Pourquoi votre cerveau est incapable d’inventer un bon mot de passe (et pourquoi ce n’est pas grave)

Faites le test. Là, maintenant, inventez mentalement un mot de passe « fort ». Il y a de très bonnes chances qu’il ressemble à ceci : un mot qui signifie quelque chose pour vous, une majuscule au début, un ou deux chiffres à la fin (probablement une année), et un point d’exclamation pour conclure. Quelque chose comme Marseille2013!.

Vous venez de faire exactement ce que font des millions de personnes. Et c’est là tout le problème : nous nous croyons uniques, mais face à un clavier, nous sommes désespérément prévisibles. Ce n’est pas un défaut d’intelligence ni de créativité. C’est le fonctionnement normal d’un cerveau humain, et c’est précisément pour cela que la meilleure décision en matière de mots de passe est de ne plus les inventer soi-même.

Le mythe du mot de passe « personnel donc introuvable »

L’intuition est séduisante : « personne ne connaît le surnom de mon chien ni ma date de rencontre avec ma compagne, donc personne ne devinera mon mot de passe ». Cette intuition repose sur une image dépassée du piratage : celle d’un individu assis face à votre écran, essayant de deviner VOTRE mot de passe en réfléchissant à VOTRE vie.

La réalité n’a rien à voir. Les attaques modernes ne devinent pas, elles testent des millions de combinaisons par seconde, en s’appuyant sur des dictionnaires géants construits à partir des centaines de millions de mots de passe réels divulgués dans les fuites de données. Votre mot de passe n’affronte pas un humain qui vous connaît : il affronte la statistique de tous les mots de passe que l’humanité a créés avant vous.

Et cette statistique est accablante. Les mots de passe humains sont si semblables entre eux que connaître les schémas de quelques millions de personnes suffit à prédire ceux de milliards d’autres.

Les schémas que nous suivons tous (sans le savoir)

Décennie après décennie, les analyses de fuites de données révèlent les mêmes réflexes, dans toutes les langues et toutes les cultures :

• La majuscule va au début, les chiffres et symboles à la fin. Quand un site exige une majuscule, l’écrasante majorité des gens la placent en première position. Quand il exige un chiffre, il atterrit en dernière position. La « complexité » ajoutée est donc parfaitement prévisible.
• Les chiffres sont des dates. Années de naissance, année en cours, code postal. Un attaquant qui teste les nombres de 1950 à 2026 couvre l’essentiel des suffixes numériques utilisés.
• Le symbole est un point d’exclamation. Sommé d’ajouter un caractère spécial, le cerveau choisit massivement !, loin devant tous les autres.
• Les substitutions sont toujours les mêmes. a devient @, e devient 3, o devient 0. Ces variations figurent dans tous les outils de cassage depuis vingt ans : P@ssw0rd n’est pas plus sûr que Password.
• Les « chemins de clavier » nous semblent aléatoires. azerty, qwerty, 159357 : ces suites paraissent arbitraires, mais elles suivent la géométrie du clavier, et tout le monde a le même clavier.
• Le contenu vient de notre univers proche. Prénoms, équipes de sport, villes, animaux, marques. Autant d’informations souvent publiques ou devinables, et de toute façon présentes dans les dictionnaires d’attaque.

Le plus troublant ? Même en connaissant ces schémas, nous continuons à les reproduire. Demandez à quelqu’un d’éviter la majuscule initiale et le chiffre final : l’effort conscient nécessaire est tel que le mot de passe qui en résulte devient impossible à mémoriser. Notre cerveau ne sait tout simplement pas faire autrement.

Le vrai critère de solidité : l’imprévisibilité, pas la complexité apparente

C’est ici que se niche le malentendu central. Un mot de passe n’est pas fort parce qu’il a l’air compliqué. Il est fort parce qu’il est imprévisible, c’est-à-dire qu’un attaquant ne peut pas réduire le nombre de combinaisons à tester.

Les spécialistes mesurent cela avec la notion d’entropie : en simplifiant, le nombre de possibilités parmi lesquelles votre mot de passe a été choisi. Et c’est là que le cerveau humain perd la partie avant même de jouer :

• Marseille2013! a l’air complexe : 14 caractères, majuscule, chiffres, symbole. Mais il a été choisi parmi un univers minuscule : un mot du dictionnaire + une année + un !. Quelques milliards de combinaisons, une paille pour un ordinateur moderne.
• g7#Kp!2mQv9zLr ne contient que 14 caractères lui aussi. Mais chacun a été tiré au hasard parmi environ 90 possibilités, indépendamment des autres. L’univers de recherche se compte en milliards de milliards de milliards. Aucune puissance de calcul réaliste n’en vient à bout.

Deux mots de passe de même longueur, remplissant les mêmes règles de « complexité », et pourtant séparés par un gouffre. La différence ne se voit pas à l’œil nu : elle tient entièrement à la manière dont le mot de passe a été produit. Un humain choisit dans un petit univers de choses mémorisables ; le hasard choisit dans l’univers entier.

La bonne nouvelle : ce n’est pas votre travail

Voici le renversement de perspective qui change tout : être mauvais à inventer des mots de passe n’est pas un problème à corriger, c’est une tâche à déléguer. Personne ne calcule mentalement des racines carrées à quinze décimales ; nous avons des calculatrices. Générer de l’aléatoire de qualité est exactement le même type de tâche : triviale pour une machine, impossible pour un cerveau.

La répartition des rôles optimale tient en deux lignes :

1. La machine génère et retient. Un générateur de mots de passe produit des identifiants réellement aléatoires, uniques pour chaque compte. C’est la philosophie de FortixPass : le hasard de qualité, accessible en un clic, gratuitement. Un gestionnaire de mots de passe se charge ensuite de les retenir à votre place.
2. L’humain retient une seule chose. Le mot de passe maître de son gestionnaire, sous forme de phrase de passe : quatre ou cinq mots choisis au hasard, faciles à mémoriser pour vous, hors de portée des dictionnaires par leur longueur. C’est la seule tâche de mémorisation qui reste, et elle est à la portée de tous.

Ce partage des tâches résout d’un coup les deux problèmes du cerveau humain : sa prévisibilité (le hasard s’en charge) et les limites de sa mémoire (le gestionnaire s’en charge).

« Mais un mot de passe aléatoire, je ne le retiendrai jamais ! »

C’est l’objection universelle, et elle repose sur une prémisse dépassée : l’idée que vous devriez retenir vos mots de passe. Vous ne connaissez par cœur ni le numéro de votre carte bancaire, ni votre numéro de sécurité sociale, ni le téléphone de la moitié de vos contacts. Ces informations vivent dans des supports fiables, et tout le monde trouve cela normal.

Les mots de passe méritent le même traitement. Le seul qui doive habiter votre mémoire est le mot de passe maître. Tous les autres peuvent, et devraient, être des chaînes aléatoires que vous ne connaissez même pas. Un mot de passe que vous ne connaissez pas est d’ailleurs un mot de passe que vous ne pouvez ni réutiliser par facilité, ni saisir par réflexe sur une page de phishing bien imitée.

Ce qu’il faut retenir

Votre cerveau est une merveille pour raconter des histoires, reconnaître des visages et créer du sens. C’est précisément pour cela qu’il est incapable de produire du hasard : il crée du sens partout, y compris dans vos mots de passe, et ce sens est ce que les attaquants exploitent. Les schémas humains (majuscule devant, année derrière, ! final, substitutions convenues) sont connus, catalogués et testés en priorité.

La solidité d’un mot de passe ne tient pas à son apparence mais à son origine : seul le hasard produit de l’imprévisible. Alors ne luttez plus contre votre nature : déléguez. Un clic sur FortixPass produit un mot de passe que ni votre cerveau, ni celui de personne, n’aurait pu prévoir. C’est exactement ce qu’il faut.