Quelque part ce soir, un script automatisé va tenter de se connecter à des milliers de comptes en ligne. Il va essayer « 123456 ». Puis « AZERTY ». Puis « MOTDEPASSE ». Et dans une proportion inquiétante des cas, il va réussir. Pas en quelques minutes. En quelques millisecondes.
La sécurité des mots de passe est un sujet dont on parle depuis vingt ans, et pourtant les classements publiés chaque année par les chercheurs en cybersécurité continuent d’afficher les mêmes noms. En France, la liste a ses particularités culturelles : COUCOU — la salutation décontractée que les Français s’envoient par texto — figure régulièrement parmi les mots de passe les plus utilisés. CHOUCHOU aussi. Et JETAIME, qui a au moins le mérite d’être touchant, même s’il ne protège absolument rien.
L’explication technique est simple. Les outils de brute-force modernes travaillent à partir de dictionnaires précompilés contenant des millions de combinaisons courantes — mots du dictionnaire, prénoms, dates, motifs de clavier, expressions familières dans toutes les langues. Ces listes sont alimentées par les données issues des grandes fuites de données successives des dix dernières années. Chaque fois qu’une base de données est piratée et mise en ligne, les mots de passe en clair ou déchiffrés viennent enrichir ces dictionnaires. Le résultat, c’est qu’un mot de passe prévisible n’est plus cracké par tâtonnement, mais reconnu instantanément, comme une plaque d’immatriculation connue.
AZERTY et AZERTYUIOP — la rangée supérieure du clavier français, équivalent de « QWERTY » en anglais — sont des exemples particulièrement révélateurs. L’utilisateur qui les choisit croit avoir fait un geste minimal de sécurité, évitant les suites numériques trop évidentes. Mais les attaquants connaissent les claviers français aussi bien que leurs utilisateurs. Ces motifs sont en tête de toutes les listes de dictionnaire localises depuis des années.
Les dates de naissance posent un problème différent mais tout aussi sérieux. Une date en format 01011987 ou 0605040302 est courte, mémorable, personnelle — et accessible via les réseaux sociaux, les fuites de données administratives, ou une simple recherche sur le profil public d’une personne. Ce n’est pas un mot de passe. C’est une information biographique présentée comme une clé.
Ce qui rend la situation plus préoccupante encore, c’est la réutilisation. Un mot de passe faible utilisé sur un seul compte est une négligence. Le même mot de passe faible utilisé sur une banque, une messagerie, un compte de commerce en ligne et un abonnement de streaming, c’est une chaîne de vulnérabilités. Une seule brèche suffit à tout compromettre.
La solution n’est pas mystérieuse, même si elle est rarement appliquée. Les gestionnaires de mots de passe — des outils comme Bitwarden, disponible gratuitement en open source — génèrent et stockent des mots de passe uniques et complexes pour chaque service. L’utilisateur n’a qu’un seul mot de passe maître à retenir, le reste est géré automatiquement.
Les phrases de passe — quatre ou cinq mots aléatoires mis bout à bout — sont une alternative plus mémorable qui offre une résistance réelle aux attaques par dictionnaire. Et les passkeys, le standard sans mot de passe poussé par Google, Apple et Microsoft, commencent à s’imposer comme la prochaine norme sur de nombreux services.
La question n’est plus de savoir si ces pratiques sont recommandables. Elles le sont depuis longtemps, et tout le monde le sait. La vraie question est de comprendre pourquoi, en 2026, COUCOU figure encore dans les dix premiers.
