Choisir son code de déverrouillage : la bonne méthode pour votre téléphone

Fiche complémentaire de la leçon « Code de déverrouillage : choisir la bonne méthode » — cours Sécurité en ligne

Un schéma, quatre chiffres, six chiffres, un code alphanumérique, une empreinte digitale, un visage. Dans le menu, ces options semblent se valoir. Ce n’est pas le cas : choisir son code de déverrouillage, c’est décider de ce qu’il en coûte à quelqu’un pour entrer dans votre téléphone le jour où il l’a entre les mains.

Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes de cybermalveillance, pose le principe en une phrase : « Mot de passe, signe, combinaison de touches ou biométrie : le code de verrouillage empêche de pouvoir se servir de l’appareil si on ne le connaît pas. » La page dit qu’il faut un code. Cette fiche porte sur ce qu’aucune page grand public ne choisit à votre place : lequel.

A. Pourquoi c’est important

Votre téléphone contient vos photos, vos messages, l’application de votre banque, votre messagerie et, souvent, les codes qui ouvrent vos autres comptes. La fiche « Écran de verrouillage du smartphone : la barrière qui protège tout le reste » explique pourquoi cela compte ; celle-ci porte sur la décision que vous prenez en réglant le verrouillage.

Les options apparaissent dans la même liste, comme si elles se valaient. Elles diffèrent sur trois points : la facilité avec laquelle une personne proche peut les observer, la facilité avec laquelle on peut les deviner, et la trace qu’elles laissent sur l’écran.

Ce que disent les sources françaises, et ce qu’elles ne disent pas

Sur ce sujet, la France dispose de repères plus précis qu’on ne le croit, mais dispersés et écrits pour d’autres publics. Une note technique de l’ANSSI, l’agence nationale de la sécurité des systèmes d’information, rédigée en 2015 pour les flottes de téléphones des organisations, juge que le déverrouillage par schéma « ne dispose pas d’une richesse combinatoire suffisante », et recommande un « effacement automatique après une dizaine de tentatives ayant échoué ». En 2025, le CERT-FR, le centre gouvernemental de veille et de réponse aux attaques informatiques, conseille de « préférer les codes d’accès composés d’au moins six caractères alphanumériques » — dans un rapport destiné aux personnes exposées à des menaces sophistiquées.

Ce qu’aucune source publique française ne fait, c’est comparer les méthodes pour le grand public et dire laquelle choisir selon l’usage. C’est l’objet de cette fiche.

B. Notions clés

Les méthodes, de la plus faible à la plus solide, et ce qui les distingue. Deux notes de vocabulaire. Le dessin tracé entre des points s’appelle « Schéma » dans les menus Android ; Cybermalveillance.gouv.fr parle de « signe », l’ANSSI de « déverrouillage par symbole (points à relier) ». Et dans les pages publiques françaises, « code PIN » désigne d’abord le code de la carte SIM : Cybermalveillance.gouv.fr précise que, « composé de 4 chiffres, le code PIN bloque quant à lui l’accès à votre carte SIM ». Pour l’écran, nous parlons donc de code de déverrouillage ; « code PIN » n’apparaît ici que dans les menus Android et dans le titre de la recommandation R5.

Le schéma

Une forme tracée du doigt, en reliant des points sur l’écran.

Pourquoi c’est important pour vous : c’est l’option la plus faible. Le tracé est grand, lent, et se lit à plusieurs mètres parce que c’est un mouvement et non une suite de touches. Et la plupart des gens choisissent parmi un petit nombre de formes. C’est aussi ce que dit l’ANSSI, citée plus haut.

Un code à quatre chiffres

L’ancien réglage par défaut de nombreux appareils. Android l’accepte toujours : sa page d’aide indique « Code PIN : saisissez au moins quatre chiffres ».

Pourquoi c’est important pour vous : dix mille combinaisons, cela paraît beaucoup, jusqu’à ce qu’on sache qu’une poignée d’entre elles — dates, années, répétitions, suites — couvre une part étonnante des téléphones en circulation. Six chiffres sont aujourd’hui le minimum raisonnable.

Un code à six chiffres

Le réglage par défaut actuel sur la plupart des téléphones. Apple l’écrit en français : « Par défaut, les codes sont composés de six chiffres », et les « Options de code » permettent d’aller vers un code plus long.

Pourquoi c’est important pour vous : cent fois plus de combinaisons que quatre chiffres, pour deux touches de plus. C’est le minimum à accepter (R5).

