Testez la complexité d'un mot de passe

Le risque informatique est de plus en plus présent dans notre environnement actuel. Vous trouverez dans cette fiche un outil pour tester votre mot de passe, et vous aurez ainsi une idée de la complexité à « cracker » ce mot si précieux à la protection de vos données. Mais avant de commencer, voici quelques précisions.

Depuis 2003, Bill Burr (via l’agence américaine NIST) conseillait de créer un mot de passe contenant majuscules, minuscules, chiffres et signes de ponctuation et de le changer régulièrement (tous les 90 jours). Le problème est que de tels mots de passe sont difficiles à retenir par les utilisateurs, bien que pas si compliqué à « casser » si on combine une attaque hybride combinant dictionnaire et force brute. En effet, il est courant de remplacer la lettre O par un zéro, le E par un 3, les L ou les I par un 1, les S par un 5…

En 2017, il est revenu sur ces préconisations, maintenant il propose une meilleure solution, rédigée par Paul Grassi : une phrase ou suite de mots. Par exemple « culturetomateverteconfiture » ou « jemappelTotoet-jesuisunexempledemotdepasse ». A chacun sa technique, mais le plus important est de ne pas oublier que votre pire ennemi sera vous-même, ne laissez pas votre mot de passe sur un bout de papier.

L’outil ci-dessous vous permet de tester votre mot de passe. Saisissez le et vous connaitrez ainsi l’indice de sécurité en temps réel. Vous pouvez ainsi observer l’évolution.
Cet outil est un indicateur pédagogique, il vous donne un indice de complexité basé sur l’utilisation des minuscules, majuscules, chiffres et caractères spéciaux.

Les données saisies ne sont pas enregistrées, mais pour votre sécurité, ne saisissez jamais un mot de passe réellement utilisé sur un site de test. Utilisez un exemple fictif pour comprendre les critères de robustesse. Pour protéger vos comptes, privilégiez un gestionnaire de mots de passe et l’authentification multifacteur.

Plus l’indice est élevé, meilleur sera votre mot de passe… Pour information :

• admin : mot de passe trop courant
• toro : 4
• TORO : 16
• ToR1 : 48
• T@r1 : 121

Et tout ça, avec seulement 4 caractères !

Ne perdez pas de vue l’essentiel, un score élevé calculé par cet outil ne prouve pas que votre mot de passe résistera à une attaque. Un mot de passe peut sembler complexe tout en étant connu, compromis (s’il est présent dans une base de données issue d’un piratage) ou facilement prévisible.

Qu’est-ce qui rend un mot de passe réellement sécurisé ?

Pendant longtemps, les recommandations encourageaient à créer des mots de passe complexes en mélangeant majuscules, minuscules, chiffres et symboles, puis à les renouveler régulièrement.

Ces pratiques ont évolué. Les autorités de cybersécurité privilégient désormais des mots de passe suffisamment longs, difficiles à deviner et non réutilisés.

En effet, remplacer certaines lettres par des chiffres ne garantit pas une meilleure protection. Des combinaisons comme « P@ssw0rd123 » restent prévisibles, car les cybercriminels utilisent des dictionnaires de mots de passe et des méthodes automatisées intégrant ces substitutions.

La longueur constitue un facteur important de robustesse, à condition de ne pas utiliser une combinaison évidente ou déjà compromise.

La CNIL recommande notamment des politiques de mots de passe adaptées au contexte d’utilisation. Le référentiel NIST publié en 2025 préconise, pour une authentification reposant uniquement sur un mot de passe, un minimum de 15 caractères.

Les phrases de passe représentent également une solution intéressante. Elles peuvent être constituées de plusieurs mots choisis aléatoirement, suffisamment longs pour rendre leur découverte difficile.

Les bonnes pratiques pour protéger vos comptes

Pour renforcer la sécurité des comptes personnels et professionnels, plusieurs mesures complémentaires doivent être adoptées.

Utiliser un mot de passe unique pour chaque compte. La réutilisation expose plusieurs services lorsqu’un seul identifiant est compromis. Il est également déconseillé de créer différentes variantes d’un même mot de passe.

Privilégier un gestionnaire de mots de passe. Cet outil permet de générer des mots de passe longs et aléatoires, puis de les conserver dans un espace protégé, sans devoir tous les mémoriser.

Activer l’authentification multifacteur (MFA). Elle ajoute une protection supplémentaire en demandant une autre preuve d’identité. Lorsque cela est possible, privilégiez les méthodes résistantes au phishing, notamment les clés de sécurité ou les passkeys.

Changer un mot de passe lorsqu’il existe un risque de compromission. Pour les comptes utilisateurs classiques, le renouvellement automatique tous les 30 ou 90 jours n’est généralement plus recommandé. En revanche, un mot de passe exposé, volé ou suspect doit être remplacé rapidement.

Éviter les informations personnelles et les combinaisons prévisibles. Dates de naissance, prénoms, noms d’entreprise, suites de chiffres ou mots fréquemment utilisés sont particulièrement vulnérables.

Dans l’entreprise, ces mesures doivent s’accompagner d’une sensibilisation des collaborateurs et d’une politique d’authentification adaptée à la sensibilité des accès.

Pour aller plus loin

• CNIL : recommandations relatives aux mots de passe.
• NIST SP 800-63B-4 : référentiel d’authentification (2025).
• Cybermalveillance.gouv.fr : bonnes pratiques de gestion des mots de passe.
• ANSSI : recommandations sur l’authentification multifacteur et les mots de passe.
• Recommandations de la CNIL : « Authentification par mot de passe : les mesures de sécurité élémentaires »
• Outil de la CNIL : « Générer un mot de passe solide »
• « Comment créer un mot de passe sécurisé et simple à retenir ? »