🔐 10 Erreurs de création de mot de passe qui causent la perte de compte en 2026

Un email, une banque, une dizaine de services et le même mot de passe partout. Tout au plus avec un chiffre à la fin. C’est plus pratique comme ça: rien à retenir.

Ce n’est pas seulement plus pratique pour vous. Une fuite sur un petit forum, et votre combo universel se retrouve déjà dans la base de données de quelqu’un. Ensuite, il est testé automatiquement sur votre email, votre banque, votre hébergement. Des milliers de tentatives par seconde, sans intervention humaine.

La bonne nouvelle: presque toutes les brèches exploitent les mêmes habitudes, et chacune peut être corrigée en une demi-heure. Voici dix de ces erreurs et les étapes précises qui éliminent le risque sans paranoïa inutile.

💡 Aperçu rapide:

• Éliminez les doublons: chaque service doit avoir son propre couple identifiant et mot de passe
• Vérifiez si vos mots de passe contiennent des données personnelles issues de vos réseaux sociaux
• Activez l’authentification à deux facteurs pour l’email et la banque
• Transférez vos mots de passe des notes et du navigateur vers un gestionnaire de mots de passe

Le même mot de passe pour tous les comptes

L’erreur la plus fréquente et la plus coûteuse. Un mot de passe unique voyage de l’email aux réseaux sociaux, puis de là aux tableurs professionnels. Facile à retenir. Le problème, c’est que tout casse en même temps.

Le mécanisme est simple. Un attaquant prend une base de données ayant fuité d’un petit site, en extrait les couples email et mot de passe, puis les teste sur les grands services. C’est ce qu’on appelle le credential stuffing. Un seul maillon faible suffit.

Selon le rapport Verizon DBIR 2025, des identifiants compromis ont constitué le point d’entrée dans 22% des brèches confirmées. Dans les attaques visant les applications web, les mots de passe volés apparaissent dans jusqu’à 88% des cas.

Comment corriger cela:

• Un mot de passe unique par service, sans exception
• Mettez en place un gestionnaire de mots de passe; il retiendra tout pour vous
• Commencez par l’essentiel: email, banque, hébergement, comptes professionnels

Mots de passe courts et simplistes

123456, password et qwerty occupent les premières places du classement annuel NordPass depuis des années. La plupart des mots de passe de cette liste sont cassés en moins d’une seconde. Pas une minute. Une seconde.

Les cartes graphiques modernes testent des millions de combinaisons par seconde. Un mot de passe de 6 à 8 caractères est une question de temps, pas de chance. Chaque caractère supplémentaire multiplie le nombre de variantes de nombreuses fois.

Et une phrase de passe composée de quatre mots aléatoires est plus robuste que P@ssw0rd! avec des caractères spéciaux. Elle est aussi plus facile à garder en tête.

Ce qui aide:

• Au moins 12 caractères, idéalement 16 ou plus
• Une phrase de passe de 4 à 5 mots aléatoires au lieu de ILoveDogs2024!
• Un gestionnaire de mots de passe générera et retiendra une longue chaîne pour vous

Données personnelles dans les mots de passe

Nom, année de naissance, nom du chat, numéro de téléphone. C’est la première chose qu’un attaquant va essayer. Parce que tout cela est depuis longtemps accessible publiquement.

Réseaux sociaux, profils publics, anciennes fuites. Constituer un dossier sur une personne prend quelques minutes. Si votre mot de passe est Misha1989 ou Tommy123, aucune attaque par force brute n’est nécessaire. Un coup d’œil à votre profil suffit.

Selon une enquête 1Password de 2025, 91% des employés comprennent le risque de la réutilisation des mots de passe. Et 66% les réutilisent quand même. Le constat est le même pour les données personnelles: presque tout le monde sait, peu appliquent.

Que faire:

• Aucun nom, date, nom d’animal ou numéro de téléphone dans un mot de passe
• Des mots aléatoires ou une chaîne générée; il n’y a pas d’autre option fiable
• Si vous avez peur d’oublier, un gestionnaire de mots de passe s’en chargera

Petites modifications d’un ancien mot de passe

D’abord MyPass2023, un an plus tard MyPass2024, puis MyPass2025. Vous vous reconnaissez? Les attaquants connaissent aussi cette logique.

Quand une base de données fuit, le mot de passe n’est pas testé seulement tel quel. Des centaines de variations sont générées automatiquement: ajout de l’année, d’un point d’exclamation, changement de la casse de la première lettre. Une affaire de secondes.

Changer le chiffre à la fin ne transforme pas un mot de passe en un nouveau. Il reste prévisible.

La correction:

• Chaque nouveau mot de passe est entièrement nouveau, sans lien avec le précédent
• Oubliez le schéma «mot de base plus année»
• Un gestionnaire de mots de passe supprime la tâche même d’inventer et de retenir

Ignorer l’authentification à deux facteurs

Un mot de passe est un facteur. S’il est volé, l’accès est ouvert. L’authentification à deux facteurs ajoute une seconde barrière: un code à usage unique provenant d’une application ou d’une clé matérielle.

Selon le rapport Microsoft Digital Defense 2025, plus de 97% des attaques de comptes utilisent des mots de passe. En parallèle, la MFA résistante au phishing bloque plus de 99% de ces tentatives. L’écart entre «sans second facteur» et «avec» est énorme.

Les codes SMS valent mieux que rien, mais sont moins bons qu’une application. Le SMS peut être intercepté via un SIM swapping. Google Authenticator, Microsoft Authenticator ou Authy fonctionnent hors ligne et ne sont pas liés à un numéro de téléphone.

Comment l’activer:

• Activez l’authentification à deux facteurs dans les paramètres de votre compte
• Choisissez une application d’authentification, pas le SMS
• Commencez par l’email, la banque et les réseaux sociaux; conservez les codes de secours

Stocker les mots de passe dans des notes et des fichiers texte

Des notes sur le téléphone, un passwords.txt sur le bureau, un tableur Excel, une capture d’écran dans la galerie. Cela semble inoffensif: le fichier est sur mon appareil, après tout.

Toute personne qui accède à l’appareil le verra. Un malware analyse le disque et collecte les fichiers texte contenant des identifiants. Les notes dans le cloud se synchronisent, et une brèche dans le cloud expose tout d’un coup. Une capture d’écran avec des mots de passe sera trouvée par quiconque prend le téléphone en main.

Aucune de ces méthodes ne chiffre les données. C’est du texte en clair, bien en évidence.

Comment combler cette faille:

• Transférez les mots de passe dans un gestionnaire de mots de passe; c’est un coffre-fort chiffré
• Après le transfert, supprimez les fichiers texte et les captures d’écran contenant des mots de passe
• Définissez un verrouillage d’écran et un chiffrement du disque sur l’appareil

Envoyer des mots de passe par messagerie et par email

«Envoie le mot de passe de l’abonnement dans le chat», «Identifiant et mot de passe en DM». Une histoire classique pour les comptes familiaux, les projets partagés et les équipes freelance.

Le problème, c’est que le message reste dans la conversation pour toujours. Il est transféré, copié, lu par-dessus l’épaule quand on montre l’écran. L’email d’une des parties est piraté, et le mot de passe circule plus loin. Le contrôle sur qui le voit est perdu dès l’instant où il est envoyé.

Dans les équipes professionnelles, c’est doublement dangereux: un employé parti conserve l’accès à un compte partagé via l’historique de chat. Cela arrive régulièrement.

Que faire à la place:

• Pour les abonnements familiaux, utilisez la fonction de partage intégrée
• Dans les équipes, créez un compte distinct pour chaque personne
• Pour une transmission ponctuelle, utilisez le partage sécurisé dans le gestionnaire, puis changez le mot de passe ensuite

Ignorer les notifications de brèche

Un email arrive: «Vos données ont peut-être été compromises.» La plupart des gens le font défiler sans s’arrêter: le compte fonctionne, donc tout va bien.

Des mois, parfois des années, s’écoulent entre une fuite et une brèche. Les bases de données volées sont revendues, fusionnées, enrichies. Celui qui a acheté le lot aujourd’hui essaiera votre mot de passe demain. Ou dans un an.

L’ampleur du phénomène augmente, pas l’inverse. Selon une estimation du rapport sur la cybercriminalité 2026, environ 2,86 milliards d’identifiants ont refait surface dans des fuites et des journaux de malware au cours de l’année 2025. Ignorer un tel email, c’est offrir un cadeau à l’attaquant.

Comment réagir:

• Si vous recevez une notification, changez le mot de passe immédiatement
• Vérifiez si le même mot de passe était utilisé sur d’autres services, et changez-le là aussi
• Activez la surveillance des brèches dans votre gestionnaire ou via le service Have I Been Pwned

Se fier uniquement au stockage intégré du navigateur

Le navigateur propose d’enregistrer le mot de passe à la connexion et remplit les champs tout seul. Des millions de personnes s’arrêtent là.

Mais le stockage du navigateur n’est pas un coffre-fort. Sur un ordinateur partagé, les mots de passe enregistrés sont accessibles à la personne suivante qui s’assoit devant. Les malwares savent extraire les mots de passe directement du navigateur. Si l’ordinateur portable est volé, le voleur obtient tout ce qui était enregistré.

Le coffre du navigateur est un bloc-notes pratique. Il ne chiffre pas les mots de passe avec une clé maîtresse et ne génère pas de combinaisons robustes.

