.
Si ton mot de passe contient un mot courant, une année, une suite (abc, azerty, 123) ou une répétition, le testeur compte ce morceau comme un seul essai parmi une liste, parce que c'est ce que fait un attaquant : il essaie les motifs prévisibles avant le hasard. Sa liste de mots est courte ; celle d'un attaquant contient des millions d'entrées, donc le vrai chiffre peut être plus bas.
Deux cas où le résultat ne vaut rien : un site qui stocke mal ses mots de passe (un hachage rapide comme MD5), où tout va beaucoup plus vite ; et un mot de passe qui a déjà fuité, qui tombe tout de suite, quelle que soit sa longueur.
Le tableau de Hive Systems suppose un mot de passe tiré au hasard, ce que presque personne ne fait. Hive Systems le dit lui-même : un mot de passe courant, réutilisé ou bâti sur un mot du dictionnaire peut tomber instantanément, parce que l’attaquant essaie d’abord les listes de fuites et les motifs prévisibles. Et si le site stocke mal ses mots de passe, avec un hachage rapide comme MD5, toutes ces durées fondent. Le testeur ci-dessus donne donc un ordre de grandeur, pas une garantie.
Comment fabriquer un mot de passe vraiment solide ?
Un mot de passe solide est un mot de passe que personne ne peut deviner parce qu’il a été tiré au hasard, et assez long pour que le hasard suffise. La CNIL fixe un repère chiffré dans sa recommandation de 2022 : 80 bits d’entropie pour un mot de passe utilisé sans autre protection. Elle traduit ce seuil en trois recettes équivalentes.
- 12 caractères au minimum, avec des majuscules, des minuscules, des chiffres et des caractères spéciaux.
- 14 caractères au minimum, avec des majuscules, des minuscules et des chiffres, sans caractère spécial obligatoire.
- Une phrase de passe d’au moins 7 mots, tirés au hasard, plus facile à taper et à retenir.
Le piège, c’est de croire qu’une longueur suffit. « Soleil2026! » fait 11 caractères et coche toutes les cases d’un formulaire, mais il est construit avec un mot, une année et un symbole posé au bout : un attaquant essaie ces motifs avant le hasard. C’est pour ça que la bonne méthode n’est pas d’inventer, mais de laisser un générateur tirer les caractères pour toi, comme celui du testeur, ou mieux, celui de ton gestionnaire, qui l’enregistre directement sans passer par le presse-papiers. Tu n’as alors à retenir qu’un seul secret : celui qui ouvre ton gestionnaire.
Que fait un gestionnaire de mots de passe, et est-ce risqué de tout mettre au même endroit ?
Un gestionnaire de mots de passe est un coffre chiffré qui retient un mot de passe différent pour chaque site, le remplit à ta place et n’a besoin que d’un seul secret pour s’ouvrir. Concrètement, il propose un mot de passe aléatoire quand tu crées un compte, l’enregistre, puis le saisit tout seul au bon endroit. La CNIL le cite parmi les bonnes pratiques.
La question du « tout au même endroit » est légitime. Le risque existe, mais il faut le comparer à la situation de départ : le même mot de passe sur trente sites, c’est déjà une seule clé pour tout, sauf qu’elle se trouve dans trente bases de données que tu ne contrôles pas. Avec un gestionnaire, la clé unique devient un secret long que tu ne tapes nulle part ailleurs, protégé en plus par une double authentification. Aucun outil n’est inviolable, et c’est pour ça que le mot de passe maître doit être le plus solide de ta vie : une phrase de 7 mots au moins, tirés au hasard, que tu ne réutilises jamais.
Le vrai risque, en pratique, c’est l’hameçonnage : une fausse page qui te demande de taper ton mot de passe. Un gestionnaire t’aide aussi là-dessus : il range chaque mot de passe avec l’adresse du site où tu l’as créé, donc s’il ne te propose rien sur une page qui prétend être ta banque, méfie-toi. Installe-le uniquement depuis le site officiel de l’éditeur ou le magasin d’applications, en vérifiant le nom de l’éditeur : de fausses extensions imitent les gestionnaires les plus connus, comme ce faux Bitwarden diffusé en novembre 2024 par de fausses publicités Facebook, documenté par Bitdefender. On a détaillé les autres pièges dans notre guide sur les arnaques qui utilisent l’IA.
Navigateur, Apple, Bitwarden, Proton Pass ou 1Password : lequel choisir ?
