Pourquoi on t’oblige encore à mettre un ! dans ton mot de passe

1. Le rituel du mot de passe : majuscule, chiffre et point d'exclamation

Il faut une majuscule. Il faut un caractère spécial. Ce caractère spécial n'est pas autorisé. En 2026, ce n'est pas un accident isolé : c'est partout.

• Ce site exige un mot de passe solide… limité à 12 caractères. Un autre refuse les espaces.

• Celui-là bloque le collage, ce qui vous complique la vie si vous utilisez un gestionnaire de mots de passe.

• Celui-là vous fait tout changer tous les 90 jours.

• Et celui-là, pour récupérer votre compte, vous demande le nom de votre premier animal.

On fait tous pareil : un mot connu, une majuscule au début, un chiffre à la fin, puis le caractère spécial, souvent un point d'exclamation. Forcé d'en changer, le 1 devient un 2, ou le point d'exclamation se dédouble.

Mon avis : ce truc-là, ce n'est pas de la sécurité. C'est un rituel. On répète des gestes dont plus personne ne se rappelle à quoi ils servent.

2. Depuis 2025, le NIST interdit ces règles de mot de passe

Sauf que ce n'est pas juste mon avis. Depuis le 31 juillet 2025, l'agence américaine des standards, le NIST, interdit d'imposer une majuscule, un chiffre ou un caractère spécial. Pas déconseillé : interdit. Elle interdit aussi de vous forcer à changer de mot de passe tous les trois mois, elle interdit les questions secrètes, et elle oblige à laisser passer les gestionnaires de mots de passe.

Alors pourquoi votre banque continue-t-elle ? Parce que le NIST n'est pas la loi : c'est une norme, on la suit ou on ne la suit pas. Cette agence est celle dont les administrations, les universités et les grandes entreprises ont copié les recommandations. Qui a donc décidé de ces règles, et pourquoi vous les demande-t-on encore vingt ans plus tard ?

3. 2004 : les 8 pages de Bill Burr devenues la référence

L'homme qui a écrit ces règles est encore vivant, et il les regrette. Il s'appelle Bill Burr. Cadre intermédiaire au National Institute of Standards and Technology (NIST), l'agence des standards techniques américains, des unités de mesure à la cryptographie, il travaille en 2003 sur ce qui deviendra une annexe. Pas un traité : une annexe, des pages 46 à 53, soit 8 pages. Le texte complet paraît en juin 2004, signé avec Donna Dodson et Timothy Polk. Et le titre de l'annexe dit tout : « Estimer l'entropie et la force d'un mot de passe ». Estimer.

Ce texte devient pourtant la référence des agences fédérales, des universités et des grandes entreprises : citer le NIST, c'est copier l'État américain, le geste le plus confortable du monde. Résultat, ces règles s'imposent jusque dans votre boîte mail ou l'espace client de votre mutuelle.

4. Un barème inventé : le caractère spécial vaut… quatre lettres

L'annexe contient une section intitulée « mots de passe choisis par l'utilisateur ». Problème : il faut noter la solidité d'un choix humain sans savoir comment les humains choisissent. Le NIST invente donc une notation : des points pour chaque caractère, des points en plus pour une majuscule et un symbole. Dans cette notation, la règle de composition rapporte à peu près autant que rallonger votre mot de passe d'environ quatre lettres. Quatre lettres : voilà ce que valent 22 ans de contrainte.

Et ils le savaient. Le NIST écrit dès 2004 que ces caractères n'apparaîtront souvent qu'au début ou à la fin du mot de passe, ce qui réduit le nombre de combinaisons à essayer au lieu de l'augmenter : le bénéfice est donc « probablement modeste ». À leur décharge, ils pariaient que forcer ces caractères éliminerait au moins les choix les plus catastrophiques.

La vraie exigence était ailleurs : un attaquant qui vous vise ne doit pas avoir plus d'une chance sur 16 000 environ de vous deviner, sur toute la durée de vie de votre mot de passe. Deux leviers pour y arriver : un mot de passe solide et une limite sur le nombre d'essais autorisés avant de bloquer.

La composition n'a jamais été censée verrouiller le compte seule : elle faisait équipe avec un compteur, encore là en 2017 et toujours exigé en 2025. Mais la pièce que chaque utilisateur a vue pendant vingt ans, c'est l'autre.

5. 1979 : Bell Labs savait déjà que les humains sont prévisibles

Le pire, c'est qu'on le savait depuis 1979. En novembre, aux Bell Labs, Robert Morris et Ken Thompson (oui, le Ken Thompson d'Unix, futur prix Turing) publient Password Security, une analyse empirique extrêmement précoce de mots de passe réels.

Ils collectent 3 289 vrais mots de passe et les attaquent. Résultat : 2 831 d'entre eux, soit 86 %, tombent dans une poignée de catégories très prévisibles : des chaînes très courtes, des suites tout en minuscules, et 492 qui figurent dans des dictionnaires ou des listes de noms. Ils écrivent que le résultat était décevant… sauf pour l'attaquant.

L'article liste trois options : forcer des mots de passe plus longs, forcer un jeu de caractères plus large, ou laisser le système choisir à la place de l'utilisateur. Retenez la troisième.

6. 1985 : le Green Book de la défense américaine avait la bonne réponse

Le 12 avril 1985, à Fort George Meade (Maryland), le DoD Computer Security Center publie le Password Management Guideline. Il appartient à la Rainbow Series, des manuels du gouvernement américain identifiés par la couleur de leur couverture. Après l'Orange Book, texte central, voici le vert : le Green Book.

Précision : rien ne prouve que Bill Burr avait ce document sur son bureau, et son annexe ne le cite pas. C'est une comparaison, pas une filiation.

Dès la page 1, le document annonce trois recommandations majeures :

• que l'utilisateur puisse changer son mot de passe lui-même ;

• que le mot de passe soit généré par la machine, et non créé par l'utilisateur ;

• que le système affiche à l'utilisateur la date et l'heure de sa dernière connexion.

C'est l'option numéro 3 de Morris et Thompson. Les mots de passe choisis par des humains étant souvent faciles à deviner, le document confie leur génération à la machine. À Fort Meade, on avait déjà tranché ce que le web mettrait des décennies à réintégrer : l'humain est mauvais pour fabriquer du hasard. Pas parce qu'il est bête, mais parce que ce n'est pas un générateur aléatoire : c'est un animal qui fait des associations.

Le Green Book n'est pas parfait : lui aussi impose une rotation, un an maximum. La mauvaise idée cohabite déjà avec la bonne.

7. Le chiffre 8 : l'arrondi de 8,13 qui change tout

Le Green Book fait aussi le calcul, d'une simplicité presque insultante : le nombre d'essais qu'un attaquant peut faire pendant la vie du mot de passe, divisé par le nombre de combinaisons possibles, donne ses chances.

L'exemple est tiré d'un cas réel : un réseau sur des modems à 300 et 1 200 bauds (300 signaux par seconde, une trentaine de caractères). À cette vitesse, un attaquant enchaîne environ 8,5 tentatives par minute. On fixe le risque accepté (une chance sur un million) et la durée (un an). Réponse : il faut 8 caractères.

Sauf que non : l'équation ne sort pas 8, elle sort 8,13. Le document l'écrit entre parenthèses sous son propre tableau : sa règle est d'arrondir au plus proche (8,94 devient 9, 7,93 devient 8). Sauf qu'ici, ça casse tout. Avec 8 caractères, le risque n'est plus d'une chance sur un million, mais d'une chance sur 631 000. Le document respecte sa règle d'arrondi, mais plus l'objectif fixé trois lignes plus haut.

Ce qui me sidère, c'est qu'ils l'aient publié : ils vous donnaient de quoi les contredire.

Le même document va plus loin avec la phrase de passe : des mots entiers tirés au hasard dans un dictionnaire d'environ 23 300 mots. Sa conclusion : trois mots suffisent. En 1985, 26 ans avant le xkcd devenu emblématique. Nuance : si la machine doit produire un secret aléatoire, autant qu'elle le fabrique avec des mots plutôt qu'avec des symboles. Elle devient juste gentille avec votre mémoire.

En 1979, on sait que les humains sont prévisibles. En 1985, on a la solution. En 2004, on demande à l'humain d'inventer un symbole.

8. 2017 : les regrets de Bill Burr

Le 7 août 2017, dans le Wall Street Journal, Bill Burr, 72 ans et retraité, confie qu'il regrette la plus grande partie de ce qu'il a fait. Deux jours plus tard, sur la radio publique canadienne, il explique que ses conseils n'ont pas eu l'effet voulu et que ça rend les gens complètement fous. Il n'est pas le seul à avoir donné ce conseil, ajoute-t-il, et ne mérite donc pas tout le blâme.

C'est le cœur du problème : le document n'a pas échoué, il a débordé. Son périmètre est écrit sur sa première page : préparé pour les agences fédérales, utilisable ailleurs sur une base volontaire. Nulle part il n'est écrit « et vous, chez vous, tous les 90 jours ». Bill Burr confie d'ailleurs avoir autour de 200 mots de passe, impossibles à retenir. Le père des règles est écrasé par ses propres règles.

Deux mois avant l'article, en juin 2017, le NIST avait déjà publié la réécriture, avec Paul Grassi comme premier auteur. Nuance : en 2017, le NIST n'interdit pas encore. Sur la composition et la rotation, il écrit « il ne faudrait pas » : une recommandation forte, pas une exigence. Analyse des bases compromises à l'appui : le bénéfice est bien moins important qu'on ne le pensait, l'impact sur la mémorisation sévère. Surtout, l'homme qui a écrit la règle figure parmi les auteurs du document qui la retourne. Il n'a pas fui : il est resté dans la pièce. D'une élégance folle.

9. De « il ne faudrait pas » à « interdit » : le NIST en 2025 et l'ANSSI en France

Le NIST retravaille ensuite le texte pendant presque quatre ans : deux versions publiques, environ 6 000 retours traités. La révision 4 sort le 31 juillet 2025, et le 1er août, le texte de 2017 est officiellement retiré et remplacé. Cette fois, le verbe durcit : on passe de « il ne faudrait pas les imposer » à « il est interdit de les imposer ».

Une ligne est passée inaperçue : un mot de passe qui protège seul un compte doit faire au minimum 15 caractères, presque le double des 8 de 1985. La vraie réponse n'était pas d'ajouter des symboles, mais de faire plus long.

La France n'a pas ignoré le sujet : le 8 octobre 2021, l'ANSSI publie ses recommandations sur l'authentification multifacteur et les mots de passe, cosignées par la CNIL. Même mouvement sur l'expiration : pas d'expiration par défaut pour les comptes non sensibles, dès lors que la politique de mots de passe est solide. Pour les comptes très sensibles, comme les administrateurs, le guide donne 1 à 3 ans.

10. Pourquoi ces règles de mot de passe sont toujours là

Pourquoi rien ne change sur le terrain ? Mon interprétation : la règle a changé de nature. En 2004, c'était du texte dans un guide technique. En 2026, c'est une case à cocher, encodée dans les grilles d'audit, dans des scripts de configuration parfois très anciens, dans des paramètres par défaut que plus personne n'ose toucher.

Et personne n'a intérêt à être celui qui retire une contrainte de sécurité : ça n'apporte rien, et le jour où ça se passe mal, c'est vous qu'on regarde. Il n'y a pas de méchant, seulement une règle devenue une habitude.

Estimée « probablement modeste » dès 2004, désavouée par son auteur en 2017, interdite en 2025, la règle est toujours là, près de 47 ans après Bell Labs et 41 ans après qu'un manuel de la défense américaine a donné la réponse : que la machine s'en occupe, et si vous devez retenir quelque chose, retenez des mots.

Ce n'était pas une mesure, c'était une estimation. Aujourd'hui, ce n'est même plus une estimation : c'est une habitude. La prochaine fois qu'un site refuse votre point d'exclamation, vous saurez que le problème, ce n'est pas vous.

Envie de découvrir comment une simple estimation de 2004 est devenue le rituel de tous vos mots de passe ? Retrouvez l'enquête complète dans ma vidéo : Pourquoi on t’oblige encore à mettre un ! dans ton mot de passe