Changer son mot de passe tous les trois mois par principe n’est plus considéré comme une bonne pratique pour un compte utilisateur classique. Les recommandations actuelles privilégient un mot de passe robuste et unique, conservé tant qu’aucun signe de compromission n’apparaît.
L’ANSSI recommande de ne pas imposer par défaut de délai d’expiration aux mots de passe des comptes non sensibles. La CNIL a également abandonné le renouvellement périodique pour les utilisateurs classiques. Le NIST va dans le même sens : ses directives actuelles demandent de ne pas imposer de changement périodique, mais de forcer le remplacement du mot de passe lorsqu’il existe des preuves de compromission.
La nuance est essentielle : ne plus changer régulièrement son mot de passe ne signifie pas le conserver quoi qu’il arrive. Une fuite de données, une connexion suspecte ou un mot de passe communiqué lors d’un phishing justifient au contraire une réaction immédiate.
Pourquoi ne recommande-t-on plus de changer son mot de passe tous les 3 mois ?
Pendant longtemps, renouveler ses mots de passe tous les 30, 60 ou 90 jours apparaissait comme une mesure de sécurité logique. Si un attaquant obtenait un mot de passe, son temps d’utilisation devait théoriquement être limité par sa prochaine expiration.
Le problème vient du comportement humain face à cette contrainte. Lorsqu’un nouveau mot de passe doit être mémorisé régulièrement, les utilisateurs ont tendance à choisir des variantes prévisibles de l’ancien : modifier un chiffre, ajouter un caractère ou remplacer un élément lié à une date ou à une saison.
La CNIL souligne précisément ce phénomène : les stratégies employées pour s’adapter aux expirations régulières sont généralement prévisibles et peuvent abaisser le niveau de sécurité réel. Le bénéfice du renouvellement devient alors faible par rapport aux contraintes imposées à l’utilisateur.
Cette évolution explique le changement de doctrine. Dans son guide publié en 2021 sur l’authentification multifacteur et les mots de passe, l’ANSSI recommande de ne pas imposer par défaut de délai d’expiration aux mots de passe des comptes non sensibles.
Quand faut-il vraiment changer son mot de passe ?
Le calendrier laisse désormais la place à une logique fondée sur le risque. Un mot de passe sain n’a pas besoin d’être remplacé simplement parce que trois ou six mois se sont écoulés. En revanche, certains événements doivent déclencher une action rapide.
- Le service annonce une fuite de données susceptible d’avoir exposé les mots de passe.
- Une connexion ou une activité inconnue apparaît sur le compte.
- Le mot de passe a été saisi sur un site de phishing ou communiqué par erreur.
- Le service ou un outil de sécurité signale que le mot de passe est compromis.
- Une autre personne connaît le mot de passe alors qu’elle ne devrait plus y avoir accès.
- Le même mot de passe a été utilisé sur un autre service victime d’une fuite.
L’ANSSI recommande la révocation immédiate d’un mot de passe en cas de compromission suspectée ou avérée. Le NIST impose également son changement lorsqu’il existe des preuves que l’authentifiant a été compromis.
Faut-il changer tous ses mots de passe après le piratage d’un site ?
Pas nécessairement. Si chaque compte possède un mot de passe réellement unique, la compromission d’un service ne devrait pas obliger à modifier ceux des autres services.
La situation est différente lorsque le mot de passe compromis a été réutilisé. Il faut alors le remplacer sur tous les comptes utilisant le même secret, en commençant par les plus sensibles : messagerie principale, gestionnaire de mots de passe, services financiers ou comptes donnant accès à d’autres services.
Cette précaution répond notamment au risque de credential stuffing. Les attaquants peuvent tester automatiquement des identifiants récupérés lors d’une fuite sur d’autres plateformes, en comptant sur la réutilisation des mots de passe.
Comment créer un mot de passe que l’on peut conserver longtemps ?
La priorité n’est plus de fabriquer un mot de passe compliqué à mémoriser puis de le remplacer régulièrement. Elle consiste à disposer dès le départ d’un secret suffisamment robuste, imprévisible et surtout différent pour chaque compte.
Les recommandations précises varient selon les référentiels et le contexte. La CNIL raisonne notamment en niveau d’entropie et donne, pour certains cas, l’exemple d’un mot de passe d’au moins 12 caractères associant majuscules, minuscules, chiffres et caractères spéciaux.
Le NIST SP 800-63B actuel adopte une approche différente. Pour un mot de passe utilisé comme seul facteur d’authentification, il demande une longueur minimale de 15 caractères et déconseille d’imposer des règles de composition telles que l’obligation de mélanger majuscules, chiffres et caractères spéciaux. Il préconise également de vérifier les nouveaux mots de passe par rapport à des listes de secrets courants ou déjà compromis.
Ces différences montrent pourquoi la règle « 12 caractères avec une majuscule, un chiffre et un symbole » ne doit pas être présentée comme une norme universelle. Dans la pratique, la longueur, l’imprévisibilité et l’unicité sont déterminantes.
Phrase de passe ou mot de passe complexe ?
Une phrase de passe peut faciliter la création d’un secret long. Elle repose sur plusieurs mots suffisamment imprévisibles plutôt que sur un mot court artificiellement complexifié.
Il faut néanmoins éviter les citations célèbres, expressions courantes, informations personnelles et suites de mots faciles à anticiper. Une longue phrase connue d’un attaquant n’est pas automatiquement sûre.
Le gestionnaire de mots de passe change la donne
Demander à une personne de retenir un mot de passe long, unique et imprévisible pour chaque service devient rapidement irréaliste. C’est précisément l’un des problèmes auxquels répond le gestionnaire de mots de passe.
L’ANSSI recommande l’utilisation d’un coffre-fort de mots de passe. Celui-ci permet de générer et de conserver des secrets différents pour chaque compte sans avoir à tous les mémoriser.
Cette pratique facilite directement l’abandon des rotations artificielles : au lieu de retenir quelques mots de passe réutilisés et régulièrement modifiés, l’utilisateur peut disposer de nombreux secrets indépendants et aléatoires.
Le compte donnant accès au gestionnaire mérite en contrepartie une protection particulièrement forte, avec un mot de passe maître robuste et une authentification multifacteur lorsqu’elle est disponible.
MFA et passkeys : le mot de passe n’est plus la seule ligne de défense
Un excellent mot de passe reste vulnérable à certaines attaques, notamment au phishing. Le NIST rappelle d’ailleurs explicitement que les mots de passe ne résistent pas intrinsèquement à ce type d’attaque.
L’authentification multifacteur ajoute une protection en exigeant plusieurs éléments distincts pour accéder au compte. L’ANSSI recommande de privilégier ce type d’authentification lorsque le contexte le permet.
Les passkeys poussent cette évolution plus loin en permettant une authentification fondée sur des mécanismes cryptographiques plutôt que sur un secret que l’utilisateur doit saisir et que le service doit vérifier. Lorsqu’un service propose une méthode d’authentification plus résistante au phishing, elle peut donc réduire la dépendance au mot de passe traditionnel.
Comment savoir si un mot de passe a été compromis ?
Il n’est pas toujours possible de détecter soi-même le vol d’un mot de passe. Plusieurs signaux doivent néanmoins attirer l’attention : notification de connexion inconnue, modification inexpliquée des paramètres du compte, demande de réinitialisation non sollicitée ou alerte de sécurité envoyée par le service.
Une entreprise victime d’une violation de données peut également avertir ses utilisateurs et leur demander de remplacer leurs identifiants. La CNIL indique qu’en cas de violation impliquant le mot de passe d’une personne, le responsable concerné doit imposer son changement lors de la prochaine connexion et recommander le remplacement des mots de passe identiques éventuellement utilisés sur d’autres services.
Activer les alertes de connexion et examiner périodiquement les appareils ou sessions associés aux comptes sensibles apporte donc davantage de valeur qu’un changement mécanique du mot de passe à date fixe.
En entreprise, la fin de l’expiration automatique n’est pas absolue
La recommandation moderne ne signifie pas que toutes les organisations doivent supprimer indistinctement toutes leurs règles d’expiration.
L’ANSSI distingue notamment les comptes non sensibles des comptes à privilèges. Son guide recommande de ne pas imposer par défaut d’expiration aux premiers, mais prévoit un délai d’expiration pour les mots de passe des comptes à privilèges. La CNIL maintient elle aussi une distinction pour les comptes d’administration.
Une organisation peut par ailleurs être soumise à une analyse de risque, à des contraintes réglementaires, sectorielles ou internes particulières. Une politique de sécurité professionnelle doit donc être adaptée au niveau de sensibilité des comptes plutôt que déduite d’une règle générale destinée au grand public.
Changer son mot de passe moins souvent, mais au bon moment
Le réflexe « nouveau mot de passe tous les trois mois » a perdu sa place comme règle générale de cybersécurité. Pour un compte utilisateur classique, les recommandations actuelles de l’ANSSI, de la CNIL et du NIST privilégient une stratégie différente : un secret robuste et unique, un gestionnaire de mots de passe et une authentification renforcée lorsque le service le permet.
Le changement doit devenir une mesure corrective déclenchée par un risque, et non une formalité inscrite au calendrier. Dès qu’une compromission est avérée ou sérieusement suspectée, le mot de passe concerné doit en revanche être remplacé sans attendre.
FAQ sur le changement de mot de passe
Faut-il changer son mot de passe tous les 3 mois ?
Non pour un compte utilisateur classique, sauf risque particulier ou règle spécifique applicable à l’organisation. L’ANSSI déconseille d’imposer par défaut une expiration aux comptes non sensibles, tandis que le NIST indique que les utilisateurs ne doivent pas être contraints de changer périodiquement leur mot de passe.
Quand faut-il changer immédiatement son mot de passe ?
Il faut agir lorsqu’une compromission est avérée ou suspectée : fuite de données concernant le compte, phishing, activité inconnue, mot de passe divulgué ou alerte de sécurité crédible. Si le secret a été réutilisé ailleurs, les autres comptes concernés doivent également être sécurisés.
Un mot de passe peut-il être conservé plusieurs années ?
Pour un compte classique, l’ancienneté seule n’impose pas nécessairement son remplacement. Un mot de passe robuste, unique et non compromis peut être conservé tant qu’aucun événement ne justifie son changement et qu’aucune politique spécifique ne prévoit le contraire.
Est-ce que 12 caractères suffisent pour un mot de passe ?
Il n’existe pas de seuil universel valable dans tous les contextes. La CNIL donne notamment l’exemple de 12 caractères avec plusieurs catégories de caractères pour certains usages. Le NIST actuel exige au moins 15 caractères lorsqu’un mot de passe constitue à lui seul le facteur d’authentification. Plus largement, la robustesse dépend aussi de l’imprévisibilité du secret et de son contexte d’utilisation.
Pourquoi ne faut-il jamais réutiliser le même mot de passe ?
Parce qu’une fuite sur un seul service peut compromettre tous les autres comptes utilisant les mêmes identifiants. Des attaquants peuvent tester automatiquement les identifiants volés sur d’autres plateformes, une technique appelée credential stuffing.
