MISE À JOUR : Cet article, initialement publié sur 6 mai 2021, a été mis à jour afin d'apporter un éclairage plus approfondi sur la Journée mondiale du mot de passe. Si les principes fondamentaux de cette journée restent inchangés, cette mise à jour comprend des informations supplémentaires et des explications détaillées destinées à vous permettre de mieux comprendre les dernières technologies et les meilleures pratiques permettant de garantir une sécurité optimale des mots de passe dans le paysage numérique actuel.
Aujourd'hui, c'est la Journée mondiale du mot de passe, célébrée chaque année le premier jeudi de mai. Cette journée vise à encourager les particuliers et les organisations à améliorer de manière proactive la sécurité de leurs mots de passe en créant des mots de passe forts, en adoptant de meilleures habitudes et en se tenant informés des bonnes pratiques en matière de cybersécurité.
À l'occasion de cette Journée mondiale du mot de passe, il est essentiel de s'interroger sur l'évolution du paysage de la cybersécurité et sur le rôle que jouent des pratiques rigoureuses en matière de mots de passe pour protéger nos identités en ligne et nos comptes personnels contre les cybermenaces.
Rejoignez-nous pour célébrer la Journée mondiale du mot de passe. Nous approfondirons cette thématique et aborderons les dernières actualités en matière de bonne hygiène des mots de passe, notamment une analyse des mots de passe les plus couramment utilisés, l’importance des mots de passe forts, les éléments à prendre en compte pour créer un bon mot de passe, ainsi que les bonnes pratiques que vous pouvez adopter dès aujourd’hui.
En prenant des mesures proactives pour renforcer vos mots de passe et améliorer votre sécurité informatique globale, nous pouvons, tous ensemble, bâtir un environnement numérique plus sûr pour chacun.
Continuons à faire de la cybersécurité une priorité afin de protéger ce qui compte le plus.
Qui a créé la Journée mondiale du mot de passe ?
Créée en 2013 par Intel, la Journée mondiale du mot de passe est un rappel annuel de l'importance de sécuriser ce qui constitue la clé de voûte de nos identités numériques. Depuis sa création, cette journée a pris une ampleur considérable : des milliers de personnes, des organisations telles que la National Cyber Security Awareness Alliance, ainsi que de grandes entreprises technologiques comme , Google (s'ouvre dans un nouvel onglet),, (qui est également l'un des membres fondateurs de l' , la FIDO Alliance (s'ouvre dans un nouvel onglet),, ) partagent des conseils pour créer des mots de passe forts et améliorer les pratiques en matière de cybersécurité.
L'évolution de la Journée mondiale du mot de passe témoigne de la prise de conscience croissante de la nécessité de mettre en place des mesures de cybersécurité efficaces. Initialement axée sur la promotion de mots de passe forts, cette journée met désormais également en avant l'importance de l'authentification multifactorielle (MFA) (s'ouvre dans un nouvel onglet) ainsi que de se tenir informé des meilleures pratiques en matière de cybersécurité. Cette évolution souligne les efforts constants déployés pour s'adapter à un paysage des cybermenaces en constante évolution, ainsi que la nécessité d'améliorer en permanence les pratiques en matière de sécurité numérique.
Il est évident que la nécessité de disposer de mots de passe solides et uniques n'a jamais été aussi cruciale. Cependant, de nombreuses personnes continuent d'utiliser des mots de passe peu sûrs et faciles à deviner, exposant ainsi leurs comptes aux cybermenaces.
Examinons les mots de passe les plus courants et voyons pourquoi ces choix représentent des risques importants pour votre sécurité numérique.
Quel est le mot de passe le plus courant ?
Malgré les progrès technologiques, les mots de passe peu sûrs continuent de constituer une vulnérabilité importante. Les mots de passe courants tels que « Password1 » ou ceux qui reprennent des informations personnelles faciles à deviner, comme les dates d'anniversaire, les noms d'animaux de compagnie, les prénoms des enfants ou les équipes sportives préférées, peuvent être facilement devinés par les pirates informatiques, qui surveillent souvent les comptes sur les réseaux sociaux afin de recueillir ce type d'informations.
De plus, bon nombre de mots de passe couramment utilisés restent d'une simplicité stupéfiante. Selon le rapport « 2025 Specops Breached Password Report » (s'ouvre dans un nouvel onglet), les mots de passe les plus volés en 2024 sont notamment 123456, « admin » et « password ». Le rapport souligne également que de nombreux utilisateurs ont tendance à utiliser des mots de passe simples et courants, tels que « admin » ou « welcome », qui sont facilement piratables par le biais d'attaques par dictionnaire.
En prenant conscience des risques liés aux mots de passe courants et en adoptant des mesures proactives pour renforcer les pratiques et les politiques en matière de mots de passe, les particuliers et les organisations peuvent réduire considérablement le risque d'accès non autorisé et améliorer leur niveau global de cybersécurité.
Dans la section suivante, nous aborderons l'importance d'utiliser des mots de passe forts et uniques, et nous verrons comment ceux-ci peuvent considérablement renforcer votre sécurité informatique.
Pourquoi est-il important d'utiliser un mot de passe fort ?
À une époque où les cybermenaces ne cessent de gagner en sophistication, un seul mot de passe compromis peut entraîner des conséquences désastreuses, notamment l’usurpation d’identité, des pertes financières et l’accès non autorisé à des données sensibles.
Même si les risques liés aux mots de passe faibles sont bien connus, de nombreuses personnes continuent de les utiliser, voire de réutiliser le même mot de passe sur plusieurs comptes. Cette pratique accroît considérablement leur vulnérabilité face aux cybercriminels.
Prenez l’exemple suivant : « solarwinds123 » — c’est le mot de passe qu’un employé a créé pour accéder à un serveur sécurisé de la société SolarWinds, spécialisée dans les logiciels de gestion de réseau.
Nous connaissons tous la suite : des pirates informatiques ont pénétré dans (s'ouvre dans un nouvel onglet) et ont lancé l’une des pires cyberattaques de l’histoire des États-Unis, infectant 300 entreprises et neuf agences fédérales, et entraînant jusqu’à 100 milliards de dollars (s’ouvre dans un nouvel onglet) de coûts de remise en état.
«Les pirates informatiques ne s’introduisent pas dans les systèmes, ils s’y connectent. »Indice IBM X-Force 2025 sur les menaces
Selon l'indice « IBM X-Force 2025 Threat Intelligence Index » de l' , (s'ouvre dans un nouvel onglet), on a également constaté une augmentation de 84 % du nombre de logiciels de vol d'informations diffusés chaque semaine par le biais d'e-mails de hameçonnage. Les cybercriminels, qui exploitent l'intelligence artificielle pour étendre la portée de ces attaques de hameçonnage et les rendre plus efficaces, ont rendu possible cette recrudescence des logiciels malveillants de vol d'informations, ce qui a conduit à la mise en circulation de millions d'identifiants volés sur le dark web.
Maintenant que nous avons expliqué pourquoi l'utilisation de mots de passe forts est essentielle pour protéger votre identité numérique et vos informations sensibles, vous vous demandez peut-être : qu'est-ce qui caractérise exactement un bon mot de passe, un mot de passe fort ? Et comment pouvez-vous en créer un qui protège efficacement vos comptes ?
Découvrons ensemble les principales caractéristiques d'un bon mot de passe, ainsi que des conseils pratiques pour vous aider à créer des mots de passe à la fois sûrs et faciles à mémoriser.
Qu'est-ce qui caractérise un bon mot de passe ?
On pense généralement qu’il suffit d’ajouter des caractères alphanumériques, tels que des chiffres et les symboles #, @ et &, pour renforcer la sécurité de son mot de passe ; certaines applications l’exigent même.
Cependant, ce que beaucoup de gens ignorent, c’est que même les mots de passe qui répondent aux critères de complexité peuvent rester vulnérables s’ils figurent dans une liste connue de mots de passe compromis.
Par exemple, un mot de passe tel que « P@ssw0rd! » peut sembler sûr, mais s'il a été divulgué à la suite d'une fuite de données, il devient tout aussi risqué qu'un simple mot de passe. De plus, l'ajout de ces caractères peut en réalité entraîner une complexité inutile.
Il est toujours judicieux de se préparer au pire et de consulter les sites suivants : , « Have I Been Pwned » (s'ouvre dans un nouvel onglet),et pour obtenir la liste des fuites de données d'entreprises et des adresses e-mail compromises.
Alors, pourquoi le fait d'avoir un mot de passe complexe n'est-il plus la priorité absolue pour garantir la sécurité ?
L'Institut national des normes et des technologies (NIST) a récemment publié un ensemble de recommandations révolutionnaires en matière de sécurité des mots de passe, marquant ainsi une rupture avec les pratiques traditionnelles. Ces nouvelles recommandations, détaillées dans la publication spéciale n° 800-63B du NIST intitulée « » ( ) (s'ouvre dans un nouvel onglet), visent à renforcer la cybersécurité tout en améliorant l'expérience utilisateur.
L'une des évolutions les plus importantes de l'approche du NIST réside dans le fait qu'elle privilégie la longueur des mots de passe plutôt que leur complexité. S'écartant de l'idée reçue selon laquelle il faut mélanger des lettres majuscules et minuscules, des chiffres et des caractères spéciaux, le NIST considère désormais la longueur des mots de passe comme le facteur clé de leur sécurité. (Toutefois, la complexité peut encore jouer un rôle dans la prévention de menaces telles que les attaques par force brute de type « » (s'ouvre dans un nouvel onglet).)
«» Les mots de passe plus longs sont généralement plus sûrs et plus faciles à mémoriser pour les utilisateurs. Nous nous éloignons des règles complexes qui conduisent souvent à des schémas prévisibles pour privilégier l'utilisation de phrases de passe uniques et longues.1 »Le Dr Paul Turner, expert en cybersécurité au NIST
Le NIST recommande désormais une longueur minimale de mot de passe de 8 caractères, tout en privilégiant nettement les mots de passe encore plus longs. Les organisations sont invitées à autoriser des mots de passe comportant au moins 64 caractères afin de permettre l'utilisation de phrases de passe.
Dans le cadre d'une autre mise à jour importante, le NIST a supprimé l'obligation de changer régulièrement de mot de passe. L'institut fait valoir que les réinitialisations fréquentes se traduisent souvent par des mots de passe moins sûrs et des changements prévisibles, ce qui renforce les mauvaises habitudes en matière de mots de passe. Au contraire, les mots de passe ne devraient être modifiés qu'en cas d'indices laissant supposer une compromission.
« Obliger les utilisateurs à changer régulièrement de mot de passe n'améliore pas la sécurité et peut même s'avérer contre-productif », a expliqué M. Turner. « Il est plus efficace de surveiller les identifiants compromis et de n'exiger leur modification qu'en cas de nécessité. »
Les nouvelles recommandations soulignent également l'importance de vérifier les mots de passe par rapport à des listes de mots de passe couramment utilisés ou compromis. Le NIST recommande aux organisations de tenir à jour une liste noire de mots de passe peu sûrs et d'empêcher les utilisateurs de choisir un mot de passe figurant sur cette liste.
Par ailleurs, le NIST déconseille l'utilisation d'indices de mot de passe ou de questions d'authentification basées sur des connaissances, car celles-ci peuvent souvent être facilement devinées ou découvertes par le biais de l'ingénierie sociale et du hameçonnage.
Ces recommandations avant-gardistes du NIST devraient redéfinir ce qu'implique la création de bons mots de passe, en s'appuyant sur les dernières innovations visant à rendre la sécurité des mots de passe à la fois plus robuste et plus conviviale.
