Presque tous les usagers que nous accompagnons ont appris la même règle : huit caractères, une majuscule, un chiffre, un symbole. Cette consigne a produit exactement l'inverse de ce qu'elle visait. Des mots de passe impossibles à retenir, donc notés sur un carnet, collés sous le clavier, ou réutilisés à l'identique sur trente comptes.

La doctrine officielle a changé. Cette fiche propose une méthode de remplacement, pensée pour un accompagnement en face à face ou en atelier collectif.

Trois points ont bougé, et ils méritent d'être annoncés explicitement à l'usager, parce qu'ils contredisent ce qu'on lui a répété pendant des années.

La longueur compte davantage que la complexité. Le seuil recommandé est de douze caractères minimum, et une suite de quatre ou cinq mots dépasse ce seuil sans effort de mémorisation.

Le renouvellement périodique sans raison n'est plus recommandé. Changer son mot de passe tous les trois mois pousse vers des variantes faibles, du type même mot de passe avec un chiffre incrémenté. En revanche, un mot de passe soupçonné d'avoir fuité se change immédiatement.

Les substitutions de caractères ne protègent plus. Remplacer le a par @ et le e par 3 est intégré depuis longtemps dans les outils d'attaque. Un mot de plus dans la phrase apporte infiniment plus qu'un symbole déguisé.

Le geste tient en quatre temps, et il fonctionne bien avec un public éloigné du numérique parce qu'il ne demande aucune manipulation technique.

Premier temps, faire choisir quatre ou cinq mots sans rapport logique entre eux. L'absurdité est le critère de réussite : girafe, cactus, vinyle, tempête vaut mieux qu'une phrase grammaticalement correcte, qui est prévisible. C'est le moment où l'usager comprend que la sécurité n'est pas synonyme de compliqué.

Deuxième temps, assembler avec des séparateurs. Un tiret, un point, un chiffre glissé entre deux mots. On obtient quelque chose comme girafe-cactus-7-vinyle-tempête, soit largement plus de douze caractères.

Troisième temps, ajouter un élément non devinable. Ni la date de naissance, ni le prénom d'un petit-enfant, ni le nom de la commune. C'est le point où il faut être explicite : tout ce qui figure sur un profil public ou dans une conversation de comptoir est déjà connu.

Quatrième temps, vérifier. Le générateur de la CNIL permet de construire une phrase de passe et d'en évaluer la robustesse. C'est un outil officiel, français et gratuit, ce qui aide beaucoup en atelier : l'usager voit un site de l'État valider son choix.

Un mot de passe différent par compte. Sans exception, et pas deux ou trois mots de passe répartis selon l'importance supposée des services.

La raison se raconte simplement. Quand un site se fait pirater, les attaquants récupèrent des millions de couples adresse et mot de passe, puis les testent automatiquement sur tous les autres services courants. Banque, messagerie, réseaux sociaux, sites marchands. Si le mot de passe est partout le même, une seule fuite ouvre toute la vie numérique de la personne.

Le site Have I Been Pwned permet de vérifier, gratuitement, dans quelles fuites connues une adresse apparaît. En atelier, c'est souvent le moment qui déclenche la prise de conscience, parce que la réponse est rarement vide.

Retenir cinquante mots de passe uniques n'est pas possible. Le gestionnaire résout le problème, et c'est la solution recommandée par l'ANSSI comme par la CNIL.

Mais il ne se propose pas à tout le monde de la même façon. Pour un public à l'aise, c'est la bonne réponse et il faut y aller directement. Pour une personne qui découvre, introduire un coffre-fort numérique dès la première séance revient souvent à déplacer l'angoisse plutôt qu'à la résoudre. Dans ce cas, la phrase de passe sur les trois ou quatre comptes critiques est déjà un gain considérable, et le gestionnaire vient à la séance suivante.

Deux précautions à transmettre systématiquement. Le mot de passe maître du coffre applique la méthode de la phrase de passe et ne sert à rien d'autre. Et une fois les mots de passe importés dans le gestionnaire, on les supprime du navigateur.

« De toute façon je n'intéresse personne. » Les attaques automatisées ne choisissent pas leurs cibles, elles testent des listes. La question n'est pas de savoir si on est intéressant, mais si on figure dans une base qui a fuité.

« Je note tout sur un carnet. » C'est moins mauvais qu'on ne le dit, à condition que le carnet reste au domicile et ne voyage pas. Le vrai danger n'est pas le papier, c'est la réutilisation.

« Je n'y arriverai jamais. » La phrase de passe est précisément la réponse à cette objection. Elle est plus longue et plus facile à retenir qu'un mot de passe classique.

« Mon navigateur les retient déjà. » L'ANSSI déconseille l'enregistrement automatique dans le navigateur. En cas de compromission de l'appareil, c'est l'intégralité des accès qui part d'un coup.