---
# Mots de passe : la fiche publique présente douze signes comme le minimum admis, quand la CNIL compte en bits d'entropie depuis 2022
**URL:** https://lepointdujour.fr/sciences/8629-mots-passe-entropie-douze-signes/
Date: 2026-10-15
Author: Christophe Cohen
Post Type: post
Summary: Cybermalveillance.gouv.fr a mis à jour le 5 octobre ses dix bonnes pratiques sur les mots de passe, du minimum de douze signes au compte de messagerie.
Categories: Sciences et espace
Featured Image: https://lepointdujour.fr/wp-content/uploads/2026/10/03-mots-de-passe-entropie-douze-signes-scaled.jpg
---
Reste à comprendre pourquoi deux textes publics français ne mesurent pas de la même façon la solidité d'un même mot de passe.
Pour aller plus loin, lire notre article dédié : [le piratage de compte en ligne et ce qu'il faut faire après le changement de mot de passe](https://lepointdujour.fr/sciences/8290-piratage-compte-reprendre-main/).
## Dix bonnes pratiques pour les mots de passe, mises à jour le 5 octobre
Cybermalveillance.gouv.fr, le dispositif national d'assistance et de prévention en cybersécurité, a actualisé le 5 octobre 2026 [sa fiche consacrée à la gestion des mots de passe](https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe), publiée pour la première fois en novembre 2019. Elle énumère dix bonnes pratiques numérotées, et porte la mention d'un document réalisé avec quatre membres du dispositif : France Assureurs, Kaspersky, Le Groupe La Poste et Signal Spam.
Le point de départ n'est pas une menace mais un constat d'usage : la sécurité de l'accès aux services du quotidien repose aujourd'hui essentiellement sur les mots de passe, et leur profusion pousse à une gestion trop simple. C'est cette simplification, écrit le dispositif, qui augmenterait considérablement les risques de compromettre la sécurité des accès.
## La CNIL ne compte pas en caractères mais en bits d'entropie
La deuxième bonne pratique donne le chiffre que tout le monde retient, mais elle l'écrit avec prudence : il est admis, selon la fiche, qu'**un bon mot de passe doit comporter au minimum 12 signes mélangeant des majuscules, des minuscules, des chiffres et des caractères spéciaux**. Ce n'est pas une obligation, c'est un usage admis, et la nuance pèse sur la suite.
Le texte de référence, lui, se trouve ailleurs. Dans [sa recommandation relative aux mots de passe](https://www.cnil.fr/fr/mots-de-passe-recommandations-pour-maitriser-sa-securite), adoptée par la délibération du 21 juillet 2022, la CNIL explique viser le degré de complexité du mot de passe, qu'elle appelle l'entropie et exprime en bits, et non une longueur minimale. Elle distingue trois cas d'usage, assortis chacun d'un niveau différent :
Cas d'usageExemples citésEntropie minimaleMesure complémentaire attendueMot de passe seulForum, blog80 bitsConseiller l'utilisateur sur le choix d'un bon mot de passeAvec restriction d'accèsCommerce en ligne, compte d'entreprise, webmail50 bitsLimiter les tentatives de connexion : temporisation, plafond, captcha ou blocageAvec matériel détenu par la personneCarte bancaire, téléphone13 bitsBlocage après trois échecs
Pour le premier cas, celui des 80 bits, la CNIL donne trois exemples de politiques qu'elle tient pour équivalentes : au minimum 12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux choisis dans une liste d'au moins 37 caractères spéciaux possibles ; au minimum 14 caractères avec majuscules, minuscules et chiffres, sans caractère spécial obligatoire ; ou une phrase de passe fondée sur des mots de la langue française et composée d'au minimum 7 mots. Les douze caractères ne sont donc qu'un exemple parmi trois, et pour un seul des trois cas d'usage.
## La force brute et les suites logiques, les deux portes les plus simples
La fiche décrit le procédé que ce seuil cherche à bloquer. L'attaque par force brute consiste à essayer toutes les combinaisons possibles de caractères jusqu'à trouver le bon mot de passe. Réalisées par des ordinateurs, précise le dispositif, **ces attaques peuvent tester des dizaines de milliers de combinaisons par seconde**.
La troisième bonne pratique vise l'autre voie : les cybercriminels essaient aussi de deviner un mot de passe, d'où la mise en garde contre les informations personnelles faciles à retrouver, par exemple sur les réseaux sociaux, comme le prénom d'un enfant, une date anniversaire ou un groupe de musique préféré. Les suites logiques simples du type 123456, azerty ou abcdef figurent parmi les mots de passe les plus courants, et le document les présente comme les premières combinaisons essayées. Deux méthodes de fabrication sont proposées en encadré, celle des premières lettres d'une phrase retenue et la méthode phonétique, avec une consigne finale : inventer sa propre méthode, connue de soi seul.
## Le gestionnaire, le pense-bête et l'ordinateur partagé
La quatrième pratique part d'un constat : il est humainement impossible de retenir les dizaines de mots de passe longs et complexes utilisés chaque jour. La fiche écarte au passage le pense-bête laissé à proximité de l'équipement, l'enregistrement dans sa messagerie ou dans un fichier non protégé, et la conservation dans un téléphone mobile auquel un cybercriminel pourrait accéder.
