# Le jeu des mots de passe, et les règles qui ne protègent rien

> The Password Game pousse les règles de composition jusqu'à l'absurde en exigeant des choses de plus en plus ridicules. La blague, c'est que pendant vingt ans ces règles ont été une vraie politique de sécurité.

2026-09-08 · David Carrero · password.es
Original: https://password.es/fr/blog/le-jeu-des-mots-de-passe-et-les-regles-inutiles/

---

En juin 2023, un développeur nommé **Neal Agarwal** a mis en ligne sur son site,
neal.fun, quelque chose intitulé *The Password Game*. On vous demande d'écrire un
mot de passe. Puis qu'il fasse au moins cinq caractères. Puis qu'il contienne un
chiffre. Puis une majuscule. Puis un caractère spécial.

Jusque-là ce n'est pas un jeu. C'est le formulaire de votre banque.

Ensuite commence l'autre partie. Que la somme des chiffres fasse 25. Qu'il
contienne le nom d'un mois. Qu'il contienne des chiffres romains dont le produit
vaut 35. Qu'il contienne la réponse du Wordle du jour. Qu'il identifie le pays
d'une photo. Qu'il contienne le meilleur coup d'une position d'échecs, en notation
algébrique. Il y a trente-cinq règles, et en chemin un emoji d'œuf nommé Paul
éclôt à l'intérieur de votre mot de passe et doit être nourri de chenilles, tandis
qu'une flamme dévore vos caractères si vous ne l'éteignez pas à temps.

Le jeu fonctionne pour une raison gênante : **personne n'a besoin de vous expliquer
la blague**. Vous la comprenez en une seconde, parce que vous subissez ce mécanisme
depuis la moitié de votre vie. Agarwal s'est contenté de tirer sur le fil.

Et c'est là qu'il faut ralentir. **Les quatre premières règles, il ne les a pas
inventées.**

## D'où viennent les règles que vous connaissiez déjà

Une majuscule, un chiffre, un symbole et une longueur minimale ne sont pas du
folklore d'internet : c'est la traduction pratique d'un document du NIST américain
publié en **2003**, le SP 800-63, écrit par Bill Burr. De là, elles sont descendues
dans les formulaires de la moitié de la planète, et de là dans votre tête.

Nous l'avons raconté en entier dans [qu'est-ce qu'un mot de
passe](/fr/blog/quest-ce-quun-mot-de-passe/) : Burr n'avait pas de données sur les
mots de passe réels — il n'en existait presque pas — alors il a raisonné vers ce
qui semblait sensé. Plus de variété de caractères, plus de combinaisons, plus de
sécurité. En 2017, le NIST lui-même a fait marche arrière, et Burr a déclaré au
*Wall Street Journal* qu'il regrettait une bonne partie de ce qu'il avait écrit.

Le jeu d'Agarwal n'exagère donc pas une politique de sécurité. **Il prolonge une
liste qui était déjà fausse dès la première ligne.** La seule différence entre
« doit contenir un symbole » et « la somme des chiffres doit faire 25 », c'est que
vous vous êtes habitué à la première.

## Ce que ces règles n'ont jamais mesuré

C'est ici que la blague cesse d'être drôle, parce qu'on peut mesurer.

Ces chiffres viennent du [vérificateur](/fr/verificateur/) de ce site, avec son
modèle déclaré : une attaque **hors ligne contre un hachage rapide, à 10¹² essais
par seconde**. Ce ne sont pas des estimations de brochure ; c'est ce que vous
verrez en tapant ces mêmes chaînes là-bas.

| mot de passe | règles respectées | essais | tient |
|---|---|---|---|
| `Motdepasse1!` | les quatre | 6,6 × 10⁹ | < 1 seconde |
| `Automne2026!` | les quatre | 1,0 × 10⁷ | < 1 seconde |
| `Zx9#kQ2m` | les quatre | 3,3 × 10¹⁵ | 55 minutes |
| six mots tirés aux dés, en minuscules | **aucune** | 1,1 × 10²³ | 3 500 ans |

La dernière ligne ne vient pas du vérificateur mais de l'arithmétique, et c'est
volontaire : le vérificateur ne peut pas savoir que ces six mots sortent d'un dé,
il calculerait donc autre chose. Six tirages font exactement 77,5 bits, et 77,5
bits à 10¹² essais par seconde font environ trois mille cinq cents ans. Nous y
revenons plus bas.

Relisez. `Motdepasse1!` passe n'importe quel formulaire de la planète et tombe
avant que vous relâchiez la touche, parce que le mot est dans le dictionnaire et
que le reste est la décoration que tout le monde ajoute : majuscule devant, chiffre
et symbole derrière. Et la dernière ligne, six mots ordinaires en minuscules,
**serait refusée par la moitié des sites où vous avez un compte** : pas de
majuscule, pas de chiffre, pas de symbole.

`Zx9#kQ2m` mérite qu'on s'arrête, parce que c'est le meilleur cas possible de la
règle. Huit caractères réellement aléatoires, avec les quatre types, exactement ce
que la politique de 2003 considérait comme un mot de passe exemplaire.
Cinquante-cinq minutes. Et c'est un **plafond** : le vérificateur ne peut pas
savoir que vous l'avez tapé au hasard, il vous accorde donc le bénéfice du doute et
calcule le meilleur scénario. Personne ne tape comme ça, d'ailleurs. Demandez à
quelqu'un huit caractères avec un symbole et il sortira `Bonjour123!` — 8,0 × 10⁶
essais, moins d'une seconde.