Les meilleures façons d'améliorer la sécurité de vos mots de passe
Mais ce ne sont pas seulement les éléments qui composent un mot de passe qui contribuent à le rendre plus sûr ; le respect de bonnes pratiques de sécurité vous aidera également à renforcer la sécurité de vos mots de passe, notamment :
Changez vos mots de passe moins souvent, et non pas plus souvent
Les entreprises demandent souvent à leurs employés de changer leurs mots de passe d'accès au réseau tous les 30 à 45 jours. Toutefois, cette approche peut poser problème, car elle risque d'entraîner des schémas prévisibles dans les changements de mot de passe. Par exemple, les utilisateurs pourraient simplement changer leur mot de passe de « 2024Yankees » à « 2025Yankees », ce qui ne renforce pas significativement la sécurité. Les pirates informatiques peuvent facilement repérer ces particularités (en surveillant vos comptes en ligne et en se basant sur votre appartenance à une équipe) jusqu’à ce qu’ils trouvent la bonne combinaison.
Il vaut mieux créer un mot de passe solide et s'y tenir que d'apporter de légères modifications à un mot de passe faible. Il existe toutefois une exception : les mots de passe des administrateurs système chargés de gérer des serveurs ou d'autres utilisateurs disposant de comptes à privilèges élevés doivent être modifiés environ une fois par mois.
Pourquoi ? Les rôles d'utilisateurs, tels que ceux des administrateurs système, disposent souvent de privilèges étendus et d'un accès à des infrastructures critiques, ce qui fait de leurs comptes des cibles de choix pour les cyberattaques. Le fait de changer régulièrement ces mots de passe permet de réduire le risque d'accès non autorisés et de violations potentielles de la sécurité.
En effet, à l'adresse , Microsoft explique (s'ouvre dans un nouvel onglet) comment une partie de son approche de « défense en profondeur » en matière de cybersécurité comprend des recommandations relatives à l'utilisation des mots de passe, afin de garantir que les comptes privilégiés utilisent non seulement des mots de passe hautement sécurisés, mais aussi que ceux-ci soient modifiés régulièrement pour réduire le risque de vol d'identifiants.
L'utilisation d'un gestionnaire de mots de passe est-elle toujours considérée comme une bonne pratique ?
Chris Hallenbeck (s'ouvre dans un nouvel onglet), RSSI chez Tanium, souligne que, bien que les gestionnaires de mots de passe soient des outils utiles car ils permettent de générer un mot de passe chiffré pour chaque application, ils nécessitent eux aussi un mot de passe principal fort.
Mettez en place une approche multicouche pour vos mesures de sécurité
Les modèles de sécurité traditionnels reposent sur un périmètre sécurisé et partent du principe que les utilisateurs et les appareils présents au sein du réseau sont fiables. Toutefois, cette approche présente des limites, notamment face à l' , à l'évolution des menaces et à l'essor du télétravail (s'ouvre dans un nouvel onglet) ainsi qu'au cloud computing.
Pour pallier ces failles de sécurité, les organisations adoptent le principe de l’accès avec le moins de privilèges possible ainsi qu’une architecture « Zero-Trust » ( ) (s’ouvre dans un nouvel onglet) afin de mettre en place une approche de sécurité plus robuste et plus adaptative, garantissant que l’accès aux ressources est vérifié en permanence et strictement contrôlé.
Le principe du « privilège minimal » est simple : les employés ne doivent avoir accès qu'aux applications et aux bases de données dont ils ont besoin pour exercer leurs fonctions. Par exemple, à mesure que les organisations migrent vers le cloud, elles ont eu tendance à accorder à de nombreux administrateurs système un accès à l'ensemble des bases de données hébergées dans le cloud. Il est préférable de répartir les tâches en fonction des bases de données dont les administrateurs système ont besoin. De cette manière, si une base de données dans le cloud venait à être compromise, un pirate n'aurait pas accès à l'ensemble des systèmes de l'entreprise.
