Mot de passe sécurisé : le créer, puis l'envoyer sans le divulguer

Un mot de passe sécurisé est long, unique pour chaque compte et impossible à deviner à partir de ce que l'on sait de vous : une phrase de passe de plusieurs mots sans lien entre eux, ou un mot de passe produit par un générateur, remplit ces trois conditions. Pour l'envoyer à quelqu'un, la règle tient en une phrase : jamais en clair, et jamais dans le même message que l'identifiant. On sépare les canaux, on utilise un lien à usage unique ou le partage d'un gestionnaire, et le destinataire le change dès sa première connexion. Voici comment le créer, puis comment le transmettre sans qu'il reste lisible dans une boîte mail.

Mot de passe sécurisé : la réponse courte

Un mot de passe résiste quand il réunit trois qualités.

Il est long. C'est la qualité qui compte le plus : chaque caractère ajouté multiplie le nombre de combinaisons qu'un programme devrait essayer.

Il est unique. Il ne sert que pour un seul compte. Le jour où un site se fait voler sa base de données, le mot de passe dérobé n'ouvre rien d'autre.

Il est imprévisible. Il ne contient ni votre prénom, ni la date de naissance d'un enfant, ni le nom de votre animal, ni une suite de touches du clavier.

Pour le transmettre, il ne doit jamais voyager en clair avec l'identifiant qui va avec. Séparés, les deux morceaux ne servent à rien à celui qui n'en intercepte qu'un.

Ce qui rend un mot de passe solide

On a longtemps conseillé des mots de passe courts et compliqués, avec majuscule, chiffre et symbole. Le résultat est connu : des mots de passe difficiles à retenir, donc écrits partout, et des variantes prévisibles d'un même mot, comme un prénom suivi d'un point d'exclamation.

Les recommandations actuelles mettent la longueur devant la complexité. Un mot de passe long et simple à retenir vaut mieux qu'un mot de passe court et compliqué. Les symboles et les chiffres restent utiles, mais ils ne compensent pas une longueur insuffisante.

Les programmes qui tentent de deviner les mots de passe ne tapent pas au hasard. Ils commencent par les mots de passe les plus courants, les mots du dictionnaire, les prénoms, les dates, puis leurs variantes habituelles : majuscule au début, chiffre à la fin, lettres remplacées par des chiffres qui leur ressemblent. Un mot de passe construit selon ces habitudes tombe parmi les premiers essais, même s'il paraît compliqué.

Reste l'unicité, souvent négligée. Des fuites de données touchent régulièrement des sites de toutes tailles. Les adresses et les mots de passe volés sont ensuite essayés automatiquement sur d'autres services. Si vous utilisez le même mot de passe partout, une seule fuite ouvre tous vos comptes.

Créer un mot de passe sûr : trois méthodes

La phrase de passe. Choisissez plusieurs mots courants, sans lien logique entre eux, et assemblez-les avec un séparateur. Par exemple, pour l'illustration seulement : « cerise-tramway-velours-boussole ». C'est long, facile à retenir avec une petite image mentale, et beaucoup plus difficile à deviner qu'un mot unique trafiqué. Ne prenez pas une citation connue ni les paroles d'une chanson : elles figurent dans les listes d'essais.

Les initiales d'une phrase. Inventez une phrase que vous seul connaissez, et gardez la première lettre de chaque mot, avec la ponctuation et les nombres qu'elle contient. La phrase vous sert d'aide-mémoire, le mot de passe obtenu n'a l'air de rien. La méthode demande un peu plus d'effort, mais elle produit des mots de passe très imprévisibles.

Le générateur. Les navigateurs et les gestionnaires de mots de passe proposent de créer un mot de passe aléatoire au moment de l'inscription sur un site. Il est impossible à retenir, et c'est voulu : il est enregistré pour vous. C'est la meilleure solution pour la plupart des comptes.

Les exemples que vous lisez sur internet, y compris celui de cet article, sont à proscrire tels quels : ils sont publics, donc connus de ceux qui cherchent à deviner.

Le gestionnaire de mots de passe

Avoir un mot de passe long et différent pour chaque compte n'est réaliste qu'avec un outil pour les retenir. C'est le rôle du gestionnaire de mots de passe.

Il enregistre vos identifiants, les remplit automatiquement sur les bons sites, génère de nouveaux mots de passe et, pour beaucoup d'entre eux, vous prévient quand un mot de passe enregistré apparaît dans une fuite connue ou est utilisé sur plusieurs sites.

Vous pouvez utiliser celui de votre navigateur ou de votre téléphone, déjà installé, ou un gestionnaire indépendant, qui fonctionne sur tous vos appareils quel que soit le navigateur. Les deux font l'affaire pour un usage personnel.

Une seule règle : le mot de passe qui ouvre le gestionnaire, appelé mot de passe maître, doit être le plus solide de tous. C'est l'endroit où une phrase de passe prend tout son sens. Activez aussi la double authentification sur le gestionnaire lui-même.

Envoyer un mot de passe : ce qu'il ne faut pas faire

La situation est banale : un nouveau collègue doit accéder à un outil commun, un proche a besoin du code d'un abonnement partagé, un prestataire doit se connecter au site de votre association. Le réflexe est d'écrire un courriel avec l'adresse de connexion, l'identifiant et le mot de passe. C'est précisément ce qu'il faut éviter.

