L'Agence Nationale de la Securite des Systemes d'Information (ANSSI) recommande au moins 12 caracteres pour un mot de passe avec quatre types de caracteres, et au moins 14 caracteres lorsque la diversite est plus limitee. Pour les comptes sensibles, visez 16 caracteres ou plus, ou une phrase de passe de 4 a 6 mots sans rapport. La longueur compte plus que toute regle de complexite specifique : chaque caractere supplementaire multiplie l'espace de cles.

Non. Le NIST SP 800-63B abandonne explicitement les regles de composition obligatoires car elles poussent les utilisateurs vers des schemas previsibles comme 'Password1!'. Un mot de passe long et veritablement aleatoire issu d'un ensemble plus restreint peut avoir plus d'entropie qu'un mot de passe court avec toutes les classes de caracteres. Privilegiez d'abord la longueur ; les classes melangees sont un multiplicateur utile en complement, pas un substitut.

Les deux peuvent etre forts s'ils ont suffisamment d'entropie. Une phrase de passe de 4 a 6 mots aleatoires tires d'une grande liste (comme la liste Diceware de 7 776 mots) offre environ 12,9 bits par mot, soit environ 64 bits pour 5 mots et 77 bits pour 6 mots. Les phrases de passe sont generalement plus faciles a taper et a memoriser, ce qui compte pour les rares identifiants que vous devez retenir.

Oui. La CNIL et l'ANSSI recommandent toutes deux l'usage d'un gestionnaire de mots de passe afin que chaque compte puisse avoir un secret unique et a haute entropie sans avoir a le memoriser. Vous ne retenez qu'une seule phrase de passe maitre forte et vous la protegez par la 2FA. Reutiliser les mots de passe entre sites est le plus grand amplificateur des degats en cas de fuite.

Oui, partout ou elle est proposee. Le NIST SP 800-63B traite l'authentification multifacteur comme un controle essentiel pour tout compte presentant un risque non negligeable. Preferez les facteurs resistants au phishing comme les cles de securite FIDO2 ou les passkeys integres ; l'application d'authentification TOTP est la meilleure option suivante. Les codes par SMS valent mieux que rien mais restent vulnerables aux attaques par echange de SIM (SIM swap).

Privilegiez TOTP (Time-based One-Time Password) via une application comme Google Authenticator, Authy ou un gestionnaire de mots de passe. La CNIL et l'ANSSI deconseillent le SMS lorsqu'une alternative existe, car les codes peuvent etre intercepts par echange de carte SIM ou par des relais SS7. Encore mieux : une cle materielle FIDO2 ou une passkey, qui resistent au phishing par conception.

Utilisez le service Pwned Passwords de Have I Been Pwned, qui permet de verifier un mot de passe contre des milliards d'identifiants compromis grace a un modele k-anonymity, de sorte que le mot de passe complet ne quitte jamais votre appareil. Si un mot de passe genere apparait dans la liste, regenerez-le. Tout mot de passe utilise ailleurs doit etre considere comme expose si cet autre site est compromis.

Oui, lorsque la generation se fait cote client et utilise une source cryptographiquement sure. Cet outil fonctionne entierement dans votre navigateur via l'API Web Crypto (crypto.getRandomValues), le meme CSPRNG recommande par l'OWASP pour les jetons de securite. Rien n'est envoye a un serveur ni stocke. Copiez tout de meme le mot de passe directement dans votre gestionnaire plutot que de le coller dans des messageries ou des blocs-notes.