Changer de mot de passe : la marche à suivre selon le cas

Changer un mot de passe n’a d’intérêt que si vous changez le bon, au bon moment : après une fuite, un partage, ou un doute sur un appareil. Le geste diffère selon la cible, car l’interface d’administration d’une box, une clé Wi-Fi, un compte en ligne et une session Windows n’obéissent pas aux mêmes règles.

Changer par réflexe ou changer pour une raison

La rotation obligatoire tous les 90 jours a été abandonnée par ceux-là mêmes qui l’avaient imposée. Depuis la révision 3 de la publication NIST SP 800-63B (juin 2017), la règle est explicite : ne pas exiger de changement arbitraire ou périodique, et ne forcer le renouvellement que s’il existe une preuve de compromission. La raison est visible dans n’importe quel parc informatique. Contraint chaque trimestre, un utilisateur passe de Printemps2026! à Ete2026!, et celui qui connaissait l’ancien mot de passe devine le nouveau en deux essais.

Un changement se justifie donc par un événement, pas par le calendrier. Voici les déclencheurs qui comptent vraiment.

Sur la longueur, la CNIL raisonne en entropie depuis sa délibération n° 2022-100 du 21 juillet 2022 : 80 bits minimum quand le mot de passe constitue le seul facteur d’authentification, ce qui correspond à environ 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux. Le seuil descend à 50 bits si un mécanisme complémentaire limite les tentatives, blocage du compte ou second facteur. Un mot de passe aléatoire de 16 caractères couvre les deux cas sans avoir à faire le calcul.

• Une fuite confirmée chez un service où vous aviez un compte
• Le mot de passe tapé sur un poste partagé, un ordinateur d’hôtel ou une machine professionnelle que vous quittez
• Un secret communiqué à quelqu’un : technicien, colocataire, ancien prestataire
• Le même mot de passe réutilisé ailleurs, et l’un de ces services vient d’être compromis
• Un téléphone ou un portable perdu ou volé qui le stockait
• Une alerte de connexion depuis une adresse IP ou un pays que vous ne reconnaissez pas

Box et Wi-Fi : deux mots de passe qu’on confond

Deux secrets cohabitent dans une box et la confusion est quasi systématique, y compris au téléphone avec le support. Le mot de passe d’administration ouvre l’interface de configuration. La clé Wi-Fi, elle, autorise un appareil à rejoindre le réseau sans fil. Changer l’un ne touche pas à l’autre.

L’ordre compte. Si vous soupçonnez qu’un tiers accède à votre réseau, changez d’abord le mot de passe d’administration : sinon la personne se reconnecte à l’interface et lit tranquillement la nouvelle clé Wi-Fi, affichée en clair sur la plupart des box. Désactivez le WPS dans la foulée, c’est la porte laissée ouverte le plus souvent.

La clé WPA/WPA2 personnelle accepte de 8 à 63 caractères ASCII imprimables, ou 64 caractères hexadécimaux pour la forme brute. Visez 20 caractères aléatoires, vous ne la retapez presque jamais. Au moment de valider, tous les appareils connectés sont éjectés d’un coup : faites la liste avant. Les ordinateurs et les téléphones, on y pense. L’imprimante, la caméra, le thermostat et le robot aspirateur, non. Le scénario classique, c’est l’imprimante muette le lendemain matin, dont plus personne ne connaît la procédure de réassociation.

Box	Interface d’administration	Identifiants d’origine
Livebox (Orange)	http://192.168.1.1	Étiquette sous la box ; sur les modèles récents, le mot de passe admin correspond aux 8 premiers caractères de la clé de sécurité
Freebox	http://mafreebox.freebox.fr	Mot de passe défini à l’activation, réinitialisable depuis l’espace abonné
Bbox (Bouygues)	http://gestionