La longueur avant tout
Le facteur qui influe le plus sur la robustesse d'un mot de passe est sa longueur. Chaque caractère supplémentaire multiplie le nombre de combinaisons possibles par la taille du jeu de caractères, si bien que la robustesse croît de façon exponentielle.
On recommande au moins 12 caractères pour les comptes en ligne, et 16 ou plus pour les comptes importants comme la messagerie ou la finance. Avec une longueur suffisante, on peut se permettre un peu moins de caractères spéciaux tout en restant sûr.
Mélangez les types de caractères
En combinant majuscules, minuscules, chiffres et symboles, vous élargissez le vivier de caractères et augmentez l'entropie à longueur égale.
- Majuscules A–Z, minuscules a–z
- Chiffres 0–9
- Symboles ! @ # $ % ^ & *
- Si vous devez le recopier à la main, excluez les caractères ambigus comme 0/O, 1/l/I
Un mot de passe différent par site
Si un mot de passe fuite quelque part, l'attaquant essaie la même combinaison sur d'autres sites (bourrage d'identifiants). Utiliser un mot de passe entièrement différent pour chaque site est la défense la plus efficace.
Comme il est impossible de mémoriser des dizaines de mots de passe uniques, il est recommandé d'utiliser en complément un gestionnaire de mots de passe.
Ce qu'il faut éviter
Les éléments suivants sont vulnérables au devinage et au cassage, il faut donc les éviter.
- Un mot du dictionnaire, un nom, une date de naissance ou d'autres données personnelles
- Des valeurs courantes comme password, 123456, qwerty
- Des motifs de touches voisines comme asdf, 1q2w3e
- Réutiliser un ancien mot de passe en changeant seulement le chiffre à la fin