Idées de mots de passe forts (avec exemples)

Si vous cherchez des idées de mots de passe, c’est presque toujours pour l’une de ces deux raisons : il vous faut un mot de passe tout de suite et rien ne vous vient, ou un site vient de refuser celui que vous utilisez d’habitude. La réponse honnête tient en une phrase : la meilleure idée de mot de passe, c’est de ne pas en avoir. Tout ce qu’un humain invente est un schéma – une majuscule au début, un chiffre à la fin, un prénom, une date –, et les schémas sont exactement ce que les logiciels qui cassent les mots de passe essaient en premier. Voici les quatre approches qui tiennent vraiment, classées par robustesse, la méthode que la CNIL propose pour les mots de passe que vous devez retenir, puis les idées populaires qui n’ont d’astucieux que l’apparence.

Idée 1 : un mot de passe aléatoire (le plus fort)

Pour tout compte qui vit dans un gestionnaire de mots de passe, la bonne « idée » est une suite entièrement aléatoire sortie d’un générateur : un mot de passe de 16 caractères par défaut, 20 caractères ou plus pour la messagerie, la banque et tout ce qui permet de réinitialiser d’autres comptes. Un mot de passe aléatoire de 16 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux atteint environ 103 bits d’entropie (95 bits sans caractères spéciaux) ; à 20 caractères, environ 129 bits. Pour fixer les idées : un attaquant qui testerait hors ligne 10 milliards de combinaisons par seconde n’en viendrait pas à bout en des milliards d’années. Aucun mot de passe inventé n’approche ces chiffres, parce que les choix humains se concentrent dans un tout petit coin, très bien cartographié, de l’espace des possibles. L’ANSSI ne dit pas autre chose : pour les mots de passe que l’on n’a pas à mémoriser, elle recommande une longueur « très grande (supérieure à 20 caractères par exemple) », confiée à un coffre-fort de mots de passe – son nom pour le gestionnaire.

Idée 2 : trois mots tirés au hasard (le plus facile à retenir)

Pour un mot de passe que vous devez taper de mémoire, la meilleure idée de départ vient du NCSC, l’agence britannique de cybersécurité : accoler trois mots choisis au hasard, comme PanierTonnerreCitron. C’est la forme la plus courte de ce que l’ANSSI et la CNIL appellent une « phrase de passe ». La condition qui fait tout : les mots doivent sortir d’un générateur, pas de votre tête. Trois mots auxquels vous pensez seront liés entre eux – votre chien, votre rue, votre équipe –, et des mots liés réduisent l’espace de recherche à presque rien. Trois mots tirés au sort dans une liste de 7 776 mots ne valent qu’environ 39 bits – peu face à une attaque hors ligne –, et c’est pourquoi un quatrième mot s’impose dès que le compte a de la valeur, cinq ou six pour ce qui est vraiment sensible. Le générateur de trois mots aléatoires (en anglais) fait le tirage pour vous.

Idée 3 : des mots mémorisables, un nombre et un caractère spécial

Quand un site exige de la « complexité » – une majuscule, un chiffre, un caractère spécial – alors que vous devez quand même retenir le mot de passe, un mot de passe mémorisable répond à la contrainte sans sacrifier le hasard : des mots aléatoires commençant par une majuscule, suivis d’un nombre et d’un caractère spécial, comme BraveErableRiviere72!. Le nombre et le caractère spécial n’ajoutent presque rien à la robustesse ; ils sont là pour satisfaire la règle de composition. La force vient des mots, et elle ne vient que s’ils ont été tirés au sort – le générateur de mots de passe mémorisables (en anglais) s’en charge.

Idée 4 : une phrase de passe pour le mot de passe maître

Le seul mot de passe que vous ne pouvez pas ranger dans un gestionnaire, c’est celui du gestionnaire lui-même. C’est le rôle d’une phrase de passe de cinq ou six mots tirés au hasard, du type fougere-lanterne-oxyde-prune-vif : environ 65 bits pour cinq mots, environ 78 bits pour six – autant qu’un mot de passe aléatoire de 12 caractères –, et pourtant elle se tape de mémoire sans effort après quelques jours d’usage. Repère utile : la CNIL fixe un plancher de 80 bits d’entropie lorsque le mot de passe est la seule protection du compte, et cite parmi ses exemples une phrase de passe d’au moins sept mots ; six mots aléatoires s’en approchent, un septième vous met au-dessus. Le générateur de phrases de passe (en anglais) tire les mots pour vous. Ne remplacez jamais un mot tiré par un mot « plus facile » : c’est précisément le hasard que vous retireriez.

