Les pires mots de passe à ne jamais utiliser (et comment faire mieux)

Le palmarès des pires mots de passe#

D’après l’étude annuelle de NordPass, voici les mots de passe les plus utilisés par les internautes français en 2024 :

1. 1123456
2. 2123456789
3. 3azerty
4. 4qwerty123
5. 5qwerty1
6. 6azertyuiop
7. 7marseille
8. 8doudou
9. 9loulou
10. 1012345678
11. 111234561
12. 12000000
13. 13chouchou
14. 14motdepasse
15. 15soleil
16. 16mypassphrase
17. 171234567
18. 18password
19. 19nicolas
20. 20camille

La grande majorité se casse instantanément. Les mêmes réflexes se retrouvent en entreprise, avec en plus des variantes prévisibles : nom de l’entreprise suivi de l’année, saison et point d’exclamation, prénom d’un enfant.

Pourquoi ces mots de passe tombent si vite#

• Les attaques par dictionnaire testent d’abord les mots de passe les plus courants et leurs variantes.
• Le bourrage d’identifiants réutilise les millions de mots de passe fuités sur d’autres sites : un mot de passe réutilisé est un mot de passe exposé.
• La pulvérisation essaie quelques mots de passe courants sur un grand nombre de comptes, pour passer sous les seuils de verrouillage.
• L’hameçonnage obtient directement le mot de passe, quelle que soit sa complexité.

Les bonnes pratiques pour chacun#

• Utilisez des phrases de passe : plusieurs mots sans lien, faciles à retenir et longs, par exemple quatre ou cinq mots séparés. La CNIL recommande au moins 12 caractères mêlant différents types, ou 14 caractères sans contrainte de type.
• Un mot de passe différent pour chaque service, en particulier pour la messagerie professionnelle.
• Un gestionnaire de mots de passe pour générer et retenir des mots de passe uniques ; vous n’avez plus qu’une phrase de passe à mémoriser.
• Activez l’authentification multifacteur partout où elle est proposée.
• Ne communiquez jamais un mot de passe, ni par téléphone ni par message, même à quelqu’un qui se présente comme le support informatique.
• Changez immédiatement un mot de passe suspecté d’avoir fuité.

En entreprise : ce que doit mettre en place l’équipe IT#

• une politique de longueur minimale, plutôt qu’une complexité obscure et des renouvellements trop fréquents ;
• une liste de mots de passe interdits, incluant le nom de l’entreprise et ses variantes (par exemple avec la protection par mot de passe d’Entra ID) ;
• la détection des mots de passe fuités et des connexions à risque ;
• l’authentification multifacteur pour tous, et des méthodes résistantes à l’hameçonnage (clés FIDO2, clés d’accès) pour les comptes sensibles ;
• un gestionnaire de mots de passe d’entreprise, avec des coffres partagés pour les comptes d’équipe ;
• des comptes d’administration distincts, protégés plus fortement encore.

Vers moins de mots de passe#

La meilleure façon de ne plus subir les mauvais mots de passe est d’en dépendre moins. L’authentification unique réduit leur nombre ; les clés d’accès (passkeys) et Windows Hello for Business remplacent le mot de passe par une authentification liée à l’appareil, résistante à l’hameçonnage. Cette transition se fait progressivement, en commençant par les comptes les plus exposés.

Questions fréquentes#

Sources#

1. NordPass, liste des mots de passe les plus courants
2. CNIL, recommandation relative aux mots de passe
3. Cybermalveillance.gouv.fr, gérer ses mots de passe