La règle ne distingue pas ces deux-là. **Pour le formulaire, `Bonjour123!` et
`Zx9#kQ2m` sont le même mot de passe.** C'est tout le défaut : une règle de
composition mesure la forme de la chaîne, et la résistance n'est pas dans la forme.

## La règle des 90 jours, ou comment on invente `Hiver2026!`

L'autre moitié de l'héritage de 2003, c'est l'expiration. À changer tous les
quatre-vingt-dix jours.

Personne n'invente un nouveau mot de passe tous les quatre-vingt-dix jours. Ce que
font les gens — ce que vous faites, et moi aussi — c'est incrémenter celui d'avant.
`Automne2026!` devient `Hiver2026!` et le travail est fait. Les deux tiennent
**moins d'une seconde**, et si un attaquant a le premier, deviner le second n'est
pas une attaque : c'est remplir un blanc.

Le NIST a retiré la rotation obligatoire dans le **SP 800-63B**, en 2017. Dans la
révision d'août 2025, le ton s'est durci : là où le texte disait que les
vérificateurs *ne devraient pas* imposer de règles de composition ni exiger de
changements périodiques, il dit maintenant qu'ils **ne doivent pas** faire ni l'un
ni l'autre. Le changement n'est forcé que s'il y a des indices de compromission.

Neuf ans après la première rétractation, votre entreprise vous réclame toujours une
majuscule chaque trimestre.

## La limite de caractères est le pire signal de tous

Agarwal a raconté que la goutte d'eau, ce qui l'a poussé à faire le jeu, a été
d'essayer de créer un compte et de s'entendre dire que son mot de passe était
**trop long**.

De toutes les règles absurdes, c'est la seule qui soit en plus un mauvais signe.

Un système qui range votre mot de passe correctement ne le range pas : il range son
empreinte, et une empreinte **fait toujours la même taille**, qu'on lui donne huit
caractères ou huit cents. Il n'existe aucune raison de stockage pour une limite à
seize. Il y a exactement une exception technique légitime et connue — bcrypt ignore
ce qui dépasse 72 octets — et elle n'explique pas les formulaires qui s'arrêtent à
douze.

Un plafond court ne prouve pas qu'ils gardent votre mot de passe en clair, mais
c'est le genre de détail qui n'apparaît que lorsque quelqu'un l'a mis dans une
colonne de base de données à taille fixe. Le SP 800-63B demande l'inverse : qu'on
accepte **au moins 64 caractères**.

## La règle qui marche ne tient pas dans un formulaire

Le malaise de fond, c'est que la bonne pratique ne s'exprime pas sous forme de case
de validation. Personne ne peut écrire une expression régulière pour « vous ne
l'avez pas utilisé ailleurs » ni pour « il n'est pas dans la dernière fuite ».

Ce qu'on peut faire, en revanche, c'est compter. Une phrase de mots tirés **aux
dés** — [Diceware](/fr/blog/diceware-les-des-meilleur-mot-de-passe/) — ajoute 12,9
bits propres par mot, et ces bits-là sont vraiment des bits. Avec le même modèle de
10¹² essais par seconde :

- **Cinq mots** font 64,6 bits : environ **164 jours**.
- **Six mots** font 77,5 bits : environ **3 500 ans**.

Il faut donner les deux chiffres, pas seulement le second. On répète beaucoup
qu'une phrase de cinq mots « tient des siècles » ; contre un hachage rapide, elle
ne tient pas des siècles : elle tient cinq mois et demi. C'est pour cela que
Reinhold recommandait cinq comme plancher et six pour ce qui compte vraiment. **Le
sixième mot est celui qui change l'échelle**, et il est gratuit.

Aucune des deux ne passerait le formulaire de votre banque.

## Pourquoi le jeu est drôle

Quand le jeu exige que la somme des chiffres fasse 25, vous riez parce que c'est une
condition arbitraire qui n'a rien à voir avec ce qui rend un mot de passe sûr.

Exiger un symbole est aussi une condition arbitraire qui n'a rien à voir avec ce qui
rend un mot de passe sûr. La différence, c'est que celle-là, la moitié d'internet la
sert, et que nous nous y sommes attachés.

Si vous voulez le résumé opérationnel, il tient en trois lignes : utilisez le
[générateur](/fr/) ou des dés, mettez le résultat dans votre gestionnaire, et
satisfaites les règles du formulaire en **ajoutant** ce qu'il réclame, sans croire
que cela vous a protégé de quoi que ce soit. La majuscule devant et le `!` derrière
sont un péage, pas une défense.

Le reste est un jeu. Il est très bien fait, et il est dommage qu'il ne soit pas resté
un jeu.

---

*Sources : Neal Agarwal, « The Password Game » (neal.fun, 27 juin 2023), ses 35
règles et le récit de l'auteur sur le formulaire qui lui a dit que son mot de passe
était trop long · NIST SP 800-63 (2003), SP 800-63B (2017) et SP 800-63B-4 (août
2025), qui passe de « ne devraient pas » à « ne doivent pas » sur les règles de
composition et l'expiration, et demande d'accepter au moins 64 caractères ·
déclarations de Bill Burr au Wall Street Journal, août 2017 · Arnold G. Reinhold,
Diceware (1995), d'où viennent les 12,9 bits par mot. Les temps du tableau sont
mesurés avec le vérificateur de ce site, avec son modèle déclaré de 10¹² essais par
seconde contre un hachage rapide ; ceux de Diceware sont calculés au même rythme à
partir de log₂(7 776) par mot.*