Aide technique
Quelle longueur pour un mot de passe en 2026 ?
NIST exige désormais 15 caractères pour un mot de passe à un seul facteur. CISA recommande 16 ou plus, aléatoires et uniques. Voyez quelle longueur utiliser en 2026.
Pour un mot de passe que vous créez aujourd’hui, la longueur, l’aléatoire et l’unicité comptent tous. NIST SP 800-63-4 exige qu’un mot de passe à un seul facteur ait au moins 15 caractères. Utilisé uniquement dans le cadre d’une MFA, il peut être plus court, avec un minimum NIST de 8.
Les conseils grand public de CISA recommandent des mots de passe d’au moins 16 caractères, aléatoires et uniques. Pour un usage personnel pratique, un mot de passe généré au hasard de 16 caractères ou plus est un bon point de départ lorsque le service le permet.
Plus long peut aider, mais la longueur seule ne rend pas sûr un mot de passe prévisible ou réutilisé. 15 ou 16 caractères ne sont pas une garantie de sécurité.
Cet article répond à la longueur d’un mot de passe en 2026. Il s’appuie sur les règles actuelles des vérificateurs NIST SP 800-63-4 / SP 800-63B et sur le conseil public de CISA. Ce n’est pas un guide complet de cybersécurité.
Alors, quelle longueur pour mon mot de passe ?
Si un password manager peut le stocker, générez un mot de passe aléatoire unique de 16+ caractères. Utilisez une chaîne aléatoire plus longue lorsque le service le permet. Si vous devez le mémoriser, une longue passphrase est souvent plus pratique qu’une courte chaîne avec des substitutions forcées. 16 n’est pas incassable, et 15 n’est pas une garantie.
Qu’exige NIST en 2026 ?
NIST SP 800-63-4 indique aux vérificateurs ce qu’il faut exiger — pas un slogan personnel. Un mot de passe à un seul facteur doit avoir au moins 15 caractères. S’il n’est utilisé que dans le cadre d’une MFA, il peut être plus court, mais le minimum reste 8. Les vérificateurs SHOULD accepter au moins 64 caractères. Ils SHALL NOT exiger un mélange forcé de types de caractères, ni imposer des changements périodiques sans indice de compromission. Les mots de passe courants ou fuités devraient être bloqués.
Que recommande CISA ?
Le guide Secure Our World de CISA est plus simple pour le public : faites des mots de passe longs (au moins 16 caractères), aléatoires et uniques, et utilisez un password manager. Cela ne contredit pas NIST. Le chiffre 15 de NIST est une exigence de vérificateur pour un seul facteur. Le 16+ de CISA est une recommandation publique pratique.
8 vs 12 vs 16 caractères : la longueur compte-t-elle vraiment ?
La longueur compte, mais pas les « temps de craquage » publiés. Ces durées changent avec le matériel, le hachage, l’aléatoire, le modèle d’attaque et le stockage du mot de passe.
| Longueur | Vue pratique |
|---|---|
| 8 | Trop court comme recommandation générale pour un nouveau mot de passe à un seul facteur. NIST autorise 8 seulement comme minimum lorsque le mot de passe n’est utilisé que dans le cadre d’une MFA. |
| 12 | Mieux que de courts mots de passe hérités, mais en dessous du minimum actuel NIST à un seul facteur, qui est 15. |
| 15 | Minimum actuel NIST à un seul facteur pour les vérificateurs. |
| 16+ | Correspond à la recommandation publique simple de CISA et constitue un point de départ raisonnable pour les mots de passe générés. |
La longueur est-elle plus importante que la complexité ?
Les conseils actuels préfèrent une longueur suffisante et un bon choix plutôt que des règles de composition prévisibles. Un motif comme un mot courant plus « 1! » peut rester devinable même avec des types mélangés. Les caractères spéciaux ne sont pas inutiles : dans un mot de passe généré au hasard, un jeu plus large peut ajouter des combinaisons. Le cœur, c’est l’aléatoire, la longueur et l’unicité.
Un long mot de passe peut rester faible
Une valeur longue peut rester faible si elle est prévisible, une phrase courante, réutilisée ou basée sur des informations personnelles. Répéter le même caractère de nombreuses fois, c’est long, pas fort. Ne réutilisez pas une phrase que tout le monde connaît déjà.
Pourquoi chaque compte devrait avoir un mot de passe différent
Si un service fuit un mot de passe et que vous l’avez réutilisé, les autres comptes qui le partagent sont en danger. Chaque compte a besoin du sien. Tester des paires fuitées sur d’autres sites (credential stuffing) est courant. Des mots de passe uniques limitent ce dégât.
Faut-il utiliser un password manager ?
NIST demande aux vérificateurs d’autoriser les password managers et le remplissage automatique. CISA recommande aussi un manager. Vous n’avez pas à mémoriser un mot de passe aléatoire unique pour chaque site. Cet article ne recommande aucun produit précis.
Password ou passphrase ?
Si un manager stocke la valeur, un mot de passe généré au hasard est pratique. Si vous devez la retenir, une longue passphrase de plusieurs mots peut l’être davantage. Évitez les citations célèbres, les paroles de chansons, les phrases courantes et les détails personnels. Ceci est une courte note, pas un guide complet de passphrase.
Les mots de passe ont-ils besoin de majuscules, de chiffres et de symboles ?
