Comment créer un mot de passe solide : les règles recommandées par la CNIL

Un mot de passe trop court, trop facile à deviner ou réutilisé d’un site à l’autre reste l’une des portes d’entrée les plus simples pour un pirate. La Commission nationale de l’informatique et des libertés (CNIL) a fixé ses règles dans une recommandation sur les mots de passe, adoptée par la délibération n° 2022-100 du 21 juillet 2022 et publiée le 14 octobre 2022. Ce texte remplace la recommandation précédente, qui datait de 2017. Voici ce qu’il prévoit et comment l’appliquer à vos comptes, personnels comme professionnels.

Les trois formules retenues par la CNIL

La CNIL raisonne en « entropie », une mesure de la difficulté à deviner un mot de passe. Lorsqu’un compte n’est protégé que par son mot de passe, comme sur un forum ou un blog, elle fixe un niveau minimal de 80 bits. Elle donne trois exemples qui atteignent ce niveau :

• au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, ces derniers étant pris dans une liste d’au moins 37 signes possibles ;
• au moins 14 caractères avec majuscules, minuscules et chiffres, sans caractère spécial obligatoire ;
• une phrase de passe d’au moins 7 mots.

Ces trois formules offrent une protection équivalente : choisissez celle que vous retiendrez le plus facilement. Le ministère de l’Intérieur, dans sa fiche sur la sécurité des comptes de réseaux sociaux mise à jour le 17 mars 2026, retient lui aussi un minimum de 12 caractères combinant majuscules, minuscules, chiffres et caractères spéciaux.

Quand un mot de passe plus court est admis

L’exigence varie selon les protections qui entourent le compte. Si le service limite les essais de connexion, par exemple en temporisant l’accès après plusieurs échecs ou en ajoutant un captcha, comme sur un site de commerce en ligne, un compte d’entreprise ou un webmail, l’entropie minimale descend à 50. Si l’accès suppose en plus un objet que vous détenez, comme une carte bancaire ou un téléphone, elle tombe à 13, avec un blocage au bout de 3 tentatives échouées. Dans ses conseils pour un bon mot de passe, la CNIL rappelle de la même façon qu’un mot de passe peut être plus court lorsque le compte dispose de sécurités complémentaires.

Créer et gérer ses mots de passe en six étapes

1. Choisir sa formule : 12 caractères de quatre types, 14 caractères de trois types ou une phrase d’au moins 7 mots.
2. N’y glisser aucune information personnelle. La CNIL prend l’exemple du nom de votre chien ou de votre film préféré : personne ne doit pouvoir deviner le mot de passe à partir de ce qu’il sait de vous.
3. Utiliser une astuce de mémorisation. La CNIL propose de retenir une phrase et de n’en garder que la première lettre de chaque mot, en y ajoutant des chiffres et des caractères spéciaux.
4. Prévoir un mot de passe par compte. Banque, messagerie, réseau social : chaque compte sensible doit avoir un mot de passe propre et unique, pour qu’une fuite sur un site n’ouvre pas tous les autres en cascade.
5. Confier le tout à un gestionnaire de mots de passe. Ce logiciel chiffre l’ensemble de vos mots de passe derrière un seul mot de passe « maître », le seul à retenir. La CNIL cite notamment KeePass, dont la sécurité a été évaluée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI).
6. Activer la double authentification dès que le service la propose : en cas de connexion depuis un appareil inconnu, vous êtes prévenu par SMS ou par courriel et vous pouvez refuser l’accès.

Les habitudes à abandonner

• Changer de mot de passe à date fixe sans raison. Pour la CNIL, forcer un changement à intervalle régulier n’est pas une mesure réellement efficace ; elle ne le recommande plus que pour les comptes d’administration.
• Noter ses mots de passe sur un post-it, dans un fichier texte, dans son téléphone ou dans sa messagerie : ces supports ne sont pas conçus pour les conserver en sécurité.
• Les enregistrer dans le navigateur d’un ordinateur partagé.
• Réutiliser le même mot de passe partout : une seule fuite suffit alors à compromettre plusieurs comptes.

Entreprises : ce que la CNIL attend des organismes

La recommandation de 2022 s’adresse d’abord aux organismes qui gèrent des comptes d’utilisateurs, qu’il s’agisse de clients ou de salariés. Elle leur demande de ne jamais stocker les mots de passe en clair, mais de les transformer avec une fonction cryptographique non réversible utilisant un sel ou une clé ; elle cite scrypt et Argon2. En cas de compromission, le responsable du traitement doit notifier la CNIL dans un délai n’excédant pas 72 heures, imposer le changement du mot de passe à la prochaine connexion et recommander aux personnes de changer celui d’autres services si elles l’y avaient réutilisé. La CNIL rappelle que les manquements peuvent être sanctionnés jusqu’à 4 % du chiffre d’affaires mondial ou 20 millions d’euros. Pour vérifier une situation particulière, son site propose un outil qui évalue la robustesse d’une politique de mots de passe.

Questions fréquentes

Un mot de passe court peut-il suffire ?

Pas pour un compte protégé par le seul mot de passe : les trois exemples de la CNIL commencent à 12 caractères. Une longueur plus faible n’est acceptable que si le service ajoute d’autres protections, comme la limitation des essais ou un objet en votre possession.

Faut-il changer régulièrement son mot de passe ?

Non, pas pour un compte ordinaire : la CNIL ne recommande plus le renouvellement périodique, sauf pour les comptes d’administration. Changez-le en revanche sans attendre si vous soupçonnez une fuite ou un piratage, ainsi que sur les autres comptes où vous l’aviez réutilisé.

Une phrase de passe est-elle aussi sûre qu’un mot de passe compliqué ?

Oui. Pour la CNIL, une phrase d’au moins 7 mots atteint le même niveau de sécurité qu’un mot de passe de 12 caractères mêlant quatre types de signes.

Que faire si l’un de mes comptes a été piraté ?

Le ministère de l’Intérieur conseille de changer le mot de passe, d’activer la double authentification et de déconnecter les autres appareils ou sessions ouverts. Prévenez aussi vos contacts, votre banque si nécessaire, et signalez le piratage au service concerné.

Un gestionnaire de mots de passe est-il une bonne solution ?

La CNIL le présente comme un moyen d’avoir des mots de passe longs, complexes et tous différents sans devoir les retenir. Tout repose alors sur le mot de passe maître, qui doit donc suivre lui-même les règles ci-dessus.

Sources

• Mots de passe : recommandations pour maîtriser sa sécurité — CNIL, 2022-10-14
• Les conseils de la CNIL pour un bon mot de passe — CNIL, 2017-01-26
• Comment bien sécuriser vos comptes sur les réseaux sociaux ? — Ma Sécurité (ministère de l'Intérieur), 2026-03-17