Mot de passe : pourquoi la longueur compte plus que la complexité

Ce que mesure vraiment la sécurité d'un mot de passe

Un mot de passe n'est pas « fort » ou « faible » dans l'absolu : il est plus ou moins difficile à deviner par un ordinateur qui teste des combinaisons jusqu'à tomber sur la bonne. Ce nombre de combinaisons possibles dépend de deux choses seulement : la taille de l'alphabet utilisé à chaque position (26 lettres minuscules, ou davantage si on ajoute majuscules, chiffres, symboles) et le nombre de positions, c'est-à-dire la longueur du mot de passe. Les spécialistes appellent ça l'entropie, mais l'idée derrière est simple : plus il y a de combinaisons possibles, plus il faut de temps pour toutes les essayer.

Le piège, c'est que ces deux facteurs n'agissent pas du tout de la même façon sur le résultat final. Élargir l'alphabet multiplie le nombre de combinaisons par position. Ajouter une position multiplie l'ensemble par la taille de l'alphabet, à chaque caractère ajouté. Comme la longueur agit en exposant et non en simple facteur, un caractère de plus a souvent bien plus d'effet qu'un alphabet plus riche.

La démonstration avec de vrais chiffres

Prenons deux mots de passe. Le premier fait 8 caractères et pioche dans un alphabet complet de type minuscules + majuscules + chiffres + symboles, soit environ 94 caractères possibles par position. Le nombre de combinaisons possibles est alors 94⁸, soit environ 6,1 × 10¹⁵ combinaisons — ce qui correspond à un peu plus de 52 bits d'entropie.

Le second fait 16 caractères, mais uniquement des minuscules, soit 26 caractères possibles par position. Le nombre de combinaisons est 26¹⁶, soit environ 4,4 × 10²² combinaisons — environ 75 bits d'entropie.

L'écart est massif : le mot de passe long et « simple » offre environ 7 millions de fois plus de combinaisons que le mot de passe court et complexe, alors qu'il n'utilise qu'un seul type de caractère. Doubler la longueur a eu beaucoup plus d'impact que quadrupler la richesse de l'alphabet. C'est ce mécanisme, purement mathématique, qui explique pourquoi la longueur est devenue le critère numéro un dans les recommandations récentes.

Pourquoi les règles ont changé

Pendant longtemps, la norme dans les entreprises et les administrations imposait des règles de complexité strictes : une majuscule, un chiffre, un symbole, renouvellement tous les trois mois. L'institut américain de normalisation NIST, dont les recommandations font référence dans le monde entier, est revenu sur cette approche. Le constat était simple : forcer la complexité pousse la plupart des gens vers des solutions prévisibles pour un humain, mais devinables par une machine — remplacer un « a » par un « @ », ajouter un chiffre à la fin, ou taper des variantes de « Password1! ». Ces transformations classiques sont bien connues des outils de cassage, qui les testent en priorité.

Les recommandations actuelles insistent donc davantage sur la longueur minimale (souvent 12 à 16 caractères) et sur l'absence de mots de passe déjà compromis ou trop communs, plutôt que sur des règles de composition rigides. Un mot de passe long reste difficile à casser même sans complexité artificielle, alors qu'un mot de passe court reste faible même bardé de symboles.

La phrase de passe, une solution concrète

Concrètement, comment obtenir un mot de passe long sans le rendre imbuvable à retenir ? La réponse la plus répandue est la passphrase : une suite de plusieurs mots choisis au hasard, par exemple quatre ou cinq mots sans lien logique entre eux, assemblés en une seule chaîne. Quelque chose comme « tigre-nuage-valise-septembre-tram » est long, largement plus facile à mémoriser qu'une suite de caractères aléatoires, et pourtant son entropie est très élevée dès lors que les mots sont tirés au hasard dans un vocabulaire suffisamment large plutôt qu'inventés de tête.

Le point important, c'est que le hasard doit porter sur le choix des mots eux-mêmes, pas sur leur assemblage en une phrase qui « sonne bien » — une vraie citation ou un proverbe connu reste devinable, même long. C'est pour cette raison que les gestionnaires de mots de passe proposent souvent un générateur de passphrase basé sur une liste de mots, plutôt que de laisser l'utilisateur composer sa propre phrase.

Ce qu'il faut retenir

• Le nombre de combinaisons possibles dépend de la taille de l'alphabet ET de la longueur, mais la longueur agit en exposant.
• 94⁸ (≈ 6,1 × 10¹⁵) reste très inférieur à 26¹⁶ (≈ 4,4 × 10²²) : un mot long et simple bat un mot court et complexe, d'un facteur d'environ 7 millions.
• Les recommandations actuelles privilégient une longueur minimale généreuse plutôt que des règles de composition forcées.
• Une passphrase de plusieurs mots aléatoires combine longueur, mémorisation facile et entropie élevée.