Phrase de passe ou mot de passe : lequel est le plus sûr ?

Une phrase de passe est une suite de plusieurs mots aléatoires, comme walnut-ferry-tidal-oxygen-clamp-violin. Un mot de passe est une chaîne de caractères aléatoires, comme q7#Vd!m2Kp@x. Les deux peuvent être aussi forts l'un que l'autre : six mots aléatoires tirés d'une grande liste offrent à peu près la même force que 12 caractères aléatoires. Utilisez des mots de passe à caractères aléatoires du générateur de mot de passe gratuit pour tout ce que remplit un gestionnaire de mots de passe, et une phrase de passe pour les quelques cas où vous devez retenir ou taper à la main.

Le mot clé, dans les deux cas, est « aléatoire ». Une phrase de passe que vous choisissez vous-même, comme les paroles d'une chanson, est faible ; une phrase de passe tirée aux dés ou par un logiciel est forte.

La comparaison en bref

	Mot de passe aléatoire	Phrase de passe aléatoire
Ressemble à	q7#Vd!m2Kp@x	walnut-ferry-tidal-oxygen-clamp-violin
D'où vient sa force	Beaucoup de caractères possibles par position	Beaucoup de mots possibles par position
Longueur forte typique	16 à 20 caractères	6 à 7 mots
Facile à retenir ?	Non	Assez
Facile à taper sur un téléphone ou une télécommande ?	Non, beaucoup de passages aux symboles	Oui, surtout des minuscules
Accepté partout ?	Presque ; certains sites limitent la longueur ou interdisent certains symboles	Certains sites limitent la longueur en dessous d'une longue phrase
Idéal pour	Tout ce qui est stocké dans un gestionnaire de mots de passe	Mot de passe principal du gestionnaire, connexion à l'ordinateur, Wi-Fi tapé souvent

Comment se mesure la force

La force se compte en bits d'entropie : chaque bit double le nombre d'essais dont un attaquant pourrait avoir besoin.

• Un caractère aléatoire du jeu de 85 caractères du générateur (lettres, chiffres et 23 symboles) apporte environ 6,4 bits.
• Un mot aléatoire tiré d'une liste de 7 776 mots (la taille des listes diceware très répandues, où cinq lancers de dé désignent chaque mot) apporte environ 12,9 bits.

Un mot aléatoire vaut donc environ deux caractères aléatoires. Quelques équivalences :

Phrase de passe	Bits	Mot de passe aléatoire comparable
4 mots (liste de 7 776 mots)	environ 52	8 caractères (environ 51 bits)
5 mots	environ 65	10 caractères (environ 64 bits)
6 mots	environ 78	12 caractères (environ 77 bits)
8 mots	environ 103	16 caractères (environ 103 bits)

Ces calculs ne tiennent que si chaque mot est tiré au hasard dans toute la liste. Si vous choisissez les mots vous-même, vous prendrez des mots courants et liés entre eux, et les outils des attaquants essaient justement ces combinaisons en premier. Une liste plus petite donne aussi moins de bits : avec 2 000 mots, chaque mot apporte environ 11 bits.

Pour vous faire une idée de ce que ces bits représentent en temps, voir combien de temps il faut pour cracker un mot de passe.

Là où les mots de passe l'emportent

• Dans un gestionnaire de mots de passe. Vous ne les tapez ni ne les retenez jamais : faites-les longs et entièrement aléatoires. 20 caractères des quatre types donnent environ 128 bits, bien au-delà de toute phrase de passe que vous voudriez taper.
• Les sites à longueur limitée. Certains vieux sites plafonnent les mots de passe à 16 ou 20 caractères. Les caractères aléatoires concentrent plus de force en moins de caractères.
• Clés d'API, comptes de service et secrets partagés. Les machines se moquent de la facilité à retenir.

