Depuis 2022, la CNIL ne fixe plus un nombre de caractères unique. Elle demande un niveau de robustesse, mesuré en bits, qui dépend des protections du service.
Le tableau reprend ses trois cas et les exemples de règles qu’elle donne. Les sections expliquent ce qu’ils changent pour vos propres mots de passe.
Les seuils de robustesse de la CNIL
| Situation | Robustesse minimale | Exemples de règles équivalentes |
|---|---|---|
| Mot de passe seul | 80 bits | 12 caractères de 4 types (37 caractères spéciaux au moins), ou 14 caractères avec majuscules, minuscules et chiffres, ou 7 mots |
| Avec restriction d’accès au compte | 50 bits | 8 caractères de 3 types sur 4, ou 5 mots, ou 16 chiffres |
| Code d’un appareil détenu, bloqué après 3 erreurs | 13 bits | 4 chiffres |
D’après la délibération n° 2022-100 du 21 juillet 2022 portant recommandation relative aux mots de passe.
01 / 04
Ce que la CNIL appelle restriction d’accès
Le service freine les essais en série.
Le seuil de 50 bits ne vaut que si le service limite les tentatives. Par exemple avec une attente qui dépasse une minute après cinq échecs et au plus 25 essais par jour, ou un blocage après dix échecs consécutifs.
Un captcha contre les essais automatisés en fait partie. Sans ces garde-fous, un mot de passe doit atteindre seul les 80 bits.
02 / 04
Pourquoi la longueur prime
Un mot du dictionnaire reste un mot du dictionnaire.
La robustesse se calcule pour un mot de passe tiré au hasard. Un prénom suivi d’une date ou un mot dont on remplace le « a » par « @ » figure dans les listes que les attaquants testent en premier.
Mieux vaut donc privilégier la longueur, ou une suite de mots sans lien entre eux, comme le recommande la délibération. Notre outil de robustesse de mot de passe fait le calcul.
03 / 04
La fin du changement obligatoire
Changer souvent n’aide pas.
Les organismes ne devraient plus imposer de changement périodique à tous les utilisateurs. La CNIL le garde pour les comptes d’administration, selon les risques.
En cas de fuite de données, le service doit prévenir les personnes concernées et leur permettre de changer de mot de passe immédiatement. Un gestionnaire de mots de passe facilite ce changement sur tous vos comptes.
Les bons réflexes
0 sur 4 vérifiés
04 / 04
Questions fréquentes
Ressources