En juin 2023, un développeur nommé Neal Agarwal a mis en ligne sur son site, neal.fun, quelque chose intitulé The Password Game. On vous demande d’écrire un mot de passe. Puis qu’il fasse au moins cinq caractères. Puis qu’il contienne un chiffre. Puis une majuscule. Puis un caractère spécial.
Jusque-là ce n’est pas un jeu. C’est le formulaire de votre banque.
Ensuite commence l’autre partie. Que la somme des chiffres fasse 25. Qu’il contienne le nom d’un mois. Qu’il contienne des chiffres romains dont le produit vaut 35. Qu’il contienne la réponse du Wordle du jour. Qu’il identifie le pays d’une photo. Qu’il contienne le meilleur coup d’une position d’échecs, en notation algébrique. Il y a trente-cinq règles, et en chemin un emoji d’œuf nommé Paul éclôt à l’intérieur de votre mot de passe et doit être nourri de chenilles, tandis qu’une flamme dévore vos caractères si vous ne l’éteignez pas à temps.
Le jeu fonctionne pour une raison gênante : personne n’a besoin de vous expliquer la blague. Vous la comprenez en une seconde, parce que vous subissez ce mécanisme depuis la moitié de votre vie. Agarwal s’est contenté de tirer sur le fil.
Et c’est là qu’il faut ralentir. Les quatre premières règles, il ne les a pas inventées.
D’où viennent les règles que vous connaissiez déjà
Une majuscule, un chiffre, un symbole et une longueur minimale ne sont pas du folklore d’internet : c’est la traduction pratique d’un document du NIST américain publié en 2003, le SP 800-63, écrit par Bill Burr. De là, elles sont descendues dans les formulaires de la moitié de la planète, et de là dans votre tête.
Nous l’avons raconté en entier dans qu’est-ce qu’un mot de passe : Burr n’avait pas de données sur les mots de passe réels — il n’en existait presque pas — alors il a raisonné vers ce qui semblait sensé. Plus de variété de caractères, plus de combinaisons, plus de sécurité. En 2017, le NIST lui-même a fait marche arrière, et Burr a déclaré au Wall Street Journal qu’il regrettait une bonne partie de ce qu’il avait écrit.
Le jeu d’Agarwal n’exagère donc pas une politique de sécurité. Il prolonge une liste qui était déjà fausse dès la première ligne. La seule différence entre « doit contenir un symbole » et « la somme des chiffres doit faire 25 », c’est que vous vous êtes habitué à la première.
Ce que ces règles n’ont jamais mesuré
C’est ici que la blague cesse d’être drôle, parce qu’on peut mesurer.
Ces chiffres viennent du vérificateur de ce site, avec son modèle déclaré : une attaque hors ligne contre un hachage rapide, à 10¹² essais par seconde. Ce ne sont pas des estimations de brochure ; c’est ce que vous verrez en tapant ces mêmes chaînes là-bas.
| mot de passe | règles respectées | essais | tient |
|---|---|---|---|
Motdepasse1! |
les quatre | 6,6 × 10⁹ | < 1 seconde |
Automne2026! |
les quatre | 1,0 × 10⁷ | < 1 seconde |
Zx9#kQ2m |
les quatre | 3,3 × 10¹⁵ | 55 minutes |
| six mots tirés aux dés, en minuscules | aucune | 1,1 × 10²³ | 3 500 ans |
La dernière ligne ne vient pas du vérificateur mais de l’arithmétique, et c’est volontaire : le vérificateur ne peut pas savoir que ces six mots sortent d’un dé, il calculerait donc autre chose. Six tirages font exactement 77,5 bits, et 77,5 bits à 10¹² essais par seconde font environ trois mille cinq cents ans. Nous y revenons plus bas.
Relisez. Motdepasse1! passe n’importe quel formulaire de la planète et tombe
avant que vous relâchiez la touche, parce que le mot est dans le dictionnaire et
que le reste est la décoration que tout le monde ajoute : majuscule devant, chiffre
et symbole derrière. Et la dernière ligne, six mots ordinaires en minuscules,
serait refusée par la moitié des sites où vous avez un compte : pas de
majuscule, pas de chiffre, pas de symbole.
Zx9#kQ2m mérite qu’on s’arrête, parce que c’est le meilleur cas possible de la
règle. Huit caractères réellement aléatoires, avec les quatre types, exactement ce
que la politique de 2003 considérait comme un mot de passe exemplaire.
Cinquante-cinq minutes. Et c’est un plafond : le vérificateur ne peut pas
savoir que vous l’avez tapé au hasard, il vous accorde donc le bénéfice du doute et
calcule le meilleur scénario. Personne ne tape comme ça, d’ailleurs. Demandez à
quelqu’un huit caractères avec un symbole et il sortira Bonjour123! — 8,0 × 10⁶
essais, moins d’une seconde.
La règle ne distingue pas ces deux-là. Pour le formulaire, Bonjour123! et
Zx9#kQ2m sont le même mot de passe. C’est tout le défaut : une règle de
composition mesure la forme de la chaîne, et la résistance n’est pas dans la forme.
La règle des 90 jours, ou comment on invente Hiver2026!
L’autre moitié de l’héritage de 2003, c’est l’expiration. À changer tous les quatre-vingt-dix jours.
Personne n’invente un nouveau mot de passe tous les quatre-vingt-dix jours. Ce que
font les gens — ce que vous faites, et moi aussi — c’est incrémenter celui d’avant.
Automne2026! devient Hiver2026! et le travail est fait. Les deux tiennent
moins d’une seconde, et si un attaquant a le premier, deviner le second n’est
pas une attaque : c’est remplir un blanc.
Le NIST a retiré la rotation obligatoire dans le SP 800-63B, en 2017. Dans la révision d’août 2025, le ton s’est durci : là où le texte disait que les vérificateurs ne devraient pas imposer de règles de composition ni exiger de changements périodiques, il dit maintenant qu’ils ne doivent pas faire ni l’un ni l’autre. Le changement n’est forcé que s’il y a des indices de compromission.
Neuf ans après la première rétractation, votre entreprise vous réclame toujours une majuscule chaque trimestre.
La limite de caractères est le pire signal de tous
Agarwal a raconté que la goutte d’eau, ce qui l’a poussé à faire le jeu, a été d’essayer de créer un compte et de s’entendre dire que son mot de passe était trop long.
De toutes les règles absurdes, c’est la seule qui soit en plus un mauvais signe.
Un système qui range votre mot de passe correctement ne le range pas : il range son empreinte, et une empreinte fait toujours la même taille, qu’on lui donne huit caractères ou huit cents. Il n’existe aucune raison de stockage pour une limite à seize. Il y a exactement une exception technique légitime et connue — bcrypt ignore ce qui dépasse 72 octets — et elle n’explique pas les formulaires qui s’arrêtent à douze.
Un plafond court ne prouve pas qu’ils gardent votre mot de passe en clair, mais c’est le genre de détail qui n’apparaît que lorsque quelqu’un l’a mis dans une colonne de base de données à taille fixe. Le SP 800-63B demande l’inverse : qu’on accepte au moins 64 caractères.
La règle qui marche ne tient pas dans un formulaire
Le malaise de fond, c’est que la bonne pratique ne s’exprime pas sous forme de case de validation. Personne ne peut écrire une expression régulière pour « vous ne l’avez pas utilisé ailleurs » ni pour « il n’est pas dans la dernière fuite ».
Ce qu’on peut faire, en revanche, c’est compter. Une phrase de mots tirés aux dés — Diceware — ajoute 12,9 bits propres par mot, et ces bits-là sont vraiment des bits. Avec le même modèle de 10¹² essais par seconde :
- Cinq mots font 64,6 bits : environ 164 jours.
- Six mots font 77,5 bits : environ 3 500 ans.
Il faut donner les deux chiffres, pas seulement le second. On répète beaucoup qu’une phrase de cinq mots « tient des siècles » ; contre un hachage rapide, elle ne tient pas des siècles : elle tient cinq mois et demi. C’est pour cela que Reinhold recommandait cinq comme plancher et six pour ce qui compte vraiment. Le sixième mot est celui qui change l’échelle, et il est gratuit.
Aucune des deux ne passerait le formulaire de votre banque.
Pourquoi le jeu est drôle
Quand le jeu exige que la somme des chiffres fasse 25, vous riez parce que c’est une condition arbitraire qui n’a rien à voir avec ce qui rend un mot de passe sûr.
Exiger un symbole est aussi une condition arbitraire qui n’a rien à voir avec ce qui rend un mot de passe sûr. La différence, c’est que celle-là, la moitié d’internet la sert, et que nous nous y sommes attachés.
Si vous voulez le résumé opérationnel, il tient en trois lignes : utilisez le
générateur ou des dés, mettez le résultat dans votre gestionnaire, et
satisfaites les règles du formulaire en ajoutant ce qu’il réclame, sans croire
que cela vous a protégé de quoi que ce soit. La majuscule devant et le ! derrière
sont un péage, pas une défense.
Le reste est un jeu. Il est très bien fait, et il est dommage qu’il ne soit pas resté un jeu.
Sources : Neal Agarwal, « The Password Game » (neal.fun, 27 juin 2023), ses 35 règles et le récit de l’auteur sur le formulaire qui lui a dit que son mot de passe était trop long · NIST SP 800-63 (2003), SP 800-63B (2017) et SP 800-63B-4 (août 2025), qui passe de « ne devraient pas » à « ne doivent pas » sur les règles de composition et l’expiration, et demande d’accepter au moins 64 caractères · déclarations de Bill Burr au Wall Street Journal, août 2017 · Arnold G. Reinhold, Diceware (1995), d’où viennent les 12,9 bits par mot. Les temps du tableau sont mesurés avec le vérificateur de ce site, avec son modèle déclaré de 10¹² essais par seconde contre un hachage rapide ; ceux de Diceware sont calculés au même rythme à partir de log₂(7 776) par mot.
Photo de Olha Ruskykh · Pexels