Une longueur minimale
La CNIL recommande un mot de passe d’au moins 12 caractères, combinant minuscules, majuscules, chiffres et caractères spéciaux. Il peut être plus court si le compte bénéficie de sécurités complémentaires [1]. Cybermalveillance.gouv.fr formule la même exigence : au minimum 12 signes mélangeant majuscules, minuscules, chiffres et caractères spéciaux [2].
Une phrase plutôt qu’un mot
La CNIL propose de mémoriser une phrase puis d’utiliser la première lettre de chaque mot, en y ajoutant des chiffres et des caractères spéciaux [1]. Cybermalveillance.gouv.fr recommande aussi d’éviter les informations personnelles faciles à trouver et les suites simples comme 123456 ou azerty [2].
Un mot de passe par service
Chaque compte sensible (banque, messagerie, réseau social) doit avoir son propre mot de passe : réutiliser le même favorise les piratages en cascade, selon la CNIL [1]. Cybermalveillance.gouv.fr ajoute de protéger en priorité sa messagerie, car elle sert à réinitialiser les autres comptes, et de changer un mot de passe dès qu’un doute apparaît, sans attendre la confirmation d’une fuite [2].
Le gestionnaire de mots de passe
Un gestionnaire chiffre les mots de passe dans une base protégée par un mot de passe maître : il suffit de retenir celui-là [1]. Cybermalveillance.gouv.fr cite KeePassXC, logiciel libre, gratuit et en français, certifié par l’ANSSI dans sa version 2.7.9, qui peut aussi générer des mots de passe aléatoires [2]. La CNIL cite KeePass, évalué par l’ANSSI, ainsi que Zenyway et Passwordsafe [1].
La double authentification
Il faut l’activer lorsque le service la propose. Cybermalveillance.gouv.fr cite notamment Gmail, Outlook, Facebook, Instagram, Amazon, PayPal et Apple iCloud [2]. Pour la CNIL, en cas de connexion depuis un terminal inconnu, le site prévient par SMS ou e-mail et l’on peut autoriser ou refuser l’accès [1].
Les erreurs à éviter
Choisir un mot de passe facile à deviner comme le nom de son animal, noter ses mots de passe sur un post-it ou dans un fichier texte, les enregistrer dans le navigateur d’un ordinateur partagé, ou les communiquer à un prétendu support technique [1][2]. Sur un ordinateur partagé, on utilise la navigation privée, on ferme ses sessions et on change les mots de passe saisis une fois sur un appareil de confiance [2].
Sources et références
[1] CNIL. Les conseils de la CNIL pour un bon mot de passe. Publié le 26 janvier 2017, consulté le 29 octobre 2026. Longueur, phrase, gestionnaire, double authentification, erreurs.
[2] Cybermalveillance.gouv.fr. Pourquoi et comment bien gérer ses mots de passe ?. Publié le 23 novembre 2019, mis à jour le 5 octobre 2026, consulté le 29 octobre 2026. Dix bonnes pratiques et outils.
