Il y a encore cinq ans, un mot de passe de 12 caractères avec majuscules, chiffres et symboles passait pour très solide. Aujourd’hui, en 2026, cette même combinaison peut être craquée en moins de 48 heures par un attaquant motivé disposant d’un rig de 8 GPU RTX 5090 ou d’un accès à un cluster cloud bien configuré.
Les règles ont changé. Les attaques par force brute ne sont plus le seul danger : les fuites massives de bases de données (plus de 15 milliards de comptes compromis en 2024 selon Have I Been Pwned), les attaques par dictionnaire dopées à l’IA, les rainbow tables actualisées en continu et les modèles de langage qui devinent les patterns humains rendent les mots de passe « classiques » beaucoup plus vulnérables qu’avant.
Alors, comment faire pour avoir un mot de passe qui résiste réellement en 2026 ? Voici ce qui marche vraiment, expliqué sans filtre et avec des exemples tirés de la vraie vie.
1. La longueur est devenue le seul vrai rempart
En 2026, la complexité (majuscules, chiffres, symboles) ne compense plus une longueur insuffisante. Un mot de passe de 8 caractères, même très « compliqué », tombe en quelques minutes. À l’inverse, une passphrase de 20 caractères aléatoires demande des milliards d’années, même avec les supercalculateurs les plus puissants du moment.
Exemples concrets de résistance
P@ssw0rd→ < 1 secondeTr0ub4dor&3→ ~3 heurescorrecthorsebatterystaple→ ~550 ans (très utilisé mais déjà dans les dictionnaires)Azertyuiop1234567890!→ ~2 ans (long mais trop prévisible)7kP!v9qR2mL8wT5zN4jH6cYx→ plusieurs siècles
2. Les passphrases gagnent haut la main
Depuis 2018-2019, les recommandations officielles (NIST SP 800-63B, ANSSI, NCSC UK) ont évolué : on préfère une longue phrase mémorisable à un mot de passe court mais « complexe ».
Pourquoi ? Parce que la plupart des humains ne retiennent pas X7p!vL9qR2mK8wT5zN4jH6cY, mais retiennent facilement une phrase comme :
JAdoreLeCafeLeMatinEtLeSoir2026!
Cette phrase fait 35 caractères. Elle est longue, contient des majuscules, des chiffres et un symbole, et surtout elle est mémorisable.
Comment créer une bonne passphrase
- Prenez 5 à 7 mots qui n’ont aucun lien entre eux
- Ajoutez un chiffre ou une année significative (mais pas votre date de naissance)
- Insérez un symbole au milieu ou à la fin
- Mettez une ou deux majuscules au hasard
Exemples que j’utilise personnellement ou que je vois chez des proches :
VelociraptorBananePluieTokyo77!ChaussetteRougePizzaNeige2026#MerBleueMontagneFroidLune89@
3. Ce qu’il faut absolument bannir en 2026
Voici la liste noire actualisée (basée sur les fuites récentes et les rapports Have I Been Pwned / RockYou2024) :
- Toute substitution évidente : P@ssw0rd, M0tdepasse, Azerty123
- Les suites de clavier : qwerty, azerty, 123456789, qazwsx
- Les mots du dictionnaire seul ou avec un chiffre à la fin : football2026, Jennifer1992
- Vos informations personnelles (même déformées)
- Les mots de passe réutilisés sur plusieurs sites
4. Associez toujours un gestionnaire de mots de passe
En 2026, personne ne peut retenir 80 mots de passe différents et uniques. C’est physiquement impossible.
Utilisez un gestionnaire :
- Bitwarden → gratuit, open-source, excellent rapport qualité/prix
- 1Password → très intuitif, famille et voyage
- KeePassXC → 100 % hors ligne, gratuit, pour les plus parano
- NordPass / Proton Pass → intégrés à des écosystèmes connus
Le gestionnaire génère pour vous des chaînes aléatoires de 20+ caractères que vous n’avez jamais à taper.
5. Activez la double authentification (2FA) partout où c’est possible
Même le meilleur mot de passe du monde ne sert à rien si quelqu’un vole votre session ou votre cookie. La 2FA (TOTP via application comme Authy, Google Authenticator, Microsoft Authenticator) bloque 99,9 % des attaques automatisées selon Google.
Évitez absolument la 2FA par SMS : elle est vulnérable aux SIM-swapping.
Conclusion : la checklist ultime 2026
- Minimum 16 caractères, idéalement 20+
- Passphrase mémorable ou chaîne aléatoire générée
- Aucun mot du dictionnaire, aucune info personnelle
- Mot de passe différent partout
- Gestionnaire de mots de passe obligatoire
- 2FA (TOTP) activée sur tous les comptes sensibles
- Changer immédiatement tous les mots de passe qui datent de plus de 2 ans ou qui ont fuité
Si vous appliquez ne serait-ce que ces 7 points, vous serez déjà bien plus protégé que 95 % des internautes en 2026.