Un code alphanumérique

Des lettres, des chiffres et des symboles, de la longueur que vous voulez. Chez Apple, c’est le « code alphanumérique » des « Options de code » ; sur Android, l’option s’appelle « Mot de passe », et Google la présente comme l’option de verrouillage d’écran la plus sûre. Ne le confondez pas avec le mot de passe de votre compte Apple ou Google : le code de l’appareil ouvre le téléphone, le mot de passe du compte ouvre le service.

Pourquoi c’est important pour vous : c’est l’option la plus solide, et celle qui s’impose sur l’appareil qui contient votre gestionnaire de mots de passe ou votre messagerie professionnelle. Huit caractères ou plus, c’est la recommandation du cours (MS4) — au-dessus des six caractères alphanumériques du CERT-FR.

La biométrie : empreinte digitale et reconnaissance faciale

Une lecture qui ouvre l’appareil sans rien taper. Ce sont les termes courants en français, ceux qu’emploient Cybermalveillance.gouv.fr et l’ANSSI ; Face ID et Touch ID sont des noms de produits, pas des catégories.

Pourquoi c’est important pour vous : elle est pratique et, en général, fiable, avec deux réserves. La première : elle s’ajoute au code, elle ne le remplace jamais — votre téléphone ne vous laisse pas l’activer sans avoir d’abord défini un code, et il le redemande régulièrement. La seconde : il y a des moments où vous préférerez imposer la saisie du code, et presque tous les téléphones ont un raccourci pour cela.

Les sources françaises ne disent pas toutes la même chose ici, et mieux vaut le signaler. Cybermalveillance.gouv.fr range la biométrie parmi les codes d’accès ordinaires. Le CERT-FR recommande, lui, « de ne pas utiliser l’authentification biométrique » — mais pour « toute personne à risque de ciblage par des menaces sophistiquées ». Pour tous les autres, la règle de ce cours tient : la biométrie par-dessus un code solide.

Les trois catégories, pour mettre de l’ordre

Le vocabulaire public français qui classe tout cela vient de la banque. ABE Infoservice, le site d’information de la Banque de France, de l’ACPR et de l’AMF, distingue « un élément de connaissance (que vous seul connaissez) », « un élément de possession (que vous seul possédez) » et « un élément d’inhérence de biométrie (ce que vous êtes) ». Le code relève de la connaissance, l’empreinte de l’inhérence. Gardez la limite de l’expression : « authentification forte » est un terme juridique propre aux paiements (directive européenne DSP2), pas le nom du verrouillage de votre téléphone.

Garder le système à jour

Les mécanismes de déverrouillage, et le chiffrement qui les accompagne, s’améliorent avec les mises à jour du système. Cybermalveillance.gouv.fr le dit simplement : « installez sans tarder les mises à jour dès qu’elles sont proposées car elles corrigent souvent des failles de sécurité ».

Pourquoi c’est important pour vous : un code solide sur un appareil qui ne reçoit plus de correctifs depuis deux ans protège moins qu’il n’y paraît (R6).

C. Un exemple concret : le même téléphone, trois réglages

Le téléphone reste dix minutes sur un bureau, dans un espace de travail partagé.

• Avec un schéma : la forme était visible la dernière fois que vous l’avez tracée, et se reproduit de mémoire — ou à partir des traces de doigts, qui, sur un tracé continu, dessinent le chemin.
• Avec un code à six chiffres : il aurait fallu l’observer avec précision, et il ne reste aucune trace à reconstituer.
• Avec un code alphanumérique : l’observer d’un coup d’œil est difficile, et il n’y a rien à reconstituer.

Aucun de ces scénarios ne suppose un attaquant sophistiqué : seulement quelqu’un à proximité, quelques secondes d’attention, et un téléphone facile ou difficile à ouvrir. C’est là que la limite de tentatives joue son rôle : le téléphone impose des délais après plusieurs erreurs, et peut même s’effacer, comme le recommandait l’ANSSI. Personne ne peut donc essayer des milliers de combinaisons. Ce qui compte n’est pas le nombre de combinaisons sur le papier, c’est de savoir si votre code fait partie des premiers qu’on essaierait.

Le choix ne se fait pas entre sûr et pas sûr. Il se fait entre un code qui résiste à un seul regard et un code qui n’y résiste pas.

D. Essayez : choisissez et réglez votre méthode (10 minutes)

Dix minutes, une seule fois, et vous n’y pensez plus.

Étape 1 — Décidez de ce que contient cet appareil

• Contient-il votre gestionnaire de mots de passe ? Votre application d’authentification ? Votre messagerie professionnelle ?
• Plus il en contient, plus le code doit être solide. Cette étape décide de la suivante.

