Pour un mot de passe sans protection supplémentaire, la CNIL cite trois exemples équivalents : 12 caractères minimum mêlant majuscules, minuscules, chiffres et caractères spéciaux ; 14 caractères avec majuscules, minuscules et chiffres ; ou une phrase de passe d’au moins 7 mots 1. Elle recommande un mot de passe différent par service et d’activer la double authentification dès qu’un service la propose 1 3.
Quel mot de passe choisir ?
D’après la CNIL 1 :
- l’un des trois formats ci-dessus : le plus simple à retenir est la phrase de passe d’au moins 7 mots ;
- évitez les prénoms, les mots du dictionnaire et leurs variantes classiques (ajouter « 01 » à la fin, remplacer des lettres par des chiffres) ;
- évitez les mots de passe déjà connus des listes de mots de passe compromis ;
- un mot de passe différent par service : si l’un est volé, il faut changer tous ceux qui lui ressemblent.
Un changement régulier n’est plus recommandé pour les comptes classiques, car les utilisateurs font de petites modifications prévisibles ; il reste requis pour les comptes à privilèges, et s’impose en cas de risque de compromission 1.
Pourquoi un gestionnaire de mots de passe ?
La CNIL le cite comme bonne pratique pour générer et conserver des mots de passe robustes et distincts 1 3. Il évite d’écrire les mots de passe sur un carnet ou de réutiliser le même partout.
Que fait la double authentification ?
Elle ajoute un second contrôle à la connexion : un code reçu par SMS ou par e-mail, généré par une application ou fourni par un jeton 2. Si votre mot de passe est volé, un pirate ne peut pas se connecter sans ce second élément 2. La CNIL conseille de l’activer en priorité pour les messageries, les comptes administrateurs et les services en ligne 3. Pour un artisan : votre messagerie, votre compte Google (qui gère votre fiche), l’espace de votre prestataire de site et celui de votre nom de domaine.
Quelles sont ses limites ?
Elle n’est pas infaillible : elle reste vulnérable au hameçonnage en temps réel, à l’interception des SMS et au remplacement frauduleux de carte SIM 2. Elle réduit toutefois fortement le risque par rapport à un simple mot de passe 2. Ne communiquez jamais votre code 2.
Que faire si on a donné son mot de passe à un tiers ?
Changez-le tout de suite, ainsi que ceux qui lui ressemblent 1. Pour confier votre fiche Google à quelqu’un, invitez-le plutôt par e-mail : voir le guide sur les administrateurs de fiche.
Et si votre site est chez Site Illico ?
Votre nom de domaine est enregistré au nom de votre entreprise : gardez l’accès au compte où il est géré, avec un mot de passe solide et la double authentification si elle est proposée. Ne donnez votre mot de passe à personne, prestataire compris : on peut vous inviter par e-mail à la place. Pour voir un site prêt, voyez des sites à votre nom.
Questions fréquentes
Faut-il changer ses mots de passe régulièrement ?
Plus pour les comptes classiques ; c’est toujours requis pour les comptes à privilèges et nécessaire en cas de risque de compromission 1.
Une phrase de passe est-elle suffisante ?
La CNIL cite comme équivalent une phrase de passe d’au moins 7 mots 1.
La double authentification est-elle obligatoire ?
La CNIL la recommande chaque fois qu’un service la propose 2.
Que se passe-t-il si je perds mon téléphone ?
Sa perte ou son dysfonctionnement peut bloquer temporairement l’accès : gardez le dispositif de second facteur à portée 2.
Sources
- CNIL, « Mots de passe : recommandations pour maîtriser sa sécurité » (consulté le 5 novembre 2026)
- CNIL, « Sécurité : utilisez l’authentification multifacteur pour vos comptes en ligne » (consulté le 5 novembre 2026)
- CNIL, « Sécurité des données : les règles essentielles pour protéger les données et votre activité », 19 juin 2026 (consulté le 5 novembre 2026)