Sécurité des mots de passe en 2026 : fuites, vérification et protection des comptes, comment vérifier si mon mot de passe a été divulgué, vérifier le mot de passe contre des violations de données

Pourquoi le mot de passe est-il toujours le maillon faible

Vous pouvez sécuriser un serveur selon les règles, configurer la sécurité des sites web, et perdre quand même le compte à cause d'un mot de passe faible. La raison est simple : les gens réutilisent les mots de passe. Le même protège un email, un magasin et un forum — et lorsque le forum est compromis, ce mot de passe ouvre l'email, et l'email ouvre tout le reste.

L'attaque s'appelle le credential stuffing : quelqu'un prend des millions de paires identifiant-mot de passe provenant de violations anciennes et les rejoue automatiquement sur d'autres sites. Ils n'ont pas besoin de vous pirater — cela a déjà été fait pour eux. Donc, la force d'un mot de passe ne dépend pas de sa difficulté à être mémorisé ; cela se résume à deux règles : un mot de passe doit être long et unique à chaque site.

Comment les mots de passe fuient

Un mot de passe est rarement 'deviné'. Bien plus souvent, il fuit dans des bases de données entières :

Violation de service — la base de données des utilisateurs avec les mots de passe se retrouve en ligne. Si les mots de passe étaient mal stockés, ils sont rapidement craqués.
Phishing — vous tapez le mot de passe vous-même sur une fausse page indistinguable de la vraie.
Malware — les voleurs récoltent les mots de passe enregistrés dans le navigateur directement depuis un appareil infecté.
Réutilisation — une fuite sur un site compromet automatiquement tous les autres où le même mot de passe est utilisé.

Le résultat est toujours le même : le mot de passe se retrouve dans des bases de données publiques qui contiennent déjà des centaines de millions d'enregistrements. La bonne nouvelle — vous pouvez vérifier ces mêmes bases de données pour voir si votre mot de passe a été exposé, et le faire en toute sécurité.

Qu'est-ce qui rend un mot de passe fort

La force n'est pas mesurée par la présence d'un 'caractère spécial' mais par l'entropie — le nombre d'options qu'un attaquant aurait à essayer. La longueur l'augmente bien plus que des symboles exotiques : quatre mots aléatoires surpassent un court 'P@ss1!'.

Longueur — au moins 12–16 caractères, plus pour les comptes importants.
Aléatoire — pas un nom, une date ou un mot du dictionnaire, mais véritablement aléatoire.
Unicité — un mot de passe différent par site, donc une fuite n'ouvre pas le reste.

L'inventer dans votre tête est inutile. Générez-le plutôt : notre générateur de mots de passe crée un long mot de passe aléatoire directement dans le navigateur, cryptographiquement solide, sans l'envoyer nulle part.

Comment vérifier un mot de passe contre des violations

Vous pouvez vérifier si un mot de passe est dans des violations connues sans le révéler. Cela fonctionne par k-anonymat : le mot de passe est haché dans votre navigateur, seuls les cinq premiers caractères du hachage vont au serveur, une liste de correspondances pour ce préfixe revient, et la correspondance est trouvée localement. Le serveur ne voit jamais le mot de passe ni son hachage complet.

C'est exactement comment notre vérification de fuite de mot de passe fonctionne : elle compare le mot de passe avec la base de données Have I Been Pwned, sans rien stocker. Si le mot de passe apparaît dans des violations, considérez-le comme compromis et changez-le partout où vous l'avez utilisé. La même vérification vaut la peine d'être intégrée dans vos formulaires d'inscription et de changement de mot de passe, pour avertir les utilisateurs d'un mot de passe faible avant qu'ils ne le définissent.

Les gestionnaires de mots de passe et l'authentification à deux facteurs

Des mots de passe longs et uniques ne peuvent pas être gardés en tête — et ils n'ont pas besoin de l'être. Un gestionnaire de mots de passe génère, stocke et les remplit pour vous ; vous ne vous souvenez que d'un mot de passe maître. C'est le seul moyen pratique d'avoir un mot de passe fort différent sur chaque site.

La deuxième couche est l'authentification à deux facteurs (2FA). Même si le mot de passe fuit, le deuxième facteur bloque la connexion. Par ordre de force : une clé matérielle ou une application d'authentification est préférable aux codes SMS, qui sont interceptés par échange de carte SIM. Activez la 2FA au moins pour les e-mails et la banque — ce sont les comptes qui récupèrent tous les autres.

Comment stocker les mots de passe sur le backend (pour les développeurs)

Si vous construisez un service avec inscription, la responsabilité des mots de passe des utilisateurs vous incombe. Les règles de base ne sont pas sujettes à débat :

Ne jamais stocker les mots de passe en texte clair et ne jamais les chiffrer de manière réversible — uniquement un hachage irréversible.
Utilisez des fonctions adaptatives lentes — bcrypt, scrypt ou argon2 — avec un sel par mot de passe. Le SHA-256 simple ne suffit pas : il est trop rapide et tombe sous le coup d'un GPU.
Vérifiez les nouveaux mots de passe contre les violations lors de l'inscription et du changement — via la même k-anonymité, sans envoyer le mot de passe.
Limitez le nombre de tentatives de connexion et ajoutez une authentification à deux facteurs, afin qu'une fuite de base de données ne donne pas un accès instantané.

Nous intégrons cela dans l'architecture lorsque nous construisons applications web et SaaS: l'authentification et le stockage des secrets sont conçus dès le départ, et non ajoutés par la suite.

Liste de contrôle de la sécurité des mots de passe

Un mot de passe long (12+), aléatoire et unique pour chaque site.
Un gestionnaire de mots de passe au lieu de mémoriser et de réutiliser.
Authentification à deux facteurs partout où elle existe — au moins pour les e-mails et les banques.
Vérifiez les mots de passe importants contre les violations ; en cas de correspondance, changez immédiatement.
Pour les développeurs : argon2/bcrypt avec sel, limites de tentatives, vérification des violations lors de l'inscription.

FAQ

Est-il sûr de vérifier un mot de passe sur le site de quelqu'un d'autre ?

Cela dépend de la façon dont la vérification fonctionne. Une vérification appropriée utilise la k-anonymité : le mot de passe est haché dans votre navigateur et seuls les cinq premiers caractères du hachage le quittent, donc le serveur ne voit jamais le mot de passe. Ne tapez jamais un mot de passe dans un formulaire qui l'envoie en entier.

Qu'est-ce qui compte comme un mot de passe fort en 2026 ?

Long, aléatoire et unique. Un minimum pratique est de 12 à 16 caractères sans mots du dictionnaire ni données personnelles, différent pour chaque site. La longueur compte plus que les 'caractères spéciaux' : une phrase de quelques mots aléatoires est meilleure qu'une courte chaîne de symboles.

Ai-je besoin d'un gestionnaire de mots de passe ?

Oui — c'est le moyen le plus pratique d'avoir un mot de passe fort différent partout. Vous vous souvenez d'un mot de passe maître et le gestionnaire crée et remplit le reste. Le risque que le gestionnaire lui-même soit compromis est bien inférieur au risque de réutiliser des mots de passe.

Les codes SMS sont-ils une authentification à deux facteurs fiable ?

Mieux que rien, mais plus faible que le reste : les codes SMS sont interceptés via le changement de carte SIM. Une application d'authentification ou une clé matérielle est plus forte. Néanmoins, toute 2FA est bien meilleure que rien.

Comment devrais-je stocker les mots de passe des utilisateurs sur le serveur ?

Uniquement sous forme de hachage irréversible via argon2, scrypt ou bcrypt avec un sel unique par mot de passe — jamais en texte clair ou avec un chiffrement réversible. Le SHA simple est trop rapide et inadapté. Limitez également le nombre de tentatives de connexion et proposez une 2FA.