Le modèle « Zero Trust » repose sur le principe « ne jamais faire confiance, toujours vérifier », qui exige une authentification et une autorisation continues pour chaque demande d'accès. Cette approche part du principe que les menaces peuvent provenir de n'importe où et met l'accent sur des contrôles d'accès stricts et une surveillance continue.
De plus, il est essentiel d'associer les principes du « Zero Trust » et du « privilège minimal » à des politiques de mots de passe rigoureuses et à l'authentification multifactorielle pour mettre en place une stratégie de défense à plusieurs niveaux. L'authentification multifactorielle (MFA) renforce la sécurité en associant les connexions traditionnelles par mot de passe à des applications d'authentification tierces auxquelles les utilisateurs accèdent via leur smartphone. Même si certains pourraient faire valoir que ce processus en plusieurs étapes est loin d'être « sans heurts », il est désormais courant tant pour les consommateurs que pour les travailleurs. Les applications d'authentification populaires telles que Cisco Duo, Google Authenticator et Authy sont désormais connues de tous, ce qui rend le processus familier et simple.
En intégrant les principes du « zero trust », du « privilège minimal » et de l'authentification multifactorielle (MFA), les organisations peuvent mettre en place un cadre de sécurité complet :
- Le modèle « Zero Trust » assure une vérification continue
- Le principe du « privilège minimal » garantit un accès restreint au strict minimum
- L'authentification par mot de passe multifactoriel (MFA) apporte des niveaux de protection supplémentaires
Ensemble, ces approches aident les organisations à réduire de manière proactive les risques cybernétiques, à protéger les données sensibles et à garantir le respect des exigences réglementaires.
Repensez le mot de passe traditionnel
La bonne nouvelle, c'est que le domaine de l'authentification continue d'évoluer afin de s'adapter aux menaces en constante évolution. Découvrez l'authentification sans mot de passe, une méthode qui supprime complètement le recours aux mots de passe traditionnels. Au lieu de saisir et de valider des mots de passe, les utilisateurs peuvent recourir à des « passkeys » — des clés numériques uniques stockées sur leurs appareils — ou à des méthodes biométriques « » telles que la lecture d’empreintes digitales et la reconnaissance faciale (s’ouvre dans un nouvel onglet). Ces techniques de pointe permettent non seulement de renforcer la sécurité, mais aussi de simplifier l'expérience utilisateur, la rendant à la fois sûre et pratique.
La biométrie et les clés d'accès sont-elles vraiment plus sûres que les mots de passe ?
La biométrie et les clés d'accès sont en effet considérées comme plus sûres que les mots de passe traditionnels.
Les biométriques, telles que les empreintes digitales et la reconnaissance faciale, constituent un moyen d'authentification unique et difficile à reproduire.
Les « Passkeys », qui utilisent des clés cryptographiques stockées sur les appareils, offrent une protection efficace contre les attaques de hameçonnage et de « credential stuffing ». Ces méthodes vous évitent d'avoir à mémoriser des mots de passe complexes et réduisent le risque de réutilisation des mots de passe.
Toutefois, ces méthodes présentent leurs propres difficultés et , ce qui amène certains experts en authentification à se demander si elles sont réellement sûres (s'ouvre dans un nouvel onglet).
La biométrie peut être compromise en cas de vol des données biométriques. De plus, les pirates peuvent recourir à des « deepfakes » générés par l'IA, à des empreintes digitales synthétiques et au clonage vocal pour tromper les systèmes d'authentification biométrique.
Si les clés d'accès constituent une alternative fiable aux mots de passe traditionnels, elles nécessitent toutefois une adoption généralisée et une compatibilité entre tous les appareils et toutes les plateformes. Les clés d'accès ne sont pas non plus totalement à l'abri des attaques. L'une des vulnérabilités potentielles réside dans le recours au hameçonnage pour inciter les utilisateurs à divulguer leur mot de passe. De plus, si un pirate parvient à accéder à un appareil sur lequel la clé d'accès est stockée, il peut compromettre cet appareil et l'utiliser pour s'authentifier.
Malgré ces défis, les avantages sont considérables : la biométrie et les clés d'accès offrent une expérience d'authentification fluide et sécurisée, ce qui permet de réduire la dépendance vis-à-vis des mots de passe traditionnels et de renforcer ainsi la cybersécurité globale.
[À lire également : L'avenir se fera sans mot de passe] (s'ouvre dans un nouvel onglet)
Cette transition vers l'authentification sans mot de passe marque une évolution majeure dans les habitudes en matière de mots de passe et souligne l'importance d'adopter de nouvelles mesures de sécurité pour protéger les informations sensibles dans un monde de plus en plus interconnecté.
Sensibiliser et responsabiliser les utilisateurs
L'un des moyens les plus efficaces de renforcer la sécurité des mots de passe consiste à sensibiliser régulièrement les utilisateurs à son importance et à leur donner les moyens d'agir en conséquence. Il est essentiel de proposer une formation continue et des ressources pour maintenir des normes élevées en matière de sécurité des mots de passe. Des ateliers réguliers, des webinaires et des sessions de formation interactives permettent de tenir les utilisateurs informés des dernières bonnes pratiques et des menaces émergentes.
Toutefois, cette formation ne doit pas se limiter à leur dire simplement de créer des mots de passe forts ; elle doit viser à leur faire comprendre en profondeur pourquoi ces pratiques sont essentielles et comment elles permettent de protéger à la fois les données personnelles et celles de l'entreprise. Lorsque les utilisateurs prennent conscience des risques liés aux mots de passe peu sûrs, les employés sont plus enclins à prendre des mesures proactives pour sécuriser leurs comptes. De plus, la mise en place de notifications et de rappels discrets concernant les bonnes pratiques en matière de mots de passe peut renforcer les bonnes habitudes et réduire le risque de failles de sécurité.
En investissant dans la formation et l'autonomisation des utilisateurs (s'ouvre dans un nouvel onglet), vous créez un environnement soucieux de la sécurité où chacun joue un rôle dans la protection des informations sensibles. Cette approche proactive permet non seulement de renforcer la sécurité des mots de passe, mais aussi de mettre en place une défense solide face à un environnement de cybermenaces en constante évolution.
À l'occasion de la Journée mondiale du mot de passe, c'est le moment idéal pour renforcer votre sécurité informatique. Tanium propose des solutions complètes qui renforcent la sécurité des mots de passe et la cybersécurité dans son ensemble en vous offrant une visibilité et un contrôle total sur vos terminaux, garantissant ainsi la sécurité et la conformité des appareils de votre environnement.
Tanium permet d'identifier et de corriger les vulnérabilités, notamment celles liées à la sécurité des mots de passe, et facilite le déploiement et la configuration de mesures de sécurité, telles que l'authentification multifactorielle, dans l'ensemble de votre environnement. Cela permet une application cohérente des politiques et la détection en temps réel des identifiants compromis, renforçant ainsi votre défense contre les menaces.
Grâce à Tanium Autonomous Endpoint Management (s'ouvre dans un nouvel onglet), nos avancées en matière de capacités d'automatisation optimisent des domaines essentiels tels que la gestion des correctifs et les workflows de sécurité, réduisant ainsi le temps et les efforts nécessaires pour gérer et sécuriser les mots de passe de manière proactive. En cas d'incident, vous pouvez rapidement mettre en quarantaine les machines suspectes ou infectées, ce qui permet de réduire les délais d'intervention et de renforcer votre capacité à protéger les informations sensibles.
N'attendez pas qu'une faille de sécurité se produise pour agir. Découvrez comment l'approche proactive de Tanium en matière de gestion et de sécurité des terminaux contribue à atténuer les risques liés aux mots de passe faibles ou compromis, créant ainsi un environnement informatique plus résilient qui protège vos actifs numériques. Prenez rendez-vous dès aujourd'hui pour une démonstration personnalisée : (s'ouvre dans un nouvel onglet).