Étape 2 — Réglez la méthode

• Minimum : un code à six chiffres.
• Mieux, si l’appareil contient des identifiants ou des données professionnelles : un code alphanumérique d’au moins huit caractères.
• Évitez le schéma, ainsi que les dates, les chiffres répétés et les suites. Une date de naissance en six chiffres, ce sont six chiffres qu’on essaierait en premier.
• Où le trouver : sur iPhone, dans les « Options de code » au moment de modifier le code ; sur Android, dans le réglage du verrouillage de l’écran, avec le choix entre « Schéma », « Code PIN » et « Mot de passe » ; sur un ordinateur Windows, dans les options de connexion du compte.

Étape 3 — Ajoutez la biométrie par-dessus, pas à la place

• Ajoutez l’empreinte digitale ou la reconnaissance faciale pour le quotidien.
• Apprenez le raccourci qui impose le déverrouillage par code — avant le moment où vous en aurez besoin.

Étape 4 — Vérifiez les mises à jour

• Assurez-vous que les mises à jour automatiques sont activées et qu’elles arrivent encore sur cet appareil.
• Un téléphone que le fabricant ne suit plus cesse de recevoir ces correctifs : tenez-en compte le jour où vous déciderez de le remplacer.

Le code alphanumérique paraît plus lent pendant deux jours environ. Ensuite, vos doigts le connaissent par cœur, et c’est la plus grande amélioration de cette fiche.

E. Vidéos, articles et autres ressources

Sources institutionnelles françaises et pages d’aide des fabricants en français. Sur ce sujet, aucune référence internationale n’est nécessaire.

Sources françaises

Cybermalveillance.gouv.fr — Protéger ses appareils mobiles
Dix bonnes pratiques, dont la première : mettre en place les codes d’accès. On y trouve aussi la différence entre code de déverrouillage et code PIN de la carte SIM, et le rappel sur les mises à jour.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/appareils-mobiles

CERT-FR — État de la menace sur les téléphones mobiles depuis 2015 (PDF, novembre 2025)
Le rapport du centre gouvernemental de veille : des codes d’accès « d’au moins six caractères alphanumériques », et des recommandations plus strictes, dont l’abandon de la biométrie, pour les personnes exposées à des menaces sophistiquées.
https://www.cert.ssi.gouv.fr/uploads/CERTFR-2025-CTI-012.pdf

ANSSI — Note technique DAT-NT-010 sur la sécurité des téléphones mobiles (PDF, 2015)
Un document ancien, écrit pour les flottes des organisations, mais le seul texte public français qui juge le schéma trop faible et fixe une limite de tentatives.
https://messervices.cyber.gouv.fr/documents-guides/NP_Ordiphones_NoteTech_v1.2.pdf

CNIL — Comment sécuriser au maximum l’accès à votre smartphone ? (26 janvier 2017)
Une page ancienne, dont un passage sur le chiffrement a vieilli, mais qui conseille déjà un code long plutôt que quatre chiffres.
https://www.cnil.fr/fr/comment-securiser-au-maximum-lacces-votre-smartphone

CNIL — Sécurité : Sécuriser l’informatique mobile (fiche pour les professionnels)
Ce que la CNIL demande aux organisations : « activer le verrouillage automatique du terminal et exiger un secret pour le déverrouiller ».
https://www.cnil.fr/fr/securite-securiser-linformatique-mobile

ABE Infoservice — Qu’est-ce que l’authentification forte ?
Connaissance, possession et inhérence, dans le contexte des paiements.
https://www.abe-infoservice.fr/fr/banque/moyens-de-paiement/quest-ce-que-lauthentification-forte

Apple — Définir un code ou un mot de passe unique pour l’appareil
Les six chiffres par défaut, et les « Options de code » jusqu’au code alphanumérique.
https://support.apple.com/fr-fr/guide/personal-safety/ipsd0a253dd5/web

Google — Configurer le verrouillage de l’écran sur un appareil Android
Chaque option expliquée : « Aucun » et « Balayer l’écran » n’offrent aucune protection ; puis « Schéma », « Code PIN » et « Mot de passe », ce dernier présenté comme l’option la plus sûre.
https://support.google.com/android/answer/9079129?hl=fr

Google — Chiffrement des téléphones Pixel
« Tous les Pixel sont chiffrés par défaut » : sur un téléphone récent, le chiffrement n’est pas une option à activer, et c’est le verrouillage qui en garde l’entrée.
https://support.google.com/pixelphone/answer/2844831?hl=fr

Références internationales conservées

Aucune. Les versions anglaise et portugaise renvoyaient à des sources britanniques et américaines pour comparer les méthodes ; en France, l’ANSSI, le CERT-FR et les pages d’aide des fabricants couvrent ce point.