Photo d'illustration. Une personne écrit dans un carnet ouvert, à côté d'un ordinateur portable, sur un bureau. Crédit : Shixart1985, Wikimedia Commons (CC BY 2.0)
Elle renvoie ensuite vers un gestionnaire de mots de passe, qui ne laisse à retenir que le seul mot de passe permettant d'en ouvrir l'accès, et cite nommément KeePassXC, décrit comme un logiciel libre et en français, certifié par l'ANSSI dans sa version 2.7.9, doté d'une fonction de génération de mots de passe complexes aléatoires. La septième pratique traite le cas des ordinateurs en libre accès, dans les hôtels, cybercafés et autres lieux publics, qui peuvent être piégés : navigation privée, fermeture des sessions, aucun enregistrement dans le navigateur, et changement de tous les mots de passe utilisés dès le retour sur un ordinateur de confiance.
## La messagerie, le compte qui ouvre tous les autres
La dixième pratique est la plus instructive, parce qu'elle décrit un enchaînement plutôt qu'une règle. L'adresse de messagerie est généralement associée à beaucoup de comptes en ligne, puisqu'elle reçoit les liens de réinitialisation des mots de passe. Un cybercriminel qui parviendrait à pirater cette messagerie pourrait donc utiliser la fonction mot de passe oublié des différents services, le compte bancaire compris, pour en prendre le contrôle. Le mot de passe de messagerie est, selon la fiche, l'un des plus importants à protéger.
Deux autres pratiques referment les entrées latérales. La sixième pose un principe de reconnaissance d'une tentative d'escroquerie : aucune société ou organisation sérieuse ne demande de communiquer un mot de passe par messagerie ou par téléphone, même pour une maintenance ou un dépannage informatique, et une telle demande doit donc être considérée comme une tentative de piratage. La neuvième vise les mots de passe par défaut proposés par de nombreux services, souvent connus des cybercriminels, qu'il est important de remplacer au plus vite. La huitième recommande d'activer la double authentification quand elle est proposée.
## Deux textes, deux façons de compter, et aucune contradiction
La différence entre les deux approches tient à leur objet. La CNIL écrit une recommandation destinée aux organismes qui traitent des données personnelles et raisonne en niveaux adaptés au contexte, quand le dispositif national s'adresse aux particuliers et aux professionnels, à qui il faut un repère unique, tenable sans calcul. La fiche renvoie d'ailleurs vers [les conseils de la CNIL pour un bon mot de passe](https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe), une page du 26 janvier 2017 selon laquelle un bon mot de passe « peut contenir, par exemple, au moins 12 caractères et 4 types différents », et « peut être plus court si votre compte est équipé de sécurités complémentaires ». L'exemple a traversé les années, et la logique du contexte était déjà là.
Une limite demeure, que la recommandation de 2022 pose elle-même : les niveaux d'entropie indiqués sont des limites basses, et un niveau minimal plus élevé peut être nécessaire en fonction des risques. La question suivante est celle des comptes déjà compromis, comme dans notre article récent sur [la défiguration de site Internet et la conduite à tenir](https://lepointdujour.fr/sciences/8427-defiguration-site-internet-parade/), et celle des transactions, traitée dans notre article sur [les arnaques aux ventes entre particuliers](https://lepointdujour.fr/sciences/8504-vente-particuliers-faux-paiement/). Sur le long terme, la protection des secrets numériques passera par d'autres techniques, et notre article de fond sur [la téléportation d'information quantique entre deux photons](https://lepointdujour.fr/sciences/6511-des-physiciens-teleportent-de-linformation-quantique-entre-deux-photons-vers-des-mots-de-passe-bancaires-ultrasecurises/) donne un aperçu de l'une d'elles. Pour suivre les prochaines mises à jour du dispositif national, ajouter Le Point du Jour à ses sources préférées sur Google reste le moyen le plus simple de retrouver nos articles.
---
## Categories
- Sciences et espace
---
## Navigation
- [Sciences et espace](https://lepointdujour.fr/sciences/)
- [Industrie](https://lepointdujour.fr/industrie/)
- [Énergie et environnement](https://lepointdujour.fr/energie-environnement/)
- [Maison et jardin](https://lepointdujour.fr/maison-jardin/)
- [Nostalgie](https://lepointdujour.fr/nostalgie/)
---
## Footer Links
- [Accueil](https://lepointdujour.fr/)
- [Sciences et espace](https://lepointdujour.fr/sciences/)
- [Facebook](https://www.facebook.com/profile.php?id=61566138330419)
- [Instagram](https://www.instagram.com/lepointdujour.fr/)
- [Threads](https://www.threads.com/@lepointdujour.fr)
- [Nous contacter](https://lepointdujour.fr/contact/)
- [Plan du site](/sitemap/)
- [Politique de rédaction](/redaction/)
- [Politique de confidentialité](https://lepointdujour.fr/politique-de-confidentialite/)
- [Mentions légales](/mentions-legales/)
- [Gestion des cookies](https://lepointdujour.fr/gestion-des-cookies/)
- [Tout voir](/topics/)
- [Industrie et innovation](https://lepointdujour.fr/industrie/)
- [Énergie et environnement](https://lepointdujour.fr/energie-environnement/)
- [Maison et jardin](https://lepointdujour.fr/maison-jardin/)
- [Nostalgie](https://lepointdujour.fr/nostalgie/)
- [En savoir plus sur ces finalités](https://cookiedatabase.org/tcf/purposes/)