Comment corriger cela:

• Utilisez un gestionnaire de mots de passe à part entière au lieu du navigateur
• Sur les appareils partagés, déconnectez-vous toujours des comptes
• Activez le chiffrement du disque et un verrouillage d’écran sur l’ordinateur portable

Des mots de passe qui n’ont pas été changés depuis des années

Vous définissez un mot de passe à l’inscription et vous l’oubliez. Le compte fonctionne, pourquoi y toucher.

Au fil des ans, le mot de passe a pu refaire surface dans plusieurs fuites dont vous n’avez pas connaissance. Les bases de données de brèches s’accumulent. Même si tout est propre aujourd’hui, la situation change six mois plus tard. L’email, la banque et le cloud sont des points critiques où un ancien mot de passe est particulièrement dangereux.

Le récent rapport IBM Cost of a Data Breach 2025 estime le préjudice moyen d’une brèche via des identifiants compromis à 4,67 millions de dollars, et le délai moyen de détection et de confinement à 246 jours. Presque un an entre l’intrusion et la réponse. Pendant tout ce temps, le mot de passe inchangé joue contre vous.

Que faire:

• Changez les mots de passe des comptes critiques une fois par an
• Après une fuite, faites-le immédiatement, sans attendre la date prévue
• Si vous recevez une alerte concernant une connexion suspecte, changez le mot de passe sur-le-champ

Une courte vidéo sur le sujet renforcera le point principal: comment construire des mots de passe robustes et ne pas les garder uniquement dans votre tête.

⁉️🤔 Questions fréquentes

Un gestionnaire de mots de passe est-il sûr? N’est-il pas risqué de conserver tous ses mots de passe au même endroit?

Il est sûr si le gestionnaire utilise une architecture zero-knowledge: Bitwarden, 1Password ou les coffres intégrés d’Apple et Google. Les mots de passe sont chiffrés directement sur l’appareil, et même le développeur ne peut pas les voir. Il y a une seule clé: votre phrase de passe maîtresse. Si vous la perdez, les mots de passe ne peuvent pas être récupérés. C’est le prix de la protection.

Est-il vrai qu’une phrase de passe composée de mots aléatoires est plus robuste que P@ssw0rd! avec des caractères spéciaux?

Oui, la longueur l’emporte sur la complexité. ведро крыша синий мост fait 22 caractères et représente un espace de recherche colossal. Les caractères spéciaux dans un mot de passe court ajoutent une quantité d’entropie infime comparée à un mot supplémentaire. L’institut NIST, dans son standard SP 800-63B, conseille depuis 2024 de miser spécifiquement sur la longueur.

Le SMS pour l’authentification à deux facteurs, est-ce mauvais?

Pas mauvais, mais insuffisant. Un code SMS vaut mieux que l’absence totale de second facteur. Mais une carte SIM peut être réémise par ingénierie sociale, et le code lui-même peut être intercepté via des vulnérabilités du protocole SS7. Une application d’authentification ou une clé matérielle YubiKey est nettement plus robuste.

Comment vérifier si mon mot de passe a été exposé dans une fuite?

Ouvrez Have I Been Pwned et saisissez votre email. Le service indiquera dans quelles brèches il est apparu. Pour vérifier un mot de passe spécifique, il existe une section Pwned Passwords: elle recherche une correspondance de hachage parmi des milliards d’enregistrements sans révéler le mot de passe lui-même. De nombreux gestionnaires intègrent cette vérification en standard.

Je ne suis pas prêt à configurer un gestionnaire de mots de passe tout de suite; par où commencer?

Commencez petit. Changez le mot de passe de votre email pour une phrase de passe de quatre mots aléatoires. Activez l’authentification à deux facteurs pour l’email et la banque. Supprimez le fichier passwords.txt de votre bureau. Ces trois étapes prendront environ 15 minutes et combleront les principaux risques. Vous pourrez configurer le gestionnaire plus tard.

Changer ses habitudes aujourd’hui ou «un jour peut-être»?

Les mots de passe faibles ne sont pas une histoire effrayante tirée des actualités hacker. C’est une cascade concrète: un mot de passe ayant fuité mène à l’email, l’email mène aux réinitialisations de mots de passe sur tous les services liés, puis à l’argent, aux documents et aux projets. Une demi-heure de prévention coûte incomparablement moins cher que de récupérer l’accès.

Faites trois pas aujourd’hui: un mot de passe unique pour l’email, l’authentification à deux facteurs, un gestionnaire de mots de passe. Si vous n’êtes pas prêt pour un gestionnaire, éliminez au moins les doublons et activez le second facteur pour les comptes critiques. C’est déjà plus que ce que la plupart des gens font. Par quelle étape allez-vous commencer dès maintenant?