Le bon gestionnaire est celui qui marche sur tous les appareils que tu utilises vraiment, et que tu continueras d’utiliser dans un an. Pour la plupart des gens, une version gratuite suffit. Voici ce que propose chacun, prix relevés sur les pages officielles le 26 octobre 2026.
| Outil | Gratuit | Payant | Pour qui |
|---|---|---|---|
| Chrome (Google) | Oui, intégré au navigateur, synchronisé avec ton compte Google | Aucune offre payante | Tu vis dans Chrome et sur Android |
| App Mots de passe (Apple) | Oui, depuis iOS 18 et macOS Sequoia | Aucune offre payante | Tu n’as que des appareils Apple |
| Microsoft Edge | Oui, synchronisé avec ton compte Microsoft | Aucune offre payante | Tu utilisais Microsoft Authenticator pour tes mots de passe |
| Bitwarden | Oui : mots de passe et appareils illimités, clés d’accès | Premium 19,80 dollars par an, hors taxes (prix affiché en dollars) | Tu mélanges Windows, Android, Mac |
| Proton Pass | Oui : identifiants et appareils illimités, clés d’accès, 10 alias mail | Pass Plus 35,88 € par an (prix relevé le 26/10/2026, remise de lancement possible) | Tu veux aussi masquer ton adresse mail |
| 1Password | Non, essai gratuit de 14 jours | 3,65 € par mois en facturation annuelle, 2,74 € la première année pour un nouveau client (taxes non précisées sur la page) | Tu veux l’outil le plus guidé, et tu acceptes de payer |
Un piège à connaître si tu étais sur Microsoft Authenticator : depuis juillet 2025, l’application ne remplit plus tes mots de passe. Ils sont restés sur ton compte Microsoft et s’utilisent dans Edge, et les cartes bancaires enregistrées dans Authenticator ont été supprimées. L’application sert toujours pour la double authentification et pour les clés d’accès. Si tu ne veux pas d’Edge, exporte tes mots de passe depuis ses paramètres et importe le fichier dans un autre gestionnaire.
Si tu hésites entre les offres payantes de Proton et l’écosystème Google, on a comparé les deux pour un usage pro dans Proton face à Google Workspace. Pour un usage perso, commence par une version gratuite : tu pourras exporter tes mots de passe et changer d’outil plus tard (les clés d’accès, elles, ne se transfèrent pas encore partout).
Les clés d’accès (passkeys) vont-elles remplacer tes mots de passe ?
Une clé d’accès, ou passkey, est un identifiant cryptographique lié à un site précis, que ton téléphone ou ton ordinateur débloque avec ton empreinte, ton visage ou le code de ton écran, sans aucun mot de passe à taper. Le site ne garde aucun secret réutilisable : s’il se fait voler sa base, il n’y a rien à casser. Et comme la clé est liée au vrai site, une fausse page ne peut pas te la soutirer. C’est pour ça que l’alliance FIDO, qui a écrit le standard, les présente comme résistantes à l’hameçonnage. La même protection existe sous forme d’une petite clé USB, à condition d’en avoir deux : notre guide de la clé de sécurité t’explique laquelle choisir.
Côté matériel, tu as probablement déjà ce qu’il faut. Pour ton compte Google, il faut au minimum Windows 10, macOS Ventura, Android 9 ou iOS 16, et un navigateur récent (Chrome, Safari, Edge ou Firefox) ; ailleurs, chaque site fixe ses conditions. Ton empreinte reste sur ton appareil. La clé elle-même peut être synchronisée entre tes appareils par ton gestionnaire, ou rester liée à un seul appareil.
Ce qui coince encore : tous les sites ne les proposent pas, et chaque site te les présente à sa façon. La bonne stratégie, c’est de les activer là où on te les propose, en commençant par tes comptes les plus sensibles, et de garder un gestionnaire pour tout le reste. Tous les gestionnaires du tableau rangent tes clés d’accès au même endroit que tes mots de passe, Chrome et Edge compris (Edge seulement sous Windows pour l’instant, depuis sa version 142).
Comment passer au gestionnaire en une soirée sans rien perdre ?
La migration vers un gestionnaire se fait dans un ordre précis : d’abord protéger le coffre, ensuite y ranger tes comptes critiques, et seulement après changer les mots de passe faibles. Inutile de tout refaire le premier soir. Si tu choisis le gestionnaire de Chrome, d’Apple ou d’Edge, il n’y a pas de mot de passe maître : c’est ton compte Google, Apple ou Microsoft qui protège le coffre, donc les étapes 1 et 2 s’appliquent à ce compte.
- Choisis ton mot de passe maître : une phrase de 7 mots au moins, tirés au hasard (le générateur de phrase de passe de ton gestionnaire le fait pour toi), jamais une phrase qui a du sens ni une citation connue. Écris-la et garde ce papier chez toi, en lieu sûr (pas dans ton portefeuille, ni en photo sur ton téléphone) : c’est ta sortie de secours.
