Choisissez la longueur et les caractères : le mot de passe sûr apparaît aussitôt. Il est créé dans votre navigateur et n’est envoyé nulle part.
Un mot de passe sûr compte aujourd’hui au moins 12 caractères, et davantage s’il est la seule protection du compte. La CNIL retient, pour un mot de passe utilisé seul, par exemple 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, ou 14 caractères sans caractère spécial obligatoire. L’ANSSI situe un niveau de sensibilité « moyen à fort » entre 12 et 14 caractères, et « fort à très fort » à partir de 15.
La longueur compte plus que la complexité : chaque caractère ajouté multiplie le nombre de combinaisons qu’un attaquant doit essayer. Le générateur ci-dessus produit 16 caractères par défaut.
| Règle | Pourquoi |
|---|---|
| Au moins 12 caractères, plutôt 16 | chaque caractère multiplie les combinaisons |
| Plusieurs types de caractères | majuscules, minuscules, chiffres, caractères spéciaux — plus de choix par position, plus d’essais nécessaires |
| Pas de mots, de noms ni de dates de naissance | ils sont testés en premier, avec des dictionnaires et des modèles courants |
| Un mot de passe par compte | une fuite chez un service n’ouvre pas tous les autres |
La recommandation de la CNIL sur les mots de passe (délibération n° 2022-100 du 21 juillet 2022) ne fixe pas une longueur unique : elle demande une entropie minimale, qui dépend des autres protections du compte. Ses exemples traduisent ces seuils en règles concrètes.
| Cas | Entropie minimale | Exemples de règles |
|---|---|---|
| Mot de passe seul | 80 bits | 12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux ; ou 14 caractères avec majuscules, minuscules et chiffres ; ou phrase de passe de 7 mots |
| Mot de passe et restriction d’accès au compte (temporisation, blocage, captcha) | 50 bits | 8 caractères avec 3 des 4 types ; ou phrase de passe de 5 mots ; ou 16 chiffres |
| Code de déverrouillage d’un matériel détenu par la personne (carte à puce) | 13 bits | code de 4 chiffres |
Source : CNIL, délibération n° 2022-100 du 21 juillet 2022, vérifiée le 01.11.2026. La CNIL précise que ces niveaux sont des minimums et qu’on ne devrait plus imposer de renouvellement périodique à tous les utilisateurs, sauf pour les comptes d’administration.
Un mot de passe se compose de majuscules, de minuscules, de chiffres et de caractères spéciaux : ! @ # $ % ^ & * ( ) - _ = + [ ] { } ; : , . ? /. Plus il y a de types, plus il y a de possibilités par position : chiffres seuls — 10, minuscules — 26, les quatre types — environ 94.
Évitez les lettres accentuées (é, è, à, ç) : elles ne sont pas sur tous les claviers, et un compte Google n’accepte que les caractères ASCII standard, sans espace au début ni à la fin.
Une suite de 6 à 7 mots tirés au hasard et reliés par des tirets se retient plus facilement qu’une chaîne de caractères et atteint pourtant 40 à 50 caractères. Point essentiel : les mots doivent être aléatoires — pas une citation ni un vers de chanson, car ces phrases figurent dans les dictionnaires d’attaque.
Le mode « Phrase de mots » ci-dessus tire les mots au hasard dans un dictionnaire d’environ 2 770 mots français, écrits sans accents : la phrase est donc acceptée aussi par un compte Google. Avec 7 mots, elle atteint environ 80 bits, soit le niveau que la CNIL demande pour un mot de passe utilisé seul.
Nombre de combinaisons = (nombre de caractères possibles) puissance (longueur). Un mot de passe de 6 chiffres a 10⁶ = 1 000 000 de combinaisons : un ordinateur les essaie instantanément. 12 caractères parmi lettres, chiffres et caractères spéciaux donnent environ 94¹² ≈ 4,8 × 10²³ combinaisons. La jauge sous le générateur affiche cette estimation en bits et en temps de cassage.
| Mot de passe | Bits | Temps de cassage |
|---|---|---|
| 8 chiffres | 27 | instantané |
| 8 minuscules | 38 | 10 secondes |
| 8 caractères de tous types | 52 | 1 jour |
| 12 caractères de tous types | 77 | 297 000 ans |
| 16 caractères de tous types | 103 | plus longtemps que l’âge de l’Univers |
| Phrase de 6 mots du générateur | 69 | environ 700 ans |
| Phrase de 7 mots du générateur | 80 | environ 2 millions d’années |
Temps moyen pour un essai exhaustif à 10 milliards d’essais par seconde — le générateur ci-dessus calcule de la même façon. La réussite d’une attaque réelle dépend aussi de la manière dont le service stocke les mots de passe et s’il limite les tentatives de connexion.
Saisissez le mot de passe dans le champ « Vérifier votre mot de passe » : l’évaluation se fait dans votre navigateur et le mot de passe n’est envoyé nulle part. Signes de faiblesse : moins de 12 caractères, un mot du dictionnaire, une date, un prénom, une suite du clavier comme azerty ou 123456, un caractère répété.
Chaque compte a son propre mot de passe : une fuite chez un service n’ouvre alors pas les autres. Personne ne retient des dizaines de mots de passe différents — c’est le rôle d’un gestionnaire (ou coffre-fort) de mots de passe, dans le navigateur, le système ou une application dédiée. L’ANSSI recommande d’en utiliser un et de ne pas recourir aux informations personnelles. Pour les comptes professionnels, ajoutez un second facteur : un mot de passe volé ne suffit plus.
Point commun : la longueur l’emporte sur la complexité, un mot de passe par compte, et un second facteur pour les comptes importants.
Soleil2025 à Soleil2026 : les attaquants testent ces variantes en premier.! au début.Pour la CNIL, une phrase de passe de 7 mots de la langue française suffit pour un mot de passe utilisé seul — autant que 12 caractères de quatre types.
Source : CNIL, délibération n° 2022-100 du 21 juillet 2022, vérifié le 01.11.2026L’ANSSI juge qu’il est souvent plus efficace d’allonger un mot de passe que de le rendre plus complexe.
Source : ANSSI, « Recommandations relatives à l’authentification multifacteur et aux mots de passe », vérifié le 01.11.2026Le standard américain NIST interdit aux services d’exiger un changement régulier du mot de passe — on ne le change qu’en cas d’indice de compromission.
Source : NIST SP 800-63B, vérifié le 01.11.2026Google recommande des mots de passe d’au moins 12 caractères et n’accepte dans un compte Google que les caractères ASCII standard — les lettres accentuées ne sont pas prises en charge.
Source : Aide Compte Google, « Créer un mot de passe sécurisé », vérifié le 01.11.2026Un mot de passe fort, c’est la moitié de la sécurité. Dans Elbuz, la connexion des employés est protégée en plus : après le mot de passe, Elbuz demande un code reçu par e-mail, bloque les essais en série de mots de passe et, si vous le souhaitez, n’autorise que des adresses IP choisies. Chacun ne voit que ce que son rôle permet.
Le plus simple est de le générer : 12 à 16 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux. Si vous devez le retenir, prenez une phrase de 6 à 7 mots tirés au hasard — elle est longue et n’est pas un mot du dictionnaire.
Au moins 12, plutôt 16. Pour un mot de passe utilisé seul, la CNIL donne en exemple 12 caractères de quatre types ou 14 caractères avec majuscules, minuscules et chiffres.
Seul, en général non : même avec tous les types de caractères, 8 caractères se cassent en environ un jour à 10 milliards d’essais par seconde. La CNIL ne l’admet que si le compte limite les tentatives (temporisation, blocage, captcha).
L’ANSSI : 12 à 14 caractères pour un niveau moyen à fort, 15 et plus pour un niveau fort, un mot de passe par service, un coffre-fort de mots de passe et l’authentification multifacteur. La CNIL : 80 bits d’entropie pour un mot de passe seul, sans renouvellement périodique imposé à tous.
Mieux vaut éviter : é, è, à ou ç manquent sur certains claviers, et un compte Google n’accepte que les caractères ASCII standard.
Ici oui : le mot de passe est créé dans votre navigateur avec un générateur aléatoire cryptographique (crypto.getRandomValues) et n’est ni envoyé ni enregistré.
Saisissez-le dans le champ « Vérifier votre mot de passe » : l’évaluation selon la longueur, les caractères et les modèles courants (123456, qwerty, répétitions) se fait uniquement dans votre navigateur.