Les titres sur des « milliards de mots de passe divulgués » reviennent tous les quelques mois. Ils inquiètent, mais ils prêtent aussi à confusion : votre mot de passe en fait-il partie, faut-il tout changer, et est-ce important si vous utilisez déjà un mot de passe « compliqué » ?

Bonne nouvelle : les conseils de ceux qui écrivent les règles sont devenus plus simples, pas plus compliqués. Ce guide traduit les dernières recommandations officielles du National Institute of Standards and Technology (NIST, États-Unis) et du National Cyber Security Centre (NCSC, Royaume-Uni) en quelques habitudes adaptées à tout le monde.

Pourquoi les fuites semblent toujours plus grandes

Les gros titres sur les fuites ne décrivent souvent pas le piratage d'une seule entreprise. Beaucoup portent sur des compilations : des identifiants rassemblés pendant des années à partir de fuites précédentes et d'ordinateurs infectés par des logiciels malveillants, puis regroupés et partagés. Les informations sur ces compilations varient, et le chiffre du titre compte en général des enregistrements, pas des personnes distinctes ; il est donc difficile de savoir combien sont nouveaux ou encore valides.

Ce qui compte pour vous est plus simple. Le service gratuit Have I Been Pwned, qui permet de vérifier si votre adresse e-mail figure dans des fuites connues, recensait plus de 17,8 milliards de comptes compromis provenant de plus de 1 000 sites lorsque nous l'avons consulté le 21 octobre 2026. À cette échelle, le plus prudent est de supposer qu'au moins un de vos anciens mots de passe a fuité quelque part.

Le vrai danger n'est pas la fuite elle-même mais la réutilisation des mots de passe. Si le même mot de passe protège votre messagerie, votre banque et un vieux forum, une fuite du forum donne aux criminels la clé de tout le reste. Ils essaient automatiquement les couples e-mail et mot de passe divulgués sur de nombreux sites.

Ce que disent désormais les recommandations officielles

Le NIST a publié en juillet 2025 la version finale de ses lignes directrices sur l'identité numérique, SP 800-63B-4. Elles s'adressent aux organisations qui gèrent des systèmes de connexion, mais elles en disent long sur ce qui protège réellement un compte :

  • La longueur compte plus que la complexité. Un mot de passe utilisé seul doit compter au moins 15 caractères. Les services doivent en accepter au moins 64, pour que les longues phrases de passe tiennent.
  • Pas de mélanges imposés. Les services ne doivent pas exiger de règles du type « une majuscule, un chiffre, un symbole ». Ces règles produisent des mots de passe prévisibles comme « Summer2026! ».
  • Pas d'expiration périodique. Les services ne doivent pas imposer de changement à intervalles réguliers, mais doivent l'exiger lorsqu'il existe des indices de compromission.
  • Listes de blocage. Les services doivent comparer les nouveaux mots de passe à une liste de mots de passe courants, prévisibles ou déjà compromis.
  • Les gestionnaires de mots de passe sont bienvenus. Les services doivent autoriser les gestionnaires de mots de passe et le remplissage automatique, et devraient autoriser le collage.
  • Pas d'indices ni de questions secrètes lors du choix d'un mot de passe.

Le NCSC dit à peu près la même chose, plus simplement : combinez trois mots aléatoires pour obtenir un mot de passe assez long et assez solide, par exemple trois mots sans rapport que vous pouvez vous représenter ensemble. Il encourage aussi l'usage d'un gestionnaire de mots de passe.

Cinq habitudes qui aident vraiment

1. Un mot de passe par compte

C'est l'habitude la plus importante. Des mots de passe uniques font qu'une fuite sur un site ne pose problème que pour ce site.

2. Faites long

Utilisez trois mots aléatoires ou plus, ou une longue chaîne aléatoire issue d'un générateur. Notre générateur de mots de passe crée des mots de passe aléatoires dans votre navigateur grâce à un aléa cryptographique, et la page n'envoie jamais le mot de passe sur le réseau. La longueur compte plus que l'ajout de symboles.

3. Laissez un gestionnaire de mots de passe s'en souvenir

Personne ne peut retenir des dizaines de mots de passe uniques. Un gestionnaire les stocke, les remplit pour vous et peut en générer de nouveaux. Protégez le gestionnaire lui-même avec une longue phrase de passe que vous n'utilisez nulle part ailleurs, et activez la validation en deux étapes s'il la propose.

4. Protégez votre messagerie au maximum

Le NCSC recommande un mot de passe solide et distinct pour votre messagerie, car quiconque la contrôle peut réinitialiser les mots de passe de la plupart de vos autres comptes. Considérez-la comme votre passe-partout.

5. Activez la validation en deux étapes

La validation en deux étapes (2SV, aussi appelée authentification à deux facteurs) demande une seconde preuve, comme un code dans une application ou une confirmation sur votre téléphone. Selon le NCSC, elle empêchera un criminel d'accéder à votre messagerie même s'il connaît votre mot de passe. Activez-la d'abord pour la messagerie, puis pour la banque, les réseaux sociaux et les sites d'achat.

Comment savoir si vous êtes concerné

  • Vérifiez votre adresse e-mail sur Have I Been Pwned. Le service indique les fuites connues qui l'incluent et le type de données exposées.
  • Utilisez les contrôles de votre gestionnaire. Beaucoup signalent les mots de passe réutilisés, faibles ou divulgués.
  • Restez attentif aux signes : alertes de connexion inconnues, e-mails de réinitialisation que vous n'avez pas demandés, ou messages que vos proches disent avoir reçus de vous.

Apparaître dans une liste de fuites ne signifie pas que quelqu'un est dans votre compte en ce moment. Cela signifie que ce mot de passe doit être considéré comme public.

Que faire après une fuite

  1. Changez le mot de passe divulgué sur ce site et sur tous ceux où vous utilisiez le même ou un mot de passe proche.
  2. Commencez par la messagerie, puis les comptes financiers, puis le reste.
  3. Activez la validation en deux étapes au passage.
  4. Déconnectez les autres sessions si le service le permet, et vérifiez les options de récupération (e-mail de secours, numéro de téléphone).
  5. Méfiez-vous des messages qui suivent. Les fuites sont souvent suivies d'e-mails d'hameçonnage qui les mentionnent pour paraître crédibles. Allez directement sur le site plutôt que de cliquer sur des liens.

Inutile de changer des mots de passe sains et uniques simplement parce qu'un gros titre est paru. Le NIST est clair : l'objectif n'est pas le changement périodique, mais le changement en cas d'indice de compromission.

Le rôle d'un VPN, et ses limites

Un VPN protège votre connexion, par exemple sur un Wi-Fi public, où il cache à l'opérateur du réseau les sites que vous consultez. Il ne protège pas un mot de passe déjà divulgué et ne peut pas empêcher quelqu'un de s'en servir pour se connecter. Des mots de passe solides et uniques et la validation en deux étapes protègent vos comptes ; un VPN comme VPNRice protège le chemin que suivent vos données. Pour le volet réseau, consultez notre guide de sécurité sur le Wi-Fi public.

À retenir

  • Partez du principe que vos anciens mots de passe ont fuité ; le vrai risque, c'est la réutilisation.
  • Utilisez des mots de passe longs : trois mots aléatoires ou une chaîne générée de 15 caractères ou plus.
  • Rangez-les dans un gestionnaire de mots de passe.
  • Donnez à votre messagerie un mot de passe distinct et solide, et la validation en deux étapes.
  • Consultez Have I Been Pwned et changez vos mots de passe en cas d'indice de fuite, pas selon un calendrier.