Cassage de mot de passe : comment fonctionne la force brute et ce qui l’arrête

Fiche complémentaire de la leçon « Le cassage de mot de passe : comment il fonctionne et ce qui l’arrête » — cours Sécurité en ligne

Une attaque par force brute — le terme officiel est cassage de mot de passe —, c’est une machine qui essaie des mots de passe l’un après l’autre jusqu’à ce que l’un d’eux ouvre le compte. Il n’y a rien d’astucieux là-dedans, et c’est justement pour cela que la méthode réussit si souvent contre les mots de passe courts et échoue si complètement contre les longs. Cette fiche montre où passe la frontière entre les deux.

A. Pourquoi c’est important

Le cassage de mot de passe (on parle aussi d’attaque par force brute) consiste à essayer automatiquement un très grand nombre de mots de passe jusqu’à ce que l’un d’eux ouvre le compte. Aucune perspicacité, aucun choix de victime : c’est une machine qui parcourt des possibilités.

FranceTerme, qui publie au Journal officiel les termes recommandés en français, en donne la définition la plus simple : une « cyberattaque qui consiste à tester systématiquement toutes les combinaisons de caractères possibles afin de trouver un mot de passe ou une clé de chiffrement ». Une remarque de vocabulaire : FranceTerme recommande « cassage de mot de passe » et déconseille « attaque par force brute », mais l’ANSSI, la CNIL et Cybermalveillance.gouv.fr emploient « force brute ». Vous rencontrerez les deux ; ils désignent la même chose.

Le résultat est donc une affaire d’arithmétique, pas de chance. Si le mot de passe est court, simple ou réutilisé, le nombre d’essais nécessaires tombe à une quantité qu’un ordinateur parcourt vite. S’il est long et imprévisible, la même attaque prendrait plus de temps que quiconque n’est prêt à attendre.

En France, la réponse côté services est écrite. La CNIL, l’autorité de protection des données personnelles, recommande dans sa délibération 2022-100 de ralentir ou de bloquer les tentatives répétées, et son glossaire cite comme parade « le blocage de comptes après un nombre limité d’échecs d’authentification ». L’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, recommande elle aussi un mécanisme qui limite le nombre de tentatives « afin de réduire les probabilités d’authentifications frauduleuses par force brute ».

B. Notions clés

Six idées, chacune avec ce qu’elle change pour vos propres comptes.

Cassage de mot de passe

Des essais automatiques de nombreuses combinaisons possibles jusqu’à trouver la bonne. Simple, et efficace chaque fois que le mot de passe est faible. Cybermalveillance.gouv.fr l’explique ainsi : « Une technique d’attaque répandue, dite par « force brute », consiste à essayer toutes les combinaisons possibles ».

Pourquoi c’est important pour vous : cela explique pourquoi un mot de passe qui semble « assez bon » peut céder. L’attaque ne se soucie pas de savoir s’il a l’air astucieux, seulement du nombre d’essais qu’il faut.

L’espace des combinaisons

Le nombre total de mots de passe qu’il faudrait parcourir. Il augmente avec la longueur du mot de passe et avec la variété des caractères qu’il contient, et il augmente très vite. FranceTerme le dit en une phrase : « Le nombre de combinaisons croît exponentiellement avec la longueur du mot de passe, ce qui augmente considérablement le temps de calcul nécessaire. »

Pourquoi c’est important pour vous : ajouter des caractères ne rend pas l’attaque un peu plus difficile. Cela multiplie le travail nécessaire, et c’est pour cela que la longueur est le levier qui compte.

Mots de passe faibles et prévisibles

Des mots du dictionnaire, des prénoms, des dates et de vieux classiques comme Motdepasse123. Ils figurent dans les listes que l’on essaie en premier, avant même de commencer un vrai cassage. Cybermalveillance.gouv.fr parle des « listes de mots de passe les plus courants », et la CNIL demande aux services de ne plus les accepter : « Les mots de passe connus comme étant couramment utilisés ne devraient pas être acceptés. »

Pourquoi c’est important pour vous : un mot de passe prévisible n’arrive même pas au stade du cassage. Il est simplement retrouvé dans une liste, en un temps négligeable.

Mots de passe solides et phrases de passe

Des identifiants longs — de préférence 16 caractères ou plus — mêlant majuscules, minuscules, chiffres et symboles, ou plusieurs mots sans lien entre eux mis bout à bout : une phrase de passe. En France, les minimums affichés sont plus bas : 12 caractères mélangeant quatre types chez Cybermalveillance.gouv.fr, ou 14 caractères sans caractère spécial obligatoire pour la CNIL (délibération 2022-100). Pour une phrase de passe, la règle de ce cours est simple : six mots au moins, sept quand la phrase de passe protège seule le compte, comme le demande la CNIL.

Pourquoi c’est important pour vous : les deux chemins mènent au même endroit, et 16 caractères dépassent le minimum français. Le chemin de la phrase de passe est celui que vous pouvez suivre de mémoire, quand il le faut.

Gestionnaire de mots de passe

Un outil qui génère et conserve un mot de passe long et unique pour chaque compte, pour que vous n’ayez jamais à en inventer. C’est la recommandation de Cybermalveillance.gouv.fr, qui cite un outil gratuit, KeePassXC.

Pourquoi c’est important pour vous : il supprime la raison pour laquelle les gens réutilisent leurs mots de passe, et les mots de passe qu’il produit sont précisément ceux que le cassage n’atteint pas en pratique.

Les défenses côté service

Limites du nombre de tentatives de connexion, blocages temporaires, alertes de tentatives échouées, captcha (le petit test qui vérifie qu’un humain est derrière l’écran) et authentification à deux facteurs (2FA), qui demande une deuxième preuve d’identité en plus du mot de passe. Note de vocabulaire : Cybermalveillance.gouv.fr parle de « double authentification », aussi appelée « validation ou vérification en deux étapes ». La CNIL chiffre ces défenses dans sa délibération 2022-100 : un délai qui dépasse une minute après cinq tentatives échouées et qui permet « au maximum 25 tentatives par 24 heures », ou un blocage du compte après dix échecs consécutifs au plus.

Pourquoi c’est important pour vous : elles ne dépendent pas de vous, mais là où un service les propose — surtout les alertes de tentatives et l’authentification à deux facteurs —, les activer vaut les deux minutes que cela prend.

C. Un exemple concret : deux mots de passe, deux issues

Imaginez deux personnes qui protègent le même type de compte.

La première

Son mot de passe est un seul mot courant :

laitdamande

Il n’arrive jamais au stade du cassage. C’est un mot du dictionnaire, il figure donc dans les listes que l’on essaie en premier, et le compte s’ouvre presque aussitôt.

La seconde

Son mot de passe est sorti d’un gestionnaire de mots de passe :

vK7#qT2m!Rz9pL4w_Hs8

Vingt caractères, des types mélangés, aucun lien avec quoi que ce soit qui la concerne. L’espace des combinaisons à parcourir est assez grand pour qu’une recherche complète cesse d’être un plan réaliste.

Et si le compte a aussi l’authentification à deux facteurs activée, même un mot de passe qui aurait fuité d’une manière ou d’une autre ne suffirait pas à lui seul.

La différence entre les deux n’est ni l’intelligence ni la compétence technique. Ce sont neuf caractères de plus et un outil qui les génère à votre place.

D. Essayez : combien de temps tiendrait le vôtre ? (5 minutes)

Cinq minutes. Ne tapez aucun de vos vrais mots de passe nulle part pendant cet exercice, y compris sur les sites qui proposent de les évaluer.

Étape 1 — Jugez trois exemples

• chocolat
• Crapaud2010
• Vert!Brume_Tour1979
• Pour chacun, demandez-vous : est-il court ou long ? Seulement des lettres, ou un mélange ? Est-ce un mot que l’on trouverait dans un dictionnaire ?

Étape 2 — Réécrivez le plus faible

• Transformez chocolat en quelque chose qui tiendrait : des mots sans lien entre eux — six au moins pour un vrai compte —, plus un chiffre et un symbole.
• Remarquez le peu d’effort qu’il a fallu pour le mettre hors de portée.

Étape 3 — Appliquez-le une fois, pour de vrai

• Pensez à un compte dont le mot de passe ressemble davantage au premier exemple qu’au troisième.
• Changez celui-là. Pas tous : un seul.

Ne testez pas vos vrais mots de passe sur des sites qui calculent combien de temps il faudrait pour les casser. Ce que vous y tapez devient un mot de passe que vous avez partagé.

Le but de l’exercice est de rendre la distance tangible. Une fois que vous avez vu combien le chemin est court entre un mot de passe qui cède en un instant et un mot de passe qui tient, le changement cesse de ressembler à une corvée.

E. Vidéos, articles et autres ressources

En français, le mécanisme a un nom officiel, et les parades côté service ont des chiffres précis, fixés par la CNIL. Ce qui manque, ce sont les tableaux d’arithmétique — combien d’essais par seconde, combien de temps par caractère ajouté — et la méthode des mots tirés au hasard. Ces deux points restent sur des sources en anglais, et on le dit.

Sources françaises

FranceTerme — Cyberattaque par cassage de mot de passe
Le terme recommandé au Journal officiel (24 février 2023), avec sa définition et la note sur la croissance exponentielle des combinaisons. On y lit aussi que « attaque par force brute » est déconseillé.
https://www.culture.fr/franceterme/terme/JURI86

CNIL — Force brute (attaque informatique)
La définition de la CNIL en deux lignes, et la parade principale : le blocage des comptes après un nombre limité d’échecs.
https://www.cnil.fr/fr/definition/force-brute-attaque-informatique

CNIL — Délibération n° 2022-100, recommandation relative aux mots de passe (PDF)
Le texte de référence : 12 caractères de quatre types, 14 sans caractère spécial obligatoire, ou une phrase de passe d’au moins sept mots quand le mot de passe protège seul le compte ; et les chiffres des mécanismes qui ralentissent ou bloquent les tentatives. Il s’adresse aux organismes qui gèrent des comptes, pas au grand public, mais c’est ici que la défense contre le cassage devient une recommandation chiffrée.
https://www.cnil.fr/sites/default/files/atoms/files/deliberation-2022-100-du-21-juillet-2022_recommandation-aux-mots-de-passe.pdf

ANSSI — Recommandations relatives à l’authentification multifacteur et aux mots de passe
Le guide technique de l’agence nationale (2021) : définition de la force brute et de l’attaque par dictionnaire, limitation du nombre de tentatives (R10), refus des mots de passe les plus utilisés ou déjà compromis (R27). Il est écrit pour les responsables informatiques.
https://messervices.cyber.gouv.fr/guides/recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe

Cybermalveillance.gouv.fr — Pourquoi et comment bien gérer ses mots de passe ?
La page grand public la plus proche de cette fiche : la force brute expliquée en une phrase, 12 caractères au minimum, un mot de passe différent par service, un gestionnaire de mots de passe et la double authentification.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe

Cybermalveillance.gouv.fr — SensCyber
Une sensibilisation en ligne gratuite et ouverte à tous, en modules de 25 à 45 minutes. Une bonne suite à cette fiche, en français.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/senscyber-e-sensibilisation-cybersecurite

Références internationales conservées

NIST — Digital Identity Guidelines, SP 800-63B (Revision 4) (en anglais)
La norme américaine d’août 2025 qui fait passer la longueur avant la complexité, et l’origine du minimum de 15 caractères quand le mot de passe est la seule protection. Dense, mais c’est de là que vient l’arithmétique qu’aucune source française ne détaille.
https://pages.nist.gov/800-63-4/sp800-63b.html

NCSC (Royaume-Uni) — Three random words (en anglais)
Pourquoi des mots tirés au hasard valent mieux que les règles de complexité habituelles, et pourquoi cela les rend aussi plus difficiles à casser.
https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words

EFF — Dice-Generated Passphrases (en anglais)
La méthode des dés pour tirer des mots vraiment au hasard : six mots, dans une liste de 7 776. Aucune page française grand public n’enseigne cette méthode.
https://www.eff.org/dice

Liens vérifiés le 26 septembre 2026. Les listes de mots de passe probables sont le sujet de la fiche « Attaque par dictionnaire : pourquoi les mots qui ont du sens tombent en premier ».

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette leçon travaille surtout le pilier Conscience du risque, au niveau FL2 — Initié : comprendre le mécanisme, c’est ce qui rend le comportement recommandé raisonnable.

Compétences

• Juger si un mot de passe est à la portée des essais automatiques.
• Construire des mots de passe et des phrases de passe longs et uniques (R3, MS1).
• Utiliser un gestionnaire de mots de passe par habitude, pas de temps en temps (R2, MS2).

Pour les professionnels et les organisations

• Reconnaître que la limitation des tentatives et les alertes de connexion sont l’autre moitié du même problème. En France, la CNIL (délibération 2022-100) et l’ANSSI (R10) le recommandent en termes précis : un délai croissant entre les essais, ou un blocage après un nombre limité d’échecs.

Conscience du risque

• Comprendre que les mots courts — même inhabituels — figurent dans les listes que l’on essaie en premier.
• Voir que la réutilisation transforme un mot de passe exposé en passage vers plusieurs comptes à la fois.

Pour les futurs formateurs et ambassadeurs

• Savoir expliquer l’arithmétique sans faire un cours : la longueur multiplie le travail, la complexité ne fait que l’augmenter un peu.

Comportements sûrs

• Passer les comptes essentiels à des identifiants longs et uniques (R1, R3, MS1).
• Activer l’authentification à deux facteurs là où elle existe (R4, MS17).
• Laisser le générateur du gestionnaire de mots de passe faire le travail (R2, MS2).

Pour les organisations

• Activer la limitation des tentatives et les alertes de connexion échouée sur les services que vous administrez (R8).

G. Questions à emporter

1. Combien de vos mots de passe actuels seraient à portée en quelques minutes, parce qu’ils sont courts, prévisibles ou réutilisés ?
2. Avez-vous un compte essentiel — messagerie principale, banque en ligne, portail professionnel — encore protégé par l’un d’eux ?
3. Si l’un de vos mots de passe était exposé, combien d’autres comptes s’ouvriraient avec lui ?
4. Quel compte êtes-vous prêt à mettre hors de portée aujourd’hui ?

H. Ce que vous pouvez faire maintenant

Les recommandations (R) et les mesures de sécurité (MS) de la base Cyber Welfare qui s’appliquent à la défense contre les essais automatiques.

Identifiants

• R1 — N’utilisez pas le même mot de passe, ni un mot de passe presque identique, sur plusieurs comptes.
• R2 — Utilisez un gestionnaire de mots de passe fiable, protégé par un mot de passe principal solide et unique (la CNIL et l’ANSSI parlent de mot de passe « maître »).
• R3 — Portez vos mots de passe à au moins 16 caractères, avec des chiffres, des majuscules, des minuscules et des symboles.
• R4 — Activez l’authentification à deux facteurs, avec une application d’authentification ou une clé de sécurité physique.
• MS1 — Laissez le générateur du gestionnaire créer vos mots de passe, plutôt que de les inventer.
• MS2 — Laissez-le aussi les remplir automatiquement : moins d’erreurs, et moins d’exposition aux fausses pages de connexion.

Là où le service le permet

• R8 — Activez la limitation des tentatives de connexion et les alertes de tentatives échouées.
• MS4 — Utilisez un code de déverrouillage alphanumérique solide sur l’appareil où se trouve votre gestionnaire de mots de passe.

Une note sur la R3. Les 16 caractères font l’essentiel du travail : c’est l’accent des lignes directrices du NIST de 2025, qui demandent 15 caractères quand le mot de passe protège seul le compte. En France, le minimum public est de 12 caractères mélangeant quatre types (Cybermalveillance.gouv.fr), ou de 14 sans caractère spécial obligatoire (CNIL, délibération 2022-100). Les deux exigences tiennent dans le même mot de passe ; ce qu’on ne sacrifie jamais, c’est la longueur.

Trois choses, aujourd’hui

1. Choisissez un compte essentiel — commencez par votre messagerie principale.
2. Donnez-lui un nouveau mot de passe, long et unique, sorti d’un générateur (R3, MS1).
3. Activez-y l’authentification à deux facteurs (R4, MS17).

Ces trois étapes mettent ce compte à l’abri de l’essentiel des essais automatiques. Le reste peut suivre à votre rythme.

En résumé

• Le cassage de mot de passe, c’est de l’essai-erreur, pas de la perspicacité ; et la longueur est la variable qui décide de l’issue.
• Les mots de passe prévisibles n’arrivent même pas au stade du cassage : on les retrouve dans une liste.
• Un gestionnaire de mots de passe produit des identifiants que l’attaque n’atteint pas en pratique, et supprime la raison de réutiliser.
• L’authentification à deux facteurs fait qu’un mot de passe volé ne suffit plus à lui seul.

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.