6 167 notifications de violation de données enregistrées par la CNIL en 2025, un record historique. 23,5 millions de comptes français compromis au seul premier trimestre 2026. Les anciens repères 8, 10 voire 12 caractères, une majuscule, un chiffre et un symbole ne protègent plus personne.

La puissance de calcul a explosé, les fuites s'accumulent et les recommandations officielles ont radicalement changé. La thèse de cet article est simple : en 2026, la robustesse d'un mot de passe repose avant tout sur sa longueur, l'absence de règles arbitraires et l'activation systématique de l'authentification multi-facteurs.

Les idées reçues qui fragilisent la sécurité

On entend encore partout qu'un mot de passe doit être « complexe », avec des majuscules, des chiffres et des caractères spéciaux. Cette règle, imposée pendant des années par des milliers de sites, est aujourd'hui déconseillée voire purement et simplement interdite par les autorités compétentes.

La révision 4 du NIST SP 800-63B, publiée en 2024 et applicable à partir de 2025, interdit formellement les règles de complexité. Pourquoi ? Parce que les humains sont terriblement prévisibles. Lorsqu'ils sont contraints de se plier à ce type d'exigence, 95% placent la majuscule en première position, 53% finissent par un chiffre et 78% ajoutent un « ! » ou un « @ ».

Résultat : « Password1! » satisfait toutes les exigences classiques... et se fait casser en moins d'une seconde, selon la même source.

Le mythe des 12 caractères « suffisants » tient encore moins la route. Selon les données relayées par Clubic à propos des données compilées par Hive Systems en 2025 sur les temps de cassage des mots de passe, 10 combinaisons de mots de passe peuvent être cassées instantanément, contre seulement 4 un an plus tôt. Un code à 8 chiffres tombe immédiatement, et tous les mots de passe de 6 caractères ou moins cèdent en deux semaines maximum.

La CISA, l'agence américaine de cybersécurité, recommande désormais un minimum de 16 caractères, comme le rappelle Tuta. La longueur est devenue le critère numéro un.

Une troisième croyance persistante : il faudrait changer son mot de passe tous les trois mois. Le NIST l'interdit désormais, sauf en cas de compromission avérée.

Lorsqu'ils sont contraints d'en changer, les utilisateurs adoptent des schémas triviaux : dans 41% des cas, un ancien mot de passe permet de deviner le nouveau, toujours selon CaptainDNS.

Une étude de 2026 confirme que la durée de vie moyenne d'un mot de passe est de trois à cinq ans, loin des rotations frénétiques auxquelles nous étions contraints de nous soumettre.

Pour illustrer la persistance des mauvaises habitudes en France, un classement de 2025 montre un top 5 consternant : admin, 123456, password, azerty, 123456789.

Tous sont cassés en moins d'une seconde. (Nous vous invitons à consulter les 20 mots de passe les plus utilisés en France pour mesurer l'étendue des dégâts.)

L'ampleur de la menace : des chiffres qui imposent un nouveau standard

Les violations de données en France atteignent des niveaux sans précédent. En 2024, la CNIL enregistrait déjà 5 629 notifications, soit une hausse de 20% par rapport à 2023, comme l'indique le rapport RM3A.

L'année 2025 a été pire encore : 6 167 violations enregistrées, soit une hausse de 9,5%, comme le détaille un article des Echos. Ce rythme effréné place la France au deuxième rang mondial des pays les plus touchés au premier trimestre 2026, avec 23,5 millions de comptes compromis.

Le volume d'identifiants en libre circulation est tout simplement vertigineux. En juin 2025, la CNIL alertait sur une base de données de 16 milliards d'identifiants et de mots de passe volés, accessible en ligne.

Les conséquences sont concrètes pour les particuliers : selon le rapport 2025 de Cybermalveillance.gouv.fr, le piratage de compte représente désormais la deuxième cybermenace la plus signalée, avec plus de 11% des demandes d'assistance.

Enfin, l'étude de 2026, qui a analysé 231 millions de mots de passe uniques provenant du Dark Web, révèle que plus de la moitié (54%) des mots de passe détectés lors de fuites récentes avaient déjà été divulgués lors de précédentes violations de données. La réutilisation est un fléau silencieux.

Pourquoi les anciens standards sont dépassés : la puissance de calcul explose ?

Le matériel grand public dispose désormais d'une puissance de calcul qui aurait semblé irréaliste il y a seulement deux ans.

L'analyse de ces 231 millions de mots de passe révèle que 60 % d'entre eux peuvent être piratés en moins d'une heure avec une simple carte graphique RTX 5090. Pire encore : 48% sont déchiffrés en moins d'une minute.

La RTX 5090 délivre 220 gigahashs par seconde sur des hachages MD5 en 2026. La barre ne cesse de monter.

Les projections de Hive Systems, relayées par Clubic, confirment la tendance. À l'inverse, un mot de passe de 13 caractères mêlant chiffres, majuscules, minuscules et symboles mettrait 275 milliards d'années à être cassé.

Mais c'est bien la longueur qui offre la meilleure protection : 16 caractères aléatoires donnent plus de 10 octillions de combinaisons, tandis qu'un mot de passe de 10 caractères utilisant les quatre types de caractères n'offre que 83 sextillions, comme le détaille Tuta.

Les mauvaises habitudes persistent cependant : 53 % des mots de passe se terminent par un ou plusieurs chiffres, 17 % des mots de passe commencent par un chiffre et 12 % contiennent une séquence ressemblant à une année (entre 1950 et 2030).

Même les mots de passe générés par une IA ne sont pas significativement plus sûrs que ceux inventés par un humain. La technologie ne sauvera personne si les comportements restent les mêmes.

Ce que les autorités recommandent en 2026

En 2024 (pour une application effective en 2025), le NIST a défini un cadre radicalement opposé aux anciennes pratiques.

Sa publication SP 800-63B-4, décortiquée par CaptainDNS, exige désormais : une longueur minimale obligatoire de 8 caractères, mais 15 recommandés ; la capacité d'accepter des mots de passe d'au moins 64 caractères ; l'interdiction pure et simple des règles de complexité ; la fin de la rotation périodique sauf compromission ; et la vérification obligatoire par rapport aux bases de données de mots de passe compromis.

La CISA va plus loin en recommandant un minimum de 16 caractères. En France, l'ANSSI conseille 12 à 16 caractères, voire plus pour les accès critiques, en mettant l'accent sur l'entropie plutôt que sur des règles rigides, comme l'explique Lockself. La CNIL, de son côté, privilégie la notion d'entropie plutôt qu'une longueur fixe.

Ces recommandations s'accompagnent d'un impératif absolu : l'authentification multi-facteurs (MFA). Selon les études de Microsoft citées par le NIST et reprises par IT-Connect, la MFA bloque plus de 99,2% des attaques de compromission de compte.

Mais toutes les méthodes ne se valent pas : l'ANSSI déconseille les SMS OTP, vulnérables au SIM swapping, et recommande plutôt les applications TOTP ou les clés de sécurité physiques, comme le rappelle Lockself.

Un cadre concret pour des mots de passe robustes en 2026

Passer à la pratique, c'est adopter cinq habitudes qui transforment radicalement votre sécurité numérique. Voici les piliers d'une hygiène digne de 2026.

1. Misez sur la longueur et les phrases de passe

Visez au moins 16 caractères. La recommandation de StaySafeOnline est claire : la longueur fait passer le temps de cassage de quelques heures à des millions d'années pour les mots de passe de 16 caractères.

Et si l'on vous dit que retenir une chaîne aléatoire de 16 caractères est mission impossible, c'est que l'on ne vous a jamais parlé des phrases de passe. « LeChatBoitDuThéNoirÀ7h! » fait 27 caractères, mélange naturellement majuscules, minuscules, chiffres et symboles, et reste facile à retenir.

Le NIST encourage par ailleurs les services à accepter jusqu'à 64 caractères afin que ce type de phrase puisse être utilisé partout, comme le précise IT-Connect.

2. Adoptez un gestionnaire de mots de passe

Un gestionnaire dédié génère et retient pour vous des mots de passe uniques, longs et aléatoires, sans que vous ayez à en mémoriser un seul. L'outil devient le coffre-fort de votre vie numérique.

Un bon gestionnaire intègre toujours un puissant générateur de mots de passe capable de produire des chaînes totalement aléatoires, bien plus robustes que ce que votre cerveau pourrait inventer.

Quant au gestionnaire de mots de passe intégré à votre navigateur, mieux vaut l'ignorer : moins sûr, moins interopérable, il ne protège pas vos identifiants aussi efficacement.

3. Vérifiez que le mot de passe n'est pas déjà compromis

Utilisez des services comme Have I Been Pwned ou la fonction de vérification intégrée à la plupart des gestionnaires sérieux. Quand on sait que 54% des mots de passe divulgués ont déjà figuré dans des violations antérieures, cette vérification n'est plus optionnelle.

4. Activez l'authentification multi-facteurs (MFA)

Activez la MFA sur tous les comptes sensibles e-mail, banque, réseaux sociaux. Privilégiez une application TOTP (Aegis, FreeOTP) ou une clé physique (YubiKey), conformément aux recommandations de l'ANSSI. Les SMS OTP sont à éviter absolument.

5. Ne réutilisez jamais un mot de passe

C'est le corollaire logique des points précédents. Chaque service mérite un mot de passe unique. Les méga-fuites le prouvent : un seul mot de passe compromis peut ouvrir la porte à des dizaines de comptes si vous l'avez recyclé. L'unicité est votre meilleure armure.

Limites et contre-arguments

Aucune méthode n'est parfaite. Un mot de passe, même de 40 caractères, peut toujours être capturé par hameçonnage, vol de session ou logiciel malveillant. Certains sites refusent encore les mots de passe de plus de 20 caractères ou les caractères spéciaux exotiques, ce qui limite leur usage.

Les phrases de passe, aussi pratiques soient-elles, peuvent devenir prévisibles si elles reprennent des paroles de chansons, des citations connues ou des expressions trop populaires.

Une étude de 2026 note que les mots de passe générés par l'IA ne sont pas significativement plus robustes, prouvant que les humains doivent rester impliqués avec les outils appropriés. Enfin, les passkeys et l'authentification sans mot de passe dessinent l'avenir, mais la transition reste lente.

Enfin pour conclure

Douze caractères ne suffisent plus, et les anciennes règles de complexité sont contre-productives. La puissance de calcul, les fuites massives et les nouvelles normes imposent des habitudes simples : au moins 16 caractères, des phrases de passe, un gestionnaire de mots de passe et la MFA partout où c'est possible.

En 2026, protéger ses comptes commence par désapprendre ce que l'on croyait savoir.