La méthode de la CNIL, expliquée honnêtement

Pour un mot de passe qu’il faut absolument retenir sans gestionnaire, la CNIL propose, dans sa page « Générer un mot de passe solide », une méthode en deux temps : « Choisir une phrase que vous retiendrez facilement », puis « Prendre les premières lettres de chaque mot, garder les nombres et la ponctuation ». Elle en précise l’exigence : « Pour un mot de passe de douze caractères ou plus, votre phrase doit contenir au moins : un nombre, une majuscule, un signe de ponctuation ou un caractère spécial, une douzaine de mots ». Appliquée à une phrase de notre cru – « Le 14 juillet, nous avons mangé 2 tartes aux pommes sur la plage ! » –, la méthode donne L14j,nam2tapslp! : seize caractères que vous seul pouvez reconstruire, et qui passent toutes les règles de composition.

C’est le bon repli pour un mot de passe que vous devez mémoriser, et cela vaut infiniment mieux qu’un prénom suivi d’une année. Mais ne mettez pas le résultat sur le même plan qu’un mot de passe généré. La structure d’une phrase est prévisible : articles, prépositions et ordre des mots reviennent d’une phrase à l’autre, et la suite d’initiales en hérite ; les citations célèbres, les paroles de chansons et les proverbes figurent déjà, sous cette forme, dans les dictionnaires d’attaque. Douze initiales n’ont donc pas les 78 bits de douze caractères aléatoires – et personne ne peut dire combien elles en ont vraiment, ce qui est justement le problème. Réservez la méthode aux quelques mots de passe que vous tapez à la main, et laissez le générateur s’occuper de tous les autres.

Des idées pour des situations précises

Au travail : respectez la longueur imposée par la politique de l’entreprise, puis dépassez-la – un mot de passe aléatoire de 12 caractères satisfait la plupart des règles, 16 caractères les satisfont toutes. Ne recyclez jamais un mot de passe personnel dans un compte professionnel, ni l’inverse.
Pour le Wi-Fi : une clé Wi-Fi aléatoire de 20 caractères, saisie une seule fois par appareil ; pour les invités, un générateur de QR code Wi-Fi (en anglais) évite de la dicter.
Pour la messagerie : votre boîte de réception permet de réinitialiser tous vos autres mots de passe ; traitez-la comme votre compte le plus précieux : un mot de passe d’au moins 20 caractères, unique, rangé dans le gestionnaire.
Pour un code PIN : aucune idée à trouver – des chiffres tirés au hasard, aussi nombreux que l’appareil l’autorise. Un code à 4 chiffres n’a que 10 000 valeurs possibles, un code à 6 chiffres, 1 000 000 : il ne tient que parce que l’appareil se bloque après quelques essais, jamais par lui-même.

Les idées populaires qui ne marchent pas

Les substitutions de lettres : P@ssw0rd! et ses variantes sont la première règle de tout logiciel de cassage de mots de passe ; elles n’ajoutent pratiquement rien.
Les suites de touches : azerty123, 1qaz2wsx et toutes leurs variations figurent dans les dictionnaires d’attaque standard.
Les informations personnelles : nom de l’animal, date de naissance, équipe favorite, nom de la rue – tout cela se retrouve en quelques minutes, et figure souvent déjà en clair sur les réseaux sociaux.
Un « système » par site : Base!Facebook, Base!Gmail – une seule fuite révèle le schéma de tous vos comptes.
Réutiliser un excellent mot de passe : la robustesse ne rachète pas la réutilisation ; une fuite sur le site le moins sûr ouvre tous les autres. Un mot de passe par compte, sans exception.

Exemples de mots de passe forts, générés à l’instant

Vous cherchiez un exemple de mot de passe sécurisé ? En voici cinq, et ils ont une particularité : ils viennent d’être générés à l’instant, dans votre navigateur, avec crypto.getRandomValues(), sa source d’aléa cryptographique. Personne d’autre ne les a vus, ils ne sont enregistrés nulle part, et vous pouvez donc en utiliser un tel quel. C’est tout l’inverse d’un exemple imprimé dans un article, sur un forum ou dans une capture d’écran : dès sa publication, il rejoint les dictionnaires que les attaquants testent en premier, et il ne vaut plus rien. Un exemple publié ne se copie pas, il se lit – pour reconnaître la forme d’un mot de passe fort : seize positions tirées indépendamment les unes des autres, sans mot, sans date, sans suite de touches.

Ces exemples viennent d’être générés dans votre navigateur : ils ne sont ni enregistrés ni montrés à qui que ce soit, et vous pouvez les utiliser sans risque. N’utilisez jamais, en revanche, un exemple tiré d’un article ou d’une capture d’écran : tout ce qui a été publié figure déjà dans les listes des attaquants.