Un courriel ne disparaît pas. Il reste dans la boîte d'envoi, dans celle du destinataire, dans les sauvegardes, sur les téléphones synchronisés, parfois pendant des années. Il suffit qu'une seule de ces boîtes soit un jour piratée pour que le message complet, avec tout ce qu'il faut pour se connecter, tombe entre de mauvaises mains.

Même problème avec le message envoyé dans une conversation de groupe, la capture d'écran, le document partagé intitulé « codes d'accès » et le post-it collé sur l'écran. Le mot de passe y reste lisible, longtemps, et par un nombre de personnes que vous ne maîtrisez plus.

Envoyer un mot de passe de façon sécurisée

Plusieurs méthodes existent, de la plus simple à la plus robuste. Choisissez selon l'importance du compte.

1. Séparer les canaux. L'identifiant et l'adresse du service par courriel, le mot de passe par SMS ou de vive voix, au téléphone. Celui qui intercepte un seul des deux messages n'a rien d'exploitable.
2. Le lien à usage unique. Des services en ligne permettent de déposer un secret et d'obtenir un lien qui ne s'ouvre qu'une fois, ou qui expire au bout d'un délai que vous choisissez. Une fois lu, le mot de passe disparaît du serveur. Le lien envoyé par courriel ne contient plus rien d'utile à qui le retrouverait plus tard.
3. Le partage par gestionnaire. La plupart des gestionnaires de mots de passe permettent de partager une entrée avec une autre personne, ou de créer un coffre commun à une équipe ou une famille. Le mot de passe ne circule jamais en clair, et vous pouvez retirer l'accès.
4. La messagerie chiffrée. Une messagerie chiffrée de bout en bout, avec des messages éphémères qui s'effacent seuls, évite que le mot de passe reste dans l'historique.
5. Le mot de passe provisoire. Quelle que soit la méthode, envoyez un mot de passe provisoire et demandez qu'il soit changé dès la première connexion. Beaucoup de services savent l'imposer.

Pour un compte partagé durablement, comme un outil d'équipe, préférez quand c'est possible un accès individuel pour chaque personne. Chacun a son propre mot de passe, et le départ de quelqu'un ne vous oblige pas à tout changer.

Recevoir un mot de passe : les bons réflexes

Si c'est vous qui recevez un mot de passe, trois gestes suffisent.

Changez-le dès votre première connexion, même si personne ne vous le demande. Supprimez ensuite le message qui le contenait, dans la boîte de réception puis dans la corbeille. Enfin, enregistrez le nouveau mot de passe dans votre gestionnaire.

Méfiez-vous d'un mot de passe que vous n'avez pas demandé. Un message qui vous annonce un « nouveau mot de passe provisoire » et vous invite à cliquer pour vous connecter est un scénario classique d'hameçonnage. Ouvrez vous-même la page du service, sans passer par le lien.

Et si le mot de passe reçu a été perdu ou oublié avant d'être enregistré, ne le redemandez pas par le même canal : passez par la procédure du service, décrite dans la méthode pour retrouver un mot de passe oublié.

Au-delà du mot de passe : la double authentification

Un mot de passe, aussi solide soit-il, peut fuir : par un site piraté, une fausse page de connexion, un message mal protégé. La double authentification réduit fortement les conséquences.

Elle demande, en plus du mot de passe, une preuve que vous possédez un appareil : un code affiché par une application d'authentification, une confirmation sur votre téléphone, une clé de sécurité physique. Le code par SMS reste mieux que rien, mais les applications et les clés résistent mieux aux détournements.

Activez-la en priorité sur votre messagerie, qui permet de réinitialiser la plupart de vos autres comptes, et sur votre gestionnaire de mots de passe. Les autres gestes de protection sont réunis dans les conseils pour verrouiller ses comptes en ligne, sur Monadresse.ip.

Questions fréquentes

Comment envoyer un mot de passe par mail de façon sécurisée ?

N'envoyez jamais le mot de passe et l'identifiant dans le même courriel. Envoyez l'identifiant par mail et le mot de passe par un autre canal, comme un SMS ou un appel, ou utilisez un lien à usage unique qui s'efface après lecture. Demandez ensuite au destinataire de changer le mot de passe dès sa première connexion.

Qu'est-ce qu'un exemple de mot de passe sécurisé ?

Une phrase de passe faite de plusieurs mots sans lien entre eux, comme « cerise-tramway-velours-boussole », ou un mot de passe aléatoire produit par un générateur. N'utilisez jamais un exemple publié tel quel : il est connu de tous, donc de ceux qui cherchent à deviner.

Un mot de passe long vaut-il mieux qu'un mot de passe compliqué ?

Oui, en règle générale. La longueur augmente beaucoup plus la résistance que l'ajout de symboles sur un mot de passe court. L'idéal combine les deux : une phrase de passe longue, éventuellement agrémentée d'un chiffre ou d'un symbole placé de façon imprévisible.

Peut-on partager un mot de passe avec un gestionnaire ?

Oui, la plupart des gestionnaires permettent de partager une entrée ou un coffre avec d'autres personnes. Le mot de passe ne circule pas en clair, il se met à jour pour tout le monde quand il change, et vous pouvez retirer l'accès d'une personne à tout moment.

Publié le 31 octobre 2026 · Par la rédaction

← Tous les articles