Construire une politique de mots de passe efficace (et acceptable)

Pendant 20 ans, les politiques de mots de passe se sont accumulées de couches de complexité : majuscules obligatoires, caractères spéciaux, changement tous les 90 jours… avec un résultat décevant : les utilisateurs choisissent Password2026!, le notent sur un post-it, et la sécurité réelle stagne.

En 2026, les recommandations ont profondément évolué. Voici comment construire une politique vraiment efficace.

Le principe : longueur > complexité

L'ANSSI, le NIST et le CCN convergent : la longueur d'un mot de passe est l'élément le plus déterminant. Un mot de passe de 14 caractères, même simple, résiste mieux à une attaque par force brute qu'un mot de passe de 8 caractères "complexe".

Recommandations actuelles :

• 12 caractères minimum pour un compte standard.
• 16 caractères minimum pour un compte sensible (administration, comptabilité, RH).
• Phrases de passe plutôt que mots de passe : "ChevalRougeMangeAuJardin42" est à la fois fort et mémorisable.

Stop aux rotations forcées

Imposer un changement tous les 60 ou 90 jours est aujourd'hui contre-productif. Les utilisateurs incrémentent simplement un chiffre (MotPasse2025! → MotPasse2026!), ce qui est trivial à deviner pour un attaquant qui possède une version précédente.

La règle 2026 : on ne change un mot de passe que :

• en cas de compromission suspectée,
• en cas de fuite avérée,
• ou à l'arrivée d'un nouveau collaborateur (initialisation).

Le gestionnaire de mots de passe : indispensable

Un humain ne peut pas générer ni mémoriser des mots de passe forts et uniques pour 50 comptes. Le gestionnaire de mots de passe est, en 2026, un outil de productivité autant qu'un outil de sécurité.

À déployer :

• À l'échelle entreprise : gestionnaire centralisé pour les équipes (avec coffres partagés).
• À titre personnel : encourager (et financer) l'usage chez les collaborateurs.

L'authentification multifacteurs en complément

Aucun mot de passe, aussi solide soit-il, ne résiste à une fuite. Le MFA est la filet de sécurité indispensable, en particulier sur :

• les comptes à privilèges,
• les accès distants (VPN, RDP, bastions),
• les outils SaaS sensibles.

À approfondir dans l'article Authentification multifacteurs (MFA).

Communiquer la politique sans culpabiliser

Une politique de mots de passe n'est pas seulement un document RSSI. C'est aussi un objet de sensibilisation. Quelques principes :

• Expliquer le pourquoi, pas seulement le quoi.
• Fournir un gestionnaire de mots de passe et former à son usage.
• Ne pas culpabiliser : aider à reconstruire ses pratiques au lieu de pointer les fautes.
• Mesurer non pas la conformité formelle, mais les comportements réels.

Cette approche, fondée sur l'engagement plutôt que la contrainte, est au cœur de la démarche accompagnement sensibilisation cybersécurité de Conscio Technologies.

Et demain ? Vers la fin des mots de passe

Les passkeys, qui s'appuient sur la biométrie locale et la cryptographie asymétrique, commencent à se généraliser. Le mouvement est lent dans le monde de l'entreprise, mais inévitable. Anticiper le sujet dans les programmes de sensibilisation permet d'accompagner la transition.

Conclusion

Une politique de mots de passe efficace en 2026 est simple, longue, unique, outillée et complétée par du MFA. Elle se construit autant dans la technique que dans la pédagogie. Pour explorer les leviers de changement de comportement, consultez aussi notre article Comprendre le phishing qui détaille les techniques de vol d'identifiants les plus courantes.

---