Quelle que soit l’idée retenue, la constante est la même : le hasard vient d’un générateur, pas de votre imagination, et chaque compte reçoit son propre mot de passe. Pour une autre longueur ou d’autres réglages, le générateur de mot de passe fait le reste – gratuitement, dans votre navigateur, sans rien enregistrer ni transmettre.

Questions fréquentes

Quel est un exemple de mot de passe sécurisé ?

Un mot de passe sécurisé ressemble à une suite de 16 caractères tirés au hasard parmi les majuscules, les minuscules, les chiffres et les caractères spéciaux – environ 103 bits d’entropie –, sans mot, sans date, sans suite de touches ; ou bien à une phrase de passe de cinq ou six mots tirés au sort. Les exemples de cette page sont générés dans votre navigateur à chaque visite et n’ont jamais été publiés : vous pouvez en utiliser un tel quel. Un exemple lu dans un article, lui, est compromis dès sa publication, parce que tout ce qui est publié rejoint les dictionnaires des attaquants.

Quelle phrase choisir pour un mot de passe ?

Suivez la méthode de la CNIL : choisissez une phrase que vous retiendrez facilement, puis prenez les premières lettres de chaque mot en gardant les nombres et la ponctuation. Pour obtenir douze caractères ou plus, la CNIL demande une phrase d’une douzaine de mots contenant au moins un nombre, une majuscule et un signe de ponctuation ou un caractère spécial. Inventez la phrase vous-même : une citation, un proverbe ou des paroles de chanson figurent déjà, sous forme d’initiales, dans les dictionnaires d’attaque. Réservez cette méthode aux rares mots de passe que vous tapez à la main ; pour tous les autres, un mot de passe généré reste nettement plus fort.

Une suggestion de mot de passe du navigateur est-elle sûre ?

Oui, en général. Les mots de passe que proposent Safari, Chrome, Firefox ou Edge sont générés localement, de façon aléatoire, et sont différents pour chaque site – exactement ce que fait ce générateur. Deux limites toutefois : la suggestion n’est disponible que dans ce navigateur et sur les appareils synchronisés avec le même compte, et l’accès aux mots de passe enregistrés vaut ce que vaut le verrouillage de votre session. Acceptez la suggestion si vous n’utilisez qu’un seul navigateur ; si vous en changez souvent, un gestionnaire de mots de passe indépendant vous suivra partout.

Quelle longueur pour un mot de passe ?

L’ANSSI distingue trois paliers : de 9 à 11 caractères, environ 65 bits, pour une sensibilité faible à moyenne ; de 12 à 14 caractères, environ 85 bits, pour une sensibilité moyenne à forte ; 15 caractères et plus, au moins 100 bits, pour une sensibilité forte à très forte. Pour les mots de passe que vous n’avez pas à mémoriser, elle recommande une longueur « supérieure à 20 caractères » et rappelle qu’aucune longueur maximale ne doit être imposée. NIST SP 800-63B conseille 15 caractères lorsque le mot de passe est le seul facteur d’authentification ; Cybermalveillance.gouv.fr demande « au minimum 12 signes ». En pratique : 16 caractères aléatoires pour tout ce qui vit dans un gestionnaire, 20 pour la messagerie et la banque.

Faut-il changer de mot de passe régulièrement ?

Non, plus de changement à date fixe. L’ANSSI ne demande plus d’expiration périodique pour les comptes non sensibles (recommandation R24), mais demande un renouvellement immédiat en cas de compromission (R26). NIST SP 800-63B va dans le même sens : pas de changement imposé à intervalle fixe, parce que les utilisateurs répondent à cette contrainte par des variantes prévisibles – le même mot de passe avec un chiffre de plus. La CNIL a elle aussi mis fin, en 2022, au renouvellement périodique, sauf pour les comptes d’administration. Changez donc un mot de passe quand un service annonce une fuite, quand vous l’avez saisi sur un site douteux ou quand vous l’avez partagé – et remplacez-le par un mot de passe généré, jamais par une variante de l’ancien.

Un mot de passe mémorisable peut-il être aussi fort qu’un mot de passe aléatoire ?

Oui, à une condition : que les mots qui le composent aient été tirés au sort, pas choisis. Une phrase de passe de six mots pris au hasard dans une liste de 7 776 mots vaut environ 78 bits, autant qu’un mot de passe aléatoire de 12 caractères, et elle se retient en quelques jours. Un mot de passe que vous inventez, lui, n’est jamais aussi fort qu’il en a l’air : la phrase, la citation, le prénom et l’année suivent des schémas que les attaques par dictionnaire modélisent en premier. Les initiales d’une phrase, selon la méthode de la CNIL, restent le bon repli pour un secret à retenir sans gestionnaire, mais la marge de sécurité d’un mot de passe généré est sans comparaison.

Rédigé et vérifié par Andrew Ivanov, Fractional CTO. Dernière vérification le 2 septembre 2026.