NIST indique que les vérificateurs SHALL NOT exiger un mélange de types de caractères. Un site qui impose une majuscule, un chiffre et un symbole n’est pas aligné avec cette direction. Un générateur aléatoire peut tout de même utiliser un jeu large, et c’est acceptable. Les symboles n’affaiblissent pas les mots de passe.
Faut-il changer les mots de passe tous les 90 jours ?
NIST indique que les vérificateurs SHALL NOT exiger des changements périodiques arbitraires sauf indice de compromission. Changez le mot de passe s’il a fuité, si le compte a été compromis ou si le service vous le demande. Ce n’est pas « ne changez jamais les mots de passe ».
La MFA rend-elle la longueur du mot de passe sans importance ?
Non. La MFA ajoute une protection. Elle ne rend pas l’hygiène des mots de passe facultative. NIST peut autoriser un minimum de 8 caractères lorsque le mot de passe n’est utilisé que dans le cadre d’une MFA. Ce n’est pas une recommandation générale d’utiliser des mots de passe de 8 caractères.
Ce que la longueur ne peut pas arrêter
Un mot de passe très long n’arrête pas toutes les attaques. La longueur seule n’arrête ni le phishing, ni les malwares ou le keylogging, ni l’ingénierie sociale, ni un appareil compromis. La MFA, les mises à jour logicielles et la vigilance face au phishing restent importantes. Cet article reste sur la longueur des mots de passe.
Un mot de passe fort est long, aléatoire et unique. Utilisez un password manager lorsque vous le pouvez, et activez la MFA lorsqu’elle est disponible.
Un guide simple pour décider de la longueur
Besoin d’un nouveau mot de passe de compte ? Si un password manager peut le stocker, générez un mot de passe aléatoire unique — 16+ caractères est un début pratique, plus long si c’est pris en charge. Si vous devez le mémoriser, utilisez une longue passphrase unique et évitez les phrases courantes. Puis activez la MFA lorsqu’elle est disponible.
- Besoin d’un nouveau mot de passe de compte ?
- Un password manager peut-il le stocker ?
- Oui → mot de passe aléatoire unique, 16+ (plus long si autorisé)
- Non → longue passphrase unique ; évitez les phrases courantes
- Activez la MFA lorsqu’elle est disponible
Générez un long mot de passe aléatoire dans votre navigateur
NEXNARA Générateur de mot de passe peut créer un mot de passe, une passphrase ou un PIN. Cet article porte sur les mots de passe de compte, pas sur les PIN d’appareil. Un PIN est un secret différent et plus court, et ce n’est pas la même recommandation.
Mode mot de passe : longueur 4–128, 16 par défaut. Choisissez les classes de caractères, excluez les caractères ambigus ou excluez des caractères personnalisés. Générez 1, 5, 10 ou 20 valeurs, puis copiez ou téléchargez un fichier TXT.
Le mode passphrase utilise la grande liste de mots anglais d’EFF (7776 mots) : 3–8 mots, 5 par défaut, avec séparateur, capitalisation et un chiffre optionnel.
La génération utilise le générateur de nombres aléatoires cryptographiquement sûr du navigateur (crypto.getRandomValues), avec un échantillonnage par rejet 32 bits et un mélange sûr. Math.random n’est pas utilisé. L’entropie affichée est une estimation à partir du jeu de caractères et de la longueur (ou de la taille de la liste et du nombre de mots), pas une mesure de mot de passe humain ni une promesse qu’on ne puisse pas deviner.
La génération elle-même a lieu dans votre navigateur. Les valeurs ne sont pas envoyées à un serveur NEXNARA pour cet outil. Les publicités et d’autres fonctions du site utilisent encore le réseau.
Besoin d’un mot de passe aléatoire de 16 caractères pour commencer ? Ouvrez Générateur de mot de passe et générez-en un que vous allez stocker, pas réutiliser.
FAQ
Quelle longueur pour un mot de passe en 2026 ?
NIST exige au moins 15 caractères pour un mot de passe à un seul facteur. CISA recommande au moins 16 aléatoires et uniques. 16+ caractères générés sont un bon départ pratique lorsque le service le permet. Ce n’est pas une garantie.
Un mot de passe de 12 caractères est-il assez long ?
C’est mieux qu’un court mot de passe hérité, mais c’est en dessous du minimum actuel de 15 caractères à un seul facteur de NIST. Préférez 16+ lorsque vous le pouvez.
Un mot de passe de 16 caractères est-il sûr ?
16 caractères aléatoires et uniques sont un départ raisonnable. Ce n’est pas automatiquement sûr. Des valeurs de 16 caractères prévisibles ou réutilisées restent faibles.
Les mots de passe plus longs sont-ils toujours meilleurs ?
Des mots de passe plus longs, aléatoires et uniques ajoutent généralement des combinaisons. Une valeur plus longue mais prévisible ou réutilisée n’est pas automatiquement meilleure.
Ai-je besoin de chiffres et de caractères spéciaux dans mon mot de passe ?
NIST dit aux services de ne pas exiger un mélange forcé. Un générateur aléatoire peut tout de même les inclure. Les symboles ne sont pas obligatoires pour être « fort », et ils ne sont pas inutiles.
Dois-je changer mon mot de passe tous les 90 jours ?
NIST dit de ne pas exiger de changements périodiques arbitraires sans indice de compromission. Changez-le après une fuite, une compromission ou une alerte du service — pas selon un calendrier vide de 90 jours.