- Active la double authentification sur le compte du gestionnaire. C’est le compte qui protège tous les autres. Note le code de récupération qu’on te donne sur le même papier, jamais dans le coffre lui-même.
- Importe ce que ton navigateur connaît déjà. La plupart des gestionnaires lisent l’export de Chrome, Edge ou Safari. Le fichier exporté contient tous tes mots de passe en clair : supprime-le dès que l’import est fait, et vide la corbeille.
- Change d’abord ta messagerie et ta banque, avec un mot de passe généré. Ta boîte mail sert à réinitialiser tout le reste : c’est elle que l’attaquant vise. Si tu gardes un téléphone simple pour tes codes, notre guide sur le passage à un téléphone sans internet explique comment ne pas perdre l’accès à ta banque.
- Remplace les autres au fil de l’eau. Chaque fois qu’un site te demande de te connecter, laisse le gestionnaire générer un nouveau mot de passe. En quelques semaines, les doublons ont disparu.
Dernier geste, souvent oublié : prévois ta sortie de secours. Note où se trouve ta phrase maître et comment récupérer ton coffre si tu perds ton téléphone. C’est la même logique que pour tes fichiers, qu’on détaille dans notre guide pour sauvegarder sans y penser. Et si tu codes, la même discipline vaut pour tes clés d’API : GitHub bloque désormais celles qui partent en ligne, mais mieux vaut qu’elles n’y arrivent jamais. Même prudence pour tes papiers : un bail ou une fiche de paie n’a pas besoin de passer par un site inconnu, car modifier un PDF gratuitement se fait avec ce que ton ordinateur a déjà.
En résumé : arrêter de retenir tes mots de passe
Un mot de passe retenu de tête finit toujours faible ou réutilisé, et c’est ce qui fait tomber plusieurs comptes d’un coup. La méthode qui marche tient en trois gestes : un gestionnaire qui retient un mot de passe différent par site, un générateur qui les tire au hasard (12 caractères de tous types au minimum selon la CNIL, mieux encore 16), et une seule phrase de passe de 7 mots tirés au hasard pour ouvrir le coffre, protégée par une double authentification. Le gestionnaire de ton navigateur suffit si tu restes dans un seul univers ; Bitwarden ou Proton Pass, gratuits, si tu mélanges les systèmes. Active les clés d’accès là où on te les propose : c’est la seule méthode qui ne laisse rien à voler au site.
Questions fréquentes sur les mots de passe et les gestionnaires
Un gestionnaire de mots de passe gratuit est-il assez sûr ?
Oui, pour un usage personnel. Les versions gratuites de Bitwarden et Proton Pass gèrent un nombre illimité de mots de passe et d’appareils, et celles de Chrome et d’Apple sont intégrées à ton système. Ce qui fait la sécurité, c’est surtout la solidité de ton mot de passe maître et la double authentification.
Quelle longueur pour un mot de passe solide ?
La CNIL vise 80 bits d’entropie : au moins 12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux, ou 14 caractères sans caractère spécial, ou une phrase de passe d’au moins 7 mots tirés au hasard. Tiré au hasard par un générateur, 16 caractères te laissent une marge confortable.
Le testeur de cette page enregistre-t-il ce que je tape ?
Non. Le calcul se fait dans ton navigateur, sans aucune requête ni aucun enregistrement. Par principe, tape quand même un mot de passe qui ressemble au tien plutôt que le vrai : on ne colle jamais un vrai mot de passe dans un outil en ligne.
Que se passe-t-il si j’oublie mon mot de passe maître ?
Avec la plupart des gestionnaires, personne ne peut le retrouver à ta place, puisque ton coffre est chiffré avec. C’est pour ça qu’il faut prévoir une sortie de secours dès le premier jour : la phrase notée sur papier en lieu sûr, et les options de récupération que propose ton outil.
Les clés d’accès remplacent-elles déjà les mots de passe ?
Pas partout. Pour ton compte Google, il faut au minimum Windows 10, macOS Ventura, Android 9 ou iOS 16 et un navigateur récent ; ailleurs, chaque site décide de les proposer ou non. Active-les là où c’est possible, et garde un gestionnaire pour le reste.
Microsoft Authenticator peut-il encore servir de gestionnaire de mots de passe ?
Non. Depuis juillet 2025, il ne remplit plus les mots de passe : ils sont restés sur ton compte Microsoft et s’utilisent dans Edge, et les cartes bancaires enregistrées ont été supprimées. Authenticator sert toujours pour la double authentification et les clés d’accès. Si tu préfères un autre navigateur, exporte tes mots de passe depuis Edge vers un gestionnaire dédié.