Là où les phrases de passe l'emportent

• Le mot de passe principal de votre gestionnaire. C'est celui que vous devez retenir, et il protège tout le reste. Six ou sept mots aléatoires, c'est un bon objectif.
• La connexion à votre ordinateur ou téléphone, si vous y utilisez un mot de passe plutôt qu'un code PIN ou une empreinte.
• Tout ce qui se tape sur un clavier peu pratique : télévisions connectées, consoles de jeu, mot de passe Wi-Fi que les invités saisissent à la main.
• Ce qu'il faut lire à voix haute, où quartz-lemon-harbor passe mieux au téléphone que q7#Vd!m2.

Selon la norme SP 800-63B du NIST (révision 4, 2025), les mots de passe longs et les phrases de passe sont bienvenus, les sites devraient accepter les espaces et au moins 64 caractères, et ne devraient imposer ni règles de composition ni changements réguliers. Certains sites exigent encore une majuscule, un chiffre et un symbole. Ajoutez-les à un endroit prévisible, par exemple Walnut-ferry-tidal-oxygen-clamp-violin-7. Cela n'ajoute pas grand-chose à la force, mais cela satisfait la règle sans affaiblir les mots aléatoires.

Comment créer l'un et l'autre

Un mot de passe aléatoire : ouvrez le générateur de mot de passe gratuit, réglez la Longueur (elle démarre à 20 et va de 8 à 128), gardez Minuscules, Majuscules, Chiffres et Symboles cochés, appuyez sur Générer, puis sur Copier. Il est créé sur votre appareil et n'est jamais envoyé nulle part.

Une phrase de passe aléatoire : le générateur de mot de passe ne crée que des mots de passe à caractères ; il ne choisit pas de mots. Deux façons d'obtenir une phrase de passe aléatoire :

1. Les dés. Prenez une liste diceware publiée et lancez cinq dés pour chaque mot. Chaque lancer désigne un mot parmi les 7 776. C'est lent, mais entièrement hors ligne.
2. Notre outil de tirage. Ouvrez le générateur de nombres aléatoires gratuit, choisissez Tirer dans une liste, collez une longue liste de mots (un mot par ligne, plus elle est longue, mieux c'est), réglez Combien en tirer sur 6 et appuyez sur Tirer. Il utilise la source de hasard sécurisée de votre navigateur, et rien n'est envoyé. Reliez les mots par des tirets ou des espaces.

Quelle que soit la méthode, ne retouchez pas le résultat pour le rendre « plus joli ». Remplacer un mot aléatoire par un mot préféré, c'est précisément ainsi que la force s'évapore.

Idées reçues

« Les phrases de passe sont toujours plus fortes parce qu'elles sont plus longues. » La longueur en lettres ne compte pas ; c'est le nombre de choix aléatoires qui compte. correcthorsebattery fait 19 lettres mais seulement 3 mots aléatoires, soit environ 39 bits avec une liste de 7 776 mots : plus faible qu'un mot de passe aléatoire de 8 caractères.

« Remplacer des lettres par des symboles le rend fort. » P@ssw0rd fait partie des premiers essais de n'importe quel outil de cassage. Les substitutions comme a→@ et o→0 sont bien connues.

« Je vais hacher mon mot de passe d'abord pour le rendre aléatoire. » Hacher un mot de passe faible donne une longue chaîne, mais un attaquant qui devine votre méthode peut hacher les mêmes essais. Le générateur de hash gratuit sert aux sommes de contrôle, pas à fabriquer des mots de passe.

Pour une méthode complète, y compris la longueur à prévoir selon le type de compte, lisez comment créer un mot de passe fort.

Générez-en un maintenant

Pour chaque compte géré par votre gestionnaire de mots de passe, un mot de passe aléatoire de 16 à 20 caractères est le choix le plus fort et le plus simple. Créez-en un avec le générateur de mot de passe gratuit, copiez-le directement dans votre gestionnaire, et gardez les phrases de passe pour les quelques choses que vous tapez vous-même.