Mots de passe et MFA : le guide 2026

En 2026, la grande majorité des piratages de comptes ne ressemblent pas à un film de hackers. Pas de faille exotique, pas de virus sophistiqué : l'attaquant se connecte tout simplement avec ton mot de passe. Il l'a deviné, acheté dans une base de données volée, ou récupéré via une fausse page de connexion. La bonne nouvelle ? Quelques réflexes bien choisis suffisent à transformer tes comptes en cibles quasi inattaquables. Ce guide te montre lesquels, et dans quel ordre les mettre en place.

Pourquoi tes mots de passe sont la première cible

Le mot de passe est historiquement la première ligne de défense d'un compte. C'est aussi devenu son maillon le plus faible. Les chiffres parlent d'eux-mêmes : environ 8 violations de données sur 10 impliquent un mot de passe faible, réutilisé ou volé. Et des milliards d'identifiants circulent librement sur les forums cybercriminels, prêts à être rejoués sur d'autres services.

Concrètement, les attaquants combinent plusieurs techniques industrialisées :

• Le brute-force et les dictionnaires mutés : des programmes testent des milliards de combinaisons par seconde sur des fermes de cartes graphiques, en appliquant des règles intelligentes (majuscule au début, 2026! à la fin, a remplacé par @…).
• Le credential stuffing : ton couple email + mot de passe a fuité sur un petit site de e-commerce ? L'attaquant le rejoue automatiquement sur ta boîte mail, ton compte bancaire, ton espace Microsoft 365. Si tu réutilises le même mot de passe partout, une seule fuite suffit à tout compromettre.
• Le phishing nouvelle génération : les emails frauduleux sont aujourd'hui rédigés par des IA, sans fautes d'orthographe, parfois en imitant le style de ton école ou de ton entreprise. La fausse page de connexion est un clone parfait de la vraie.

Face à cet arsenal, deux idées reçues sont à abandonner immédiatement : non, ajouter un ! à la fin ne rend pas un mot de passe fort, et non, le changer tous les 90 jours n'améliore pas ta sécurité. Cette politique d'expiration forcée est même déconseillée par l'ANSSI et le NIST, car elle pousse à créer des suites prévisibles (Pass2026a, puis Pass2026b…). Ce qui compte vraiment, c'est la longueur et l'unicité.

La passphrase : longue, simple à retenir, impossible à casser

Face aux capacités de calcul actuelles, la longueur est devenue la métrique reine. Un mot de passe de 8 caractères, même truffé de symboles, tombe en quelques heures. À l'inverse, une phrase de 25 caractères composée de simples mots résiste pendant des millions d'années aux mêmes attaques. C'est tout le principe de la phrase de passe (passphrase) : plutôt que de mémoriser Xk7#qP2!, retiens une phrase complète.

Trois règles pour construire une bonne passphrase :

1. Vise au moins 20 caractères. Une phrase de 4 à 6 mots y arrive sans effort : mon chat roux dort sur le clavier fait déjà 33 caractères.
2. Choisis des mots sans lien avec toi. Bannis prénoms, dates de naissance, nom de ton entreprise ou de ton groupe préféré : ce sont les premières pistes testées par les attaques ciblées. Le mieux : des mots tirés au hasard, sans logique entre eux.
3. Garde les espaces. Ils comptent comme des caractères spéciaux dans la quasi-totalité des systèmes modernes et allongent ta phrase sans ralentir ta frappe.

Repère simple : un mot de passe court et « compliqué » comme Jean2026! est faible. Une phrase longue et « simple » comme le velo bleu traverse la lune en avril est excellente. La longueur bat la complexité, à chaque fois.

En pratique, tu n'as besoin de mémoriser qu'une ou deux passphrases : celle de ta session et celle qui déverrouille ton gestionnaire de mots de passe. Tout le reste, c'est lui qui s'en charge.

Le gestionnaire de mots de passe : un seul secret à retenir

Un internaute moyen jongle avec 50 à 100 comptes. Exiger un mot de passe unique et long pour chacun dépasse les capacités de n'importe quelle mémoire humaine, et c'est exactement pour ça que le gestionnaire de mots de passe existe. Le principe : un coffre-fort chiffré (AES-256) qui génère, stocke et remplit automatiquement des mots de passe aléatoires uniques pour chaque service. Toi, tu ne retiens que la passphrase maître qui ouvre le coffre.

Bonus souvent méconnu : le gestionnaire est aussi un anti-phishing redoutable. Le remplissage automatique est lié au nom de domaine exact du site. Si tu atterris sur paypa1.com au lieu de paypal.com, le gestionnaire ne reconnaît pas l'URL et refuse de proposer tes identifiants. Ce silence inhabituel doit immédiatement t'alerter.

Quelques solutions éprouvées selon ton profil :

• Bitwarden : open source, gratuit pour l'essentiel, auto-hébergeable. Le choix polyvalent par excellence, y compris pour une petite équipe.
• KeePassXC : 100 % local et hors-ligne. Idéal si tu veux une souveraineté totale sur ton coffre, au prix d'une synchronisation manuelle entre appareils.
• Proton Pass ou 1Password : confort maximal, alias d'email jetables, partage sécurisé en famille ou en équipe.

Et le gestionnaire intégré au navigateur ? C'est mieux que rien, mais c'est aussi la cible favorite des malwares voleurs d'informations (infostealers), qui aspirent en quelques secondes tous les mots de passe enregistrés dans Chrome ou Edge. Un coffre dédié, protégé par une passphrase maître forte, offre une couche d'isolation supplémentaire.

La MFA : le filet de sécurité qui change tout

Même un excellent mot de passe peut être volé par phishing ou par fuite côté serveur. C'est là qu'intervient l'authentification multi-facteurs (MFA, parfois appelée 2FA) : pour te connecter, tu dois prouver ton identité avec au moins deux éléments de natures différentes :

• Ce que tu sais : un mot de passe, un code PIN.
• Ce que tu possèdes : ton smartphone, une clé de sécurité physique.
• Ce que tu es : ton empreinte digitale, ton visage.

L'effet est massif : l'activation de la MFA bloque la quasi-totalité des attaques automatisées sur les comptes. Un attaquant qui possède ton mot de passe se heurte à un mur s'il ne possède pas aussi ton deuxième facteur. Mais attention : toutes les méthodes MFA ne se valent pas.

SMS, application TOTP, passkeys : que choisir ?

Le code par SMS est la méthode la plus répandue… et la plus fragile. Elle est vulnérable au SIM swapping : l'attaquant convainc ton opérateur de transférer ta ligne sur sa propre carte SIM et reçoit tes codes à ta place. C'est mieux que rien, mais à éviter dès qu'une alternative existe.

Les applications TOTP (Aegis, Google Authenticator, Microsoft Authenticator…) génèrent un code à 6 chiffres renouvelé toutes les 30 secondes, directement sur ton téléphone, sans passer par le réseau mobile. Bien plus robustes que le SMS, elles restent toutefois contournables par les kits de phishing en temps réel (attaques adversary-in-the-middle) : la fausse page relaie instantanément ton code valide au vrai site et vole ta session.

Les clés FIDO2 (YubiKey et équivalents) et les passkeys (la déclinaison logicielle intégrée à ton téléphone ou ton ordinateur) règlent ce problème à la racine : l'authentification repose sur une signature cryptographique liée au nom de domaine exact du site. Une page clone, même parfaite visuellement, ne peut tout simplement pas obtenir de signature valide. C'est ce qu'on appelle la MFA résistante au phishing, et c'est le standard recommandé en 2026.

Les 5 erreurs qui ruinent tout

1. Réutiliser le même mot de passe partout. C'est l'erreur numéro un : une fuite sur un site secondaire devient une clé universelle vers ta messagerie, qui permet ensuite de réinitialiser tous tes autres comptes.
2. Décliner un mot de passe de base. Soleil2025!, Soleil2026!… Les outils de cassage connaissent ces schémas par cœur et les testent en priorité.
3. Négliger les questions de sécurité. Le nom de jeune fille de ta mère ou ta première école se trouvent en cinq minutes sur les réseaux sociaux. Réponds par une chaîne aléatoire stockée dans ton gestionnaire.
4. Ignorer les codes de récupération. Au moment d'activer la MFA, chaque service te fournit des codes de secours. Sans eux, perdre ton téléphone signifie perdre tes comptes. Range-les dans ton gestionnaire ou imprime-les en lieu sûr.
5. Saisir ses identifiants après avoir cliqué sur un lien reçu. Email, SMS, message privé : peu importe le canal, ne te connecte jamais via un lien reçu. Passe par tes favoris ou tape l'adresse toi-même.

Ton plan d'action en 4 étapes

Pas besoin de tout faire en un week-end. Procède dans cet ordre :

1. Installe un gestionnaire de mots de passe et crée une passphrase maître d'au moins 20 caractères, que tu ne réutilises nulle part ailleurs.
2. Sécurise ton email principal en priorité : c'est la clé de voûte qui permet de réinitialiser tous tes autres comptes. Mot de passe unique généré + passkey ou clé FIDO2.
3. Active la MFA sur tes comptes sensibles : banque, réseaux sociaux, stockage cloud, espace étudiant ou professionnel. Privilégie passkey > TOTP > SMS.
4. Remplace progressivement tes anciens mots de passe par des mots de passe générés, en commençant par ceux que tu sais réutilisés. Vérifie au passage sur un service comme Have I Been Pwned si ton adresse apparaît dans des fuites connues.

En une soirée pour les comptes critiques, puis quelques minutes par semaine pour le reste, tu élimines la quasi-totalité des scénarios de piratage qui touchent le grand public. Et si tu veux aller plus loin (comprendre les attaques en profondeur, manipuler les outils et bâtir une vraie hygiène numérique), c'est ce que traite la bibliothèque BTS SIO 1, module Identité numérique.