Créer un mot de passe sécurisé en 2026 (et s'en souvenir)

Pourquoi les mots de passe faibles restent le problème n°1

Chaque année, les classements des mots de passe les plus utilisés se ressemblent : 123456, azerty, motdepasse, un prénom suivi d'une année. Ces mots de passe sont cassés instantanément — les attaquants ne les devinent pas un par un, ils testent des milliards de combinaisons par seconde en commençant par des dictionnaires de mots de passe déjà divulgués.

Mais l'habitude la plus dangereuse n'est pas le mot de passe faible. C'est réutiliser le même mot de passe sur plusieurs sites. Quand un site se fait pirater (et c'est fréquent), les attaquants testent automatiquement le couple email / mot de passe volé sur les messageries, banques et réseaux sociaux. C'est le credential stuffing, et il fonctionne parce que les gens réutilisent leurs mots de passe.

Qu'est-ce qu'un mot de passe robuste ?

La robustesse d'un mot de passe se mesure au nombre d'essais nécessaires pour le trouver. Deux facteurs comptent :

• La longueur — chaque caractère supplémentaire multiplie le nombre de combinaisons possibles.
• La variété — minuscules, majuscules, chiffres et symboles élargissent « l'alphabet ».

Mot de passe	Longueur	Caractères	Résistance
marie1987	9	minuscules + chiffres	Cassé en quelques secondes (présent dans les dictionnaires)
S0leil&2024	11	mixtes	Faible : substitutions prévisibles
k9#Vq2!mWz7$pLx4	16	tous types, aléatoire	Très robuste
orbite-lampe-velours-marée-cactus	33	mots aléatoires	Très robuste et mémorisable

Le mot clé est aléatoire. Remplacer un « a » par « @ » ou ajouter « ! » à la fin ne trompe pas les outils de cassage : ce sont les premières substitutions qu'ils testent.

Quelle longueur choisir ?

• 16 caractères minimum pour tout compte.
• 20 caractères ou plus pour les comptes critiques : email principal, banque, gestionnaire de mots de passe.
• Pour une phrase de passe composée de mots aléatoires, visez 5 à 6 mots.

Votre email principal mérite une attention particulière : c'est la clé qui permet de réinitialiser tous vos autres mots de passe.

Générer un mot de passe sûr en un clic

Le générateur de mots de passe d'AwesomeToolkit crée des mots de passe avec le générateur aléatoire cryptographique de votre navigateur (crypto.getRandomValues, la même source que les gestionnaires de mots de passe). Vous choisissez la longueur et les types de caractères ; chaque type sélectionné est garanti présent.

Le mot de passe est généré sur votre appareil et n'est jamais envoyé à nos serveurs : nous ne le voyons pas, ne le stockons pas et ne l'enregistrons nulle part.

Comment retenir des dizaines de mots de passe

Vous ne les retenez pas. Personne ne peut mémoriser 80 mots de passe aléatoires — et c'est très bien ainsi :

1. Utilisez un gestionnaire de mots de passe (Bitwarden, 1Password, KeePass, ou celui de votre navigateur ou téléphone). Il stocke et remplit vos mots de passe.
2. Retenez une seule phrase de passe robuste : celle qui déverrouille le gestionnaire.
3. Activez la double authentification (2FA) sur les comptes importants. Même si un mot de passe fuite, l'attaquant est bloqué sans le second facteur.
4. Passez aux clés d'accès (passkeys) quand un site les propose : elles remplacent le mot de passe par une clé stockée sur votre appareil.

Quand changer un mot de passe ?

• Le site a annoncé une fuite de données.
• Vous l'avez réutilisé ailleurs.
• Vous l'avez partagé (par email ou message).
• Vous l'avez saisi sur un ordinateur public ou partagé.

Inutile de changer chaque mois des mots de passe robustes et uniques : les changements forcés fréquents produisent des mots de passe plus faibles et prévisibles. C'est d'ailleurs la position de la CNIL et de l'ANSSI.

Conclusion

Un bon mot de passe est long, aléatoire et unique. Générez-le, rangez-le dans un gestionnaire, activez la 2FA, et vous êtes protégé contre l'immense majorité des attaques. Notre générateur s'occupe de la première étape en un clic, sans que votre mot de passe quitte votre navigateur.