J’ai écrit cet article en 2020 et j’avais promis à l’époque de le mettre à jour dès qu’il serait dépassé. Ce moment est arrivé. 💥 En août 2025, le NIST a publié la version finale de ses recommandations SP 800-63B-4 et a renversé la table : fini les caractères spéciaux obligatoires, fini les changements périodiques de mots de passe. Vous trouverez ci-dessous la politique mise à jour — et vous découvrirez pourquoi certaines anciennes « bonnes pratiques » sont aujourd’hui carrément nuisibles.
Qu’est-ce qui a changé depuis 2020 ?
Les mots de passe volés restent le vecteur d’attaque numéro un. Selon le rapport Verizon DBIR 2025, pas moins de 88 % des attaques contre les applications web basiques impliquaient des identifiants volés, et le nombre d’attaques par force brute contre les applications web a presque triplé d’une année sur l’autre.
Ce qui a changé, c’est la réponse des défenseurs. Le NIST — l’institut américain de normalisation dont le monde entier finit par copier les recommandations — a, dans SP 800-63B-4, explicitement interdit des pratiques qui passaient pour la norme pendant des années : la complexité obligatoire et la rotation périodique des mots de passe.
Exemple de politique de mots de passe (version actuelle)
Les mots de passe statiques dans les systèmes informatiques devraient :
- compter au moins 15 caractères (le minimum strict selon le NIST est de 8 caractères, mais la recommandation — surtout quand le mot de passe est la seule protection — est de 15) ;
- être acceptés par le système jusqu’à une longueur d’au moins 64 caractères, espaces compris — pour pouvoir utiliser une phrase entière, par exemple « un cheval fait du vélo sur Mars » ;
- NE PAS être soumis à une complexité imposée — pas de « au moins une majuscule, un chiffre et un caractère spécial » obligatoire. Le NIST emploie ici un « SHALL NOT » catégorique — les systèmes n’ont pas le droit de l’exiger ;
- NE PAS expirer selon un calendrier — un changement de mot de passe uniquement en cas de soupçon ou de confirmation de compromission, pas « tous les 30 jours, juste parce que » ;
- être vérifiés contre une liste de blocage au moment de leur création — des listes de mots de passe fuités, de dictionnaire et évidents (et rejetés s’ils y figurent) ;
- ne pas contenir le login, le nom de l’entreprise, le nom de l’application, l’adresse e-mail, ni le prénom ou le nom de l’utilisateur ;
- être stockés exclusivement sous forme de hachage : Argon2id (min. 19 MiB de mémoire, 2 itérations, parallélisme 1) ; bcrypt dans les systèmes hérités (facteur de travail d’au moins 10), et là où la conformité FIPS-140 est exigée — PBKDF2 avec au moins 600 000 itérations ;
- autoriser le collage depuis un gestionnaire de mots de passe — bloquer le « coller » dans un champ de mot de passe, c’est du sabotage de sécurité, pas de la protection ;
- être uniques — un mot de passe différent pour chaque service.
Pourquoi la longueur bat-elle la complexité ?
« P@ssw0rd1! » satisfait toutes les anciennes règles de complexité — et tombe en une fraction de seconde, parce que les attaquants connaissent parfaitement le schéma : majuscule au début, point d’exclamation à la fin, « a » remplacé par « @ ». La complexité imposée produit des mots de passe prévisibles et des post-it sous le clavier. Une longue phrase est facile à retenir pour vous et un cauchemar à casser pour une machine.
Vous trouverez plein d’informations utiles sur l’implémentation sécurisée de la connexion dans l’OWASP — Authentication Cheat Sheet et l’OWASP Password Storage Cheat Sheet.
Un gestionnaire de mots de passe — toujours la base
Dans la plupart des cas, vous ne savez pas comment vos mots de passe sont stockés par les services en ligne. Peut-être que l’administrateur n’a mis en place aucun mécanisme protégeant vos données. C’est pourquoi vous devez veiller vous-même à leur sécurité — et avec des dizaines de comptes et des mots de passe de 15 caractères, impossible de tous les mémoriser. C’est là qu’intervient le gestionnaire de mots de passe : vous retenez un seul mot de passe fort, et il s’occupe du reste. L’un des gestionnaires de mots de passe considérés comme sûrs et recommandés est KeePass.
Un gestionnaire de mots de passe vous offre en plus :
- la génération automatique de mots de passe longs et aléatoires ;
- un coffre-fort chiffré et des sauvegardes ;
- la synchronisation entre appareils ;
- le remplissage automatique des formulaires — ce qui protège aussi contre le phishing, car le gestionnaire ne collera pas votre mot de passe sur un domaine usurpé. 🔓
MFA — oui, mais plus par SMS
En 2020, j’écrivais qu’un code SMS augmentait sensiblement la sécurité du compte. Aujourd’hui, je dois me corriger : le SMS est la forme la plus faible d’authentification à deux facteurs — vulnérable au SIM swapping et au phishing en temps réel. Les attaquants contournent de mieux en mieux la MFA : selon les chiffres cités autour du DBIR 2025, les techniques les plus courantes sont le vol de jetons de session et le « prompt bombing » — inonder la victime de notifications jusqu’à ce qu’elle appuie sur « approuver ». ⚠️
Dans l’ordre, de la protection la plus forte :
- Une clé matérielle (FIDO2) ou une passkey — résistante au phishing ;
- Une application avec des codes TOTP (par exemple sur votre téléphone) ;
- Le SMS — toujours mieux que pas de MFA du tout, mais à considérer comme un dernier recours.
Les passkeys — un monde sans mots de passe ?
Les passkeys, c’est-à-dire les clés d’accès basées sur FIDO2, sont déjà prises en charge par Google, Apple et Microsoft, et le NIST les classe parmi les méthodes résistantes au phishing. Partout où un service les propose — activez-les. C’est aujourd’hui le moyen le plus simple d’empêcher le mot de passe d’être le maillon faible.
Résumé
La nouvelle politique de mots de passe est paradoxalement plus simple que l’ancienne : des mots de passe longs et uniques, vérifiés contre une liste de blocage, sans complexité artificielle ni rotation forcée — plus un gestionnaire de mots de passe et une MFA résistante au phishing. Moins de règles, plus de sécurité. ✔️
Si vous voulez vérifier si la politique de mots de passe de votre entreprise (et le reste de vos défenses) résiste au contact d’un véritable attaquant — contactez-moi : je la testerai en tant que hacker éthique et je vous livrerai un rapport concret. Et si NIS2 ou DORA vous souffle dans le cou, jetez un œil à la page conformité.
