La phrase de passe, quand il faut retenir sans noter

Un mot de passe de seize caractères tirés au sort est excellent, mais personne ne le retient. Tant qu'il dort dans un gestionnaire, aucun problème. Il reste pourtant quelques secrets que vous devez taper de tête : celui qui ouvre le gestionnaire lui-même, celui de la session de votre ordinateur, celui du chiffrement d'un disque, parfois celui de votre messagerie de secours. Pour ces quelques cas, la phrase de passe est la bonne réponse.

Le tirage se fait dans votre navigateur, à partir du générateur d'aléa cryptographique du système, et la phrase produite ne quitte jamais votre machine. La liste utilisée compte 772 mots français courants, volontairement écrits sans accent pour éviter toute mauvaise surprise sur un clavier étranger ou un écran de connexion qui ne gère pas les caractères accentués.

Pourquoi ça marche

La solidité d'une phrase de passe ne vient pas de la longueur du texte, mais du nombre de mots tirés au sort et de la taille de la liste dans laquelle on pioche. Avec nos 772 mots, chaque tirage apporte 9,6 bits. Six mots donnent donc environ 58 bits, dix mots dépassent 95 bits, le tout en restant prononçable et mémorisable.

La comparaison avec un mot de passe classique est instructive. Six mots tirés au sort valent à peu près neuf caractères aléatoires complets. Ce n'est pas énorme, et c'est bien pour cela qu'il faut monter à six mots au minimum, là où beaucoup d'articles se contentent d'en conseiller quatre. En échange, vous obtenez quelque chose que vous pouvez réellement mémoriser en trois ou quatre répétitions, ce qui n'est pas le cas d'une suite de neuf caractères aléatoires.

Les options cosmétiques ne comptent presque pas

La case qui ajoute une majuscule au début de chaque mot et celle qui colle deux chiffres à la fin sont pratiques quand un site exige une majuscule et un chiffre. Sur le plan de la sécurité, ne vous faites pas d'illusions : un attaquant qui sait que vous utilisez une phrase de passe testera d'office ces variantes. La majuscule systématique n'apporte rien du tout, les deux chiffres apportent moins de sept bits. C'est l'ajout d'un mot supplémentaire qui change vraiment la donne, pas la décoration.

Retenir sans effort

Une méthode fonctionne bien mieux que la répétition brute : fabriquez une image mentale absurde reliant les mots dans l'ordre. Une phrase comme rocher-tulipe-guichet-morse-piano-orage devient un rocher couvert de tulipes devant un guichet où un morse joue du piano sous l'orage. Le ridicule aide la mémoire, c'est un effet bien documenté par les travaux sur les méthodes mnémotechniques. Tapez ensuite la phrase une dizaine de fois dans la journée qui suit, puis une fois par jour pendant une semaine. Passé ce délai, elle est installée.

Pendant la période d'apprentissage, notez la phrase sur un papier que vous gardez sur vous, et détruisez le papier une fois la mémorisation acquise. Un papier dans un portefeuille est un risque mesuré et temporaire, un mot de passe oublié qui bloque l'accès à votre coffre est une catastrophe définitive.

Phrase de passe ou mot de passe classique ?

Choisissez la phrase de passe pour les quelques secrets que vous tapez de mémoire, et le mot de passe aléatoire pour tout le reste, c'est à dire l'immense majorité de vos comptes, que votre gestionnaire remplira à votre place. Le générateur de la page d'accueil produit aussi des phrases de quatre mots si vous cochez l'option facile à retenir, mais pour un mot de passe maître, préférez le tirage à six mots proposé ci-dessus. Vous pouvez vérifier le résultat sur la page consacrée à la force d'un mot de passe.