Combien de temps faut-il pour deviner un mot de passe ?

« Combien de temps faudrait-il pour deviner mon mot de passe ? » La question revient souvent après une alerte de sécurité, une fuite de données médiatisée ou simplement au moment de créer un nouveau compte. La réponse dépend de plusieurs facteurs concrets : longueur, complexité, méthode d’attaque utilisée et puissance de calcul disponible en face.

Comprendre ces facteurs permet de sortir des idées reçues, notamment celle qui pousse à multiplier les symboles obscurs dans un mot de passe court plutôt qu’à privilégier la longueur. Voici ce qui détermine réellement la résistance d’un mot de passe, et les gestes qui protègent le plus efficacement au quotidien.

Ce qui détermine la résistance d’un mot de passe

Un mot de passe n’est pas « facile » ou « difficile » à deviner dans l’absolu : sa résistance dépend du nombre de combinaisons possibles qu’un attaquant devrait tester avant de tomber sur la bonne.

La longueur pèse plus lourd que la complexité

Chaque caractère supplémentaire multiplie le nombre de combinaisons possibles, alors que l’ajout d’un type de caractère (majuscule, chiffre, symbole) ne fait qu’élargir l’éventail à chaque position. Concrètement, allonger un mot de passe de quelques caractères a généralement plus d’effet sur sa résistance que le fait d’y glisser un ou deux symboles supplémentaires sur une longueur inchangée.

C’est pour cette raison que les recommandations actuelles en sécurité informatique tendent à privilégier des phrases de passe longues plutôt que des mots courts truffés de caractères difficiles à retenir.

La méthode d’attaque change tout

Un attaquant peut chercher à deviner un mot de passe de plusieurs façons, avec des résultats très différents :

• La force brute : tester toutes les combinaisons possibles, une méthode lente dès que le mot de passe dépasse quelques caractères aléatoires.
• L’attaque par dictionnaire : essayer des mots courants, des prénoms, des dates ou des suites logiques (« azerty123 », une date de naissance), bien plus rapide qu’une force brute pure quand le mot de passe suit un schéma prévisible.
• Le credential stuffing : réutiliser des combinaisons identifiant/mot de passe déjà volées lors d’une fuite ailleurs, en espérant que vous ayez réutilisé le même mot de passe sur un autre service.
• Le phishing : obtenir directement le mot de passe en imitant un site ou un message légitime, sans avoir à le « deviner ».

Des ordres de grandeur, pas des promesses

Il est tentant de vouloir un chiffre précis, « tant de secondes », « tant d’années », pour un mot de passe donné. En pratique, ce temps dépend de la puissance de calcul de l’attaquant, du type de protection mise en place par le service (limitation des tentatives, verrouillage temporaire) et de la méthode de stockage du mot de passe côté serveur. Les chiffres qui circulent en ligne sont donc des estimations théoriques, utiles pour comparer des scénarios, pas des durées garanties.

Voici un ordre de grandeur relatif, à but purement comparatif, pour un mot de passe composé de caractères réellement aléatoires et testé par force brute pure, un scénario plus favorable à l’attaquant que la réalité de la plupart des services protégés :

Type de mot de passe	Exemple de structure	Résistance théorique relative
Très court et simple	6 caractères, un seul type	Très faible, quasi instantané
Court avec complexité	8 caractères mêlant lettres/chiffres/symboles	Faible à modérée
Long mais prévisible	Mot du dictionnaire + chiffres (« soleil2024 »)	Faible malgré la longueur, à cause de l’attaque par dictionnaire
Long et aléatoire	14 à 16 caractères aléatoires ou phrase de passe	Élevée à très élevée
Très long et unique	Phrase de passe de plusieurs mots, propre à chaque service	Très élevée, impraticable en force brute

Les protections qui comptent le plus au quotidien

Au-delà du mot de passe lui-même, plusieurs éléments réduisent fortement le risque réel, souvent plus efficacement qu’une complexité poussée à l’extrême.

Un mot de passe unique par service

Réutiliser le même mot de passe sur plusieurs sites transforme une seule fuite de données en risque pour tous vos comptes. Dès qu’un service est compromis, les identifiants circulent et sont testés automatiquement sur d’autres plateformes : c’est le principe du credential stuffing évoqué plus haut.

La double authentification

Activer la double authentification (code temporaire, notification sur smartphone, clé de sécurité) ajoute une étape que le mot de passe seul ne peut pas satisfaire. Même en cas de mot de passe compromis, l’accès au compte reste bloqué sans ce second facteur, ce qui en fait l’une des protections les plus efficaces disponibles gratuitement sur la plupart des services.

Un gestionnaire de mots de passe

Retenir un mot de passe long et unique pour chaque service est irréaliste sans aide. Un gestionnaire de mots de passe génère et stocke des mots de passe complexes différents pour chaque compte, en ne demandant qu’un seul mot de passe maître à retenir. C’est aujourd’hui l’approche la plus réaliste pour concilier sécurité et simplicité d’usage, aux côtés d’un antivirus fiable qui limite les risques d’interception directe sur l’appareil.

Créer un mot de passe solide sans le rendre impossible à retenir

Voici une méthode simple pour construire un mot de passe à la fois résistant et mémorisable, sans dépendre uniquement d’un générateur aléatoire.

1. Choisissez trois à cinq mots sans lien évident entre eux, plutôt qu’une phrase logique ou une citation connue.
2. Assemblez-les sans espace ni ordre prévisible, en variant éventuellement la casse d’un ou deux mots.
3. Ajoutez un chiffre ou un symbole, mais pas nécessairement à la fin où les attaquants les cherchent en priorité.
4. Évitez les informations personnelles identifiables : prénom, date de naissance, nom d’animal, ville, des éléments souvent accessibles publiquement sur les réseaux sociaux.
5. Ne réutilisez jamais ce mot de passe sur un autre service, même secondaire.

Cette logique s’applique aussi bien à un compte principal qu’à des comptes que l’on pense « sans importance », comme un compte de réseau social : ces comptes contiennent souvent assez d’informations personnelles pour faciliter une usurpation d’identité ou une tentative de phishing ciblée.

Que faire si vous pensez qu’un mot de passe a été compromis

Si un service vous informe d’une fuite de données, ou si vous remarquez une activité suspecte sur un compte, agissez rapidement plutôt que d’attendre :

• changez immédiatement le mot de passe concerné, sur le service touché en priorité ;
• changez aussi ce mot de passe partout où vous l’aviez réutilisé, même sur des comptes secondaires ;
• activez la double authentification si ce n’était pas déjà fait ;
• vérifiez les appareils et sessions connectés dans les paramètres de sécurité du compte ;
• restez attentif aux e-mails suspects dans les jours suivants, car une fuite de données s’accompagne souvent de tentatives de phishing ciblées.

Ce qu’il faut retenir

Le temps nécessaire pour « deviner » un mot de passe dépend avant tout de sa longueur, de sa prévisibilité et de la méthode utilisée par l’attaquant, la plupart des comptes compromis le sont via une fuite de données ou du phishing, pas par une devinette lettre après lettre. Miser sur une phrase de passe longue, unique à chaque service et couplée à la double authentification protège bien plus efficacement qu’un mot de passe court truffé de symboles difficiles à retenir.

Pour appliquer ces principes sans effort de mémorisation constant, un gestionnaire de mots de passe reste l’outil le plus réaliste au quotidien. Associé à une vigilance de base face aux messages suspects, il couvre l’essentiel des risques auxquels un particulier est réellement exposé.