Marketing
Mot de passe robuste : ce que recommandent vraiment la CNIL et l’ANSSI (tableau d’entropie)
Les trois cas de la CNIL (80, 50 et 13 bits), les longueurs minimales de l’ANSSI, un tableau d’entropie par longueur et alphabet, et les phrases de passe en chiffres.
Par TooleemPublié Faits vérifiés
En bref
La CNIL fixe un objectif d’entropie de 80 bits pour un mot de passe utilisé seul : par exemple 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, 14 caractères sans caractères spéciaux, ou une phrase de passe d’au moins 7 mots. Avec un blocage après plusieurs échecs, 50 bits suffisent. L’ANSSI raisonne pareil : entre 12 et 14 caractères pour une sensibilité moyenne à forte, au moins 15 pour une sensibilité forte. Les deux déconseillent d’imposer un changement périodique aux comptes ordinaires.
Faire le calcul
Générateur de mot de passe
Générez un mot de passe vraiment aléatoire de la longueur et avec les types de caractères que vous voulez, directement dans le navigateur.
Sur cette page
Les trois cas de la CNIL
La recommandation de la CNIL du 21 juillet 2022 (délibération n° 2022-100) ne fixe plus une longueur unique : elle fixe un niveau d’entropie selon les protections qui entourent le mot de passe.
| Cas | Entropie minimale | Mesures associées | Exemples d’usage |
|---|---|---|---|
| 1. Mot de passe seul | 80 bits | Conseiller l’utilisateur sur un bon mot de passe | Forum, blog |
| 2. Avec restriction d’accès | 50 bits | Temporisation ou blocage après des échecs, captcha | Site de commerce, compte d’entreprise, messagerie |
| 3. Avec un matériel détenu | 13 bits | Matériel en possession de la personne, blocage après 3 échecs | Carte bancaire, téléphone |
Pour le cas 1, la CNIL donne trois compositions qui atteignent 80 bits : 12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux (choisis parmi au moins 37), 14 caractères avec majuscules, minuscules et chiffres, ou une phrase de passe d’au moins 7 mots.
Tableau d’entropie : longueur × jeu de caractères
entropie (bits) = longueur × log2(nombre de caractères possibles)
| Longueur | Chiffres (10) | Minuscules (26) | Min. + maj. (52) | Lettres + chiffres (62) | Jeu ANSSI (90) | Lettres + chiffres + 37 spéciaux (99) |
|---|---|---|---|---|---|---|
| 8 | 27 | 38 | 46 | 48 | 52 | 53 |
| 10 | 33 | 47 | 57 | 60 | 65 | 66 |
| 12 | 40 | 56 | 68 | 71 | 78 | 80 |
| 14 | 47 | 66 | 80 | 83 | 91 | 93 |
| 16 | 53 | 75 | 91 | 95 | 104 | 106 |
| 20 | 66 | 94 | 114 | 119 | 130 | 133 |
Erreur fréquente
L’entropie ne vaut que pour un mot de passe tiré au hasard
Un mot de passe choisi par une personne, comme « Soleil2026! », a 11 caractères, soit 73 bits en théorie, mais bien moins en réalité : un mot du dictionnaire, une année et un point d’exclamation final sont les premiers essais d’un attaquant. L’ANSSI le rappelle : l’estimation ne tient que si chaque caractère est choisi au hasard.
Ce que recommande l’ANSSI
| Sensibilité | Longueur minimale | Taille de clé équivalente |
|---|---|---|
| Faible à moyenne | Entre 9 et 11 caractères | environ 65 bits |
| Moyenne à forte | Entre 12 et 14 caractères | environ 85 bits |
| Forte à très forte | Au moins 15 caractères | 100 bits ou plus |
- Au-delà, l’ANSSI recommande l’authentification multifacteur pour les contextes sensibles.
- Pour un mot de passe qui n’a pas besoin d’être mémorisé, elle conseille une longueur très grande, plus de 20 caractères par exemple.
- Elle déconseille de fixer une longueur maximale faible (8 ou 10 caractères), qui empêche les phrases de passe.
- Pas de délai d’expiration par défaut pour les comptes non sensibles ; pour les comptes d’administration authentifiés par mot de passe seul, un délai de 1 à 3 ans par exemple.
Les phrases de passe, en chiffres
Une phrase de passe est faite de mots tirés au hasard dans une liste. Chaque mot apporte log2(taille de la liste) bits. Pour atteindre 80 bits avec 7 mots, il faut une liste d’au moins 2 757 mots environ.
| Nombre de mots | Liste de 2 048 mots | Liste de 7 776 mots |
|---|---|---|
| 5 | 55 bits | 65 bits |
| 6 | 66 bits | 78 bits |
| 7 | 77 bits | 90 bits |
Les mots doivent être tirés au hasard, pas choisis : une phrase de chanson ou un proverbe connu a une entropie très faible.
En pratique, pour vos comptes
- Un mot de passe différent par service : la réutilisation est le premier risque, quelle que soit la longueur.
- Un gestionnaire de mots de passe pour les retenir, protégé par une phrase de passe longue.
- La double authentification partout où elle existe, surtout pour la messagerie, qui sert à réinitialiser tout le reste.
- Pas de changement systématique tous les trois mois ; un changement immédiat en cas de fuite ou de doute.
Faire le calcul
Générateur de mot de passe
Générez un mot de passe vraiment aléatoire de la longueur et avec les types de caractères que vous voulez, directement dans le navigateur.
Sources
Les chiffres et règles de ce guide proviennent de ces documents.
- Mots de passe : recommandations pour maîtriser sa sécuritéCNILLes trois cas (80, 50 et 13 bits), les exemples de composition, la fin du renouvellement périodique pour les comptes ordinaires.
- Délibération n° 2022-100 du 21 juillet 2022 portant adoption d’une recommandation relative aux mots de passe et autres secrets partagésLégifrance (Journal officiel)Texte officiel de la recommandation.
- Recommandations relatives à l’authentification multifacteur et aux mots de passe (ANSSI-PG-078, 8 octobre 2021)ANSSITableau des longueurs minimales (R21), pas de longueur maximale (R22), expiration (R24, R25), limite de l’entropie.
Faits vérifiés