Changer de mot de passe tous les 90 jours ? L’institut américain NIST interdit désormais cette règle. En France, la CNIL va dans le même sens.
C’est l’un des petits supplices de la vie de bureau. Un matin, une fenêtre s’affiche : votre mot de passe expire, il faut en choisir un nouveau, avec au moins une majuscule, un chiffre et un caractère spécial. Résultat, « Automne2026! » devient « Hiver2026! », que vous notez sur un post-it collé sous le clavier.
Cette règle, longtemps présentée comme un pilier de la sécurité informatique, est aujourd’hui rejetée par ceux qui l’avaient popularisée. Dans ses dernières recommandations, le NIST, l’institut américain des normes et de la technologie, demande aux organisations de ne plus imposer de changement périodique des mots de passe.
📝 L’essentiel à retenir :
- La version 4 du guide NIST SP 800-63B interdit d’exiger un changement périodique des mots de passe.
- Elle interdit aussi d’imposer des règles de composition, comme le mélange obligatoire de majuscules, chiffres et symboles.
- Le changement reste obligatoire en cas de compromission avérée du mot de passe.
- En France, la CNIL recommande depuis 2022 de ne plus imposer de renouvellement régulier, sauf pour les comptes administrateurs.
Dans cet article :
Ce que dit exactement le NIST
Le NIST publie un guide de référence sur l’authentification numérique, le Special Publication 800-63B, suivi par les administrations fédérales américaines et repris par de nombreuses entreprises dans le monde. Sa quatrième version, finalisée en août 2025, est sans ambiguïté. Les systèmes « ne doivent pas exiger » des utilisateurs qu’ils changent leur mot de passe de façon périodique. Ils doivent en revanche imposer un changement s’il existe des preuves que le mot de passe a été compromis.
| Règle | Ce que dit le NIST |
|---|---|
| Changement tous les 60 ou 90 jours | Interdit |
| Majuscule, chiffre et symbole obligatoires | Interdit |
| Longueur minimale (mot de passe seul) | 15 caractères |
| Longueur minimale (avec double authentification) | 8 caractères |
| Longueur maximale autorisée | Au moins 64 caractères |
| Comparaison avec une liste de mots de passe piratés | Obligatoire |
| Gestionnaires de mots de passe et copier-coller | Doivent être autorisés |
| Questions secrètes et indices | Interdits |
Pourquoi changer souvent affaiblit les mots de passe
Le raisonnement est simple : un mot de passe solide ne devient pas fragile au bout de trois mois. En revanche, l’obligation de le changer pousse les utilisateurs à choisir des combinaisons faciles à retenir, puis à les modifier à peine. Un chiffre en plus à la fin, une saison qui change, une lettre remplacée par un symbole. Des travaux menés en 2010 à l’université de Caroline du Nord ont montré qu’un attaquant connaissant l’ancien mot de passe pouvait souvent deviner le nouveau en peu d’essais.
Forcer un changement tous les trois mois produit surtout des mots de passe prévisibles, du type « Hiver2026! ».
Microsoft était parvenu à la même conclusion dès 2019. En retirant l’expiration des mots de passe de ses paramètres de sécurité recommandés pour Windows 10, l’éditeur avait qualifié cette pratique de mesure « ancienne et obsolète », de très faible valeur. Si un mot de passe est volé, attendre son expiration laisse de toute façon des semaines à un pirate pour s’en servir.
Et en France, que dit la CNIL ?
La Commission nationale de l’informatique et des libertés a mis à jour ses recommandations dans une délibération du 21 juillet 2022. Elle y estime que le renouvellement périodique imposé n’apporte pas de bénéfice réel pour les utilisateurs classiques. Un mot de passe peut être conservé tant qu’aucun incident ne justifie un changement. La CNIL maintient toutefois le renouvellement pour les comptes administrateurs, qui donnent accès à des pouvoirs étendus.
La CNIL raisonne en termes de solidité globale. Elle propose plusieurs exemples équivalents : au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, au moins 14 caractères sans caractère spécial obligatoire, ou une phrase de passe d’au moins 7 mots.
Ce qui protège vraiment vos comptes
Les nouvelles règles déplacent l’effort. Moins de contraintes absurdes, plus de longueur et de vérifications intelligentes.
Miser sur la longueur et l’unicité
Un mot de passe long résiste bien mieux aux attaques qu’un mot court bourré de symboles. Une suite de mots sans lien entre eux, facile à retenir pour vous, est très difficile à deviner pour une machine. Pour mesurer l’écart, regardez en combien de temps un mot de passe peut être piraté selon sa longueur. Surtout, n’utilisez jamais le même mot de passe sur plusieurs sites. C’est la première chose que testent les pirates, comme le montrent les techniques utilisées pour cracker un mot de passe.
Utiliser un gestionnaire et la double authentification
Un gestionnaire de mots de passe crée et retient pour vous des mots de passe longs et uniques. Le NIST impose d’ailleurs aux services de les accepter. Apple a même intégré un générateur de mots de passe dans iCloud pour Windows. Activez aussi la double authentification partout où c’est possible : même volé, votre mot de passe ne suffira plus. Les conséquences d’un oubli peuvent être lourdes, comme pour ceux qui ont perdu une fortune en oubliant leur mot de passe, et celles d’un mot de passe faible encore plus, à l’image de cette entreprise qui a disparu à cause d’un seul mot de passe.
BuzzWebzine est un média indépendant. Soutiens-nous en nous ajoutant à tes favoris sur Google Actualités :