Liens vérifiés le 26 septembre 2026. Pour les étapes exactes sur votre modèle, les pages d’aide du fabricant restent la référence pratique.

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette leçon relève du pilier Comportements sûrs, au niveau FL1 — Débutant : une décision, prise une fois, qui tient pendant des années.

Compétences

• Régler un code à six chiffres ou un code alphanumérique sur un téléphone ou une tablette.
• Ajouter la biométrie pour le confort, en gardant un code solide dessous.
• Trouver le raccourci qui impose le déverrouillage par code.

Pour les professionnels et les organisations

• Fixer un minimum de déverrouillage pour les appareils qui accèdent aux données de l’organisation, comme la CNIL demande aux organisations d’« exiger un secret » pour déverrouiller les terminaux mobiles : une mesure, pas une suggestion.

Conscience du risque

• Comprendre que la biométrie finit toujours par redemander le code.
• Savoir que le schéma se lit à distance et laisse des traces sur l’écran.
• Savoir que le code de déverrouillage protège aussi l’accès aux données chiffrées de l’appareil.

Pour les futurs formateurs et ambassadeurs

• Montrer, à deux mètres, ce qu’on voit d’un schéma. Cela convainc plus vite qu’une explication.

Comportements sûrs

• Utiliser six chiffres comme minimum absolu, et un code alphanumérique sur l’appareil qui conserve des identifiants.
• Garder le système à jour, comme le demande Cybermalveillance.gouv.fr.
• Éviter les dates, les chiffres répétés et les suites.

Pour les organisations

• Appliquer ce minimum par la gestion des appareils, plutôt que par une politique qu’on lit une fois.

G. Questions à emporter

1. Qu’est-ce qui ouvre votre téléphone en ce moment : un schéma, quatre chiffres, six, ou un code complet ?
2. Ce code contient-il une date, une répétition ou une suite qu’on essaierait en premier ?
3. Votre gestionnaire de mots de passe ou votre application d’authentification sont-ils sur cet appareil ? Votre code en tient-il compte ?
4. Savez-vous comment imposer le déverrouillage par code ?

H. Ce que vous pouvez faire maintenant

Les recommandations (R) et les mesures de sécurité (MS) de la base Cyber Welfare qui s’appliquent à l’accès à l’appareil.

La méthode de déverrouillage

• R5 — Code PIN à six chiffres : c’est le minimum pour le code de déverrouillage de vos appareils mobiles.
• MS4 — Utilisez un code alphanumérique d’au moins 8 caractères sur l’appareil qui conserve des identifiants ou des données professionnelles.
• MS3 — Préférez un code au schéma, et réfléchissez aux moments où la biométrie est, ou n’est pas, le bon réglage par défaut.

Engagement minimum : six chiffres sans signification. Un code que personne n’essaierait en premier vaut mieux qu’un code long qui est votre date de naissance.

Garder tout cela efficace

• R7 — Verrouillage de l’écran après inactivité : réglez le délai le plus court que vous puissiez supporter.
• R6 — Garder ses logiciels à jour : activez les mises à jour automatiques du système.

Un changement, aujourd’hui

1. Ouvrez les réglages de sécurité de votre téléphone.
2. Passez d’un schéma ou de quatre chiffres à six chiffres au moins — ou à un code alphanumérique, si le téléphone contient votre gestionnaire de mots de passe.
3. Gardez la biométrie activée.

Deux minutes maintenant, et c’est un réglage auquel vous n’aurez pas à revenir.

En résumé

• Cybermalveillance.gouv.fr demande un code ; lequel choisir, c’est la décision qui vous revient.
• La biométrie ne remplace pas le code : c’est le code dessous qui vous protège vraiment.
• Le schéma est l’option la plus faible — il se voit à distance et laisse des traces sur l’écran, et l’ANSSI le jugeait déjà insuffisant.
• Six chiffres sont le minimum ; le code alphanumérique est l’amélioration qui en vaut la peine.
• Un téléphone que le fabricant ne suit plus cesse de recevoir les correctifs sur lesquels tout cela repose.

Autres ressources de ce cours

Ce que le verrouillage protège, et les deux habitudes qui l’entourent :

• Écran de verrouillage du smartphone : la barrière qui protège tout le reste
• Délai de verrouillage de l’écran : combien de temps votre téléphone reste ouvert
• Déverrouiller son téléphone en public : les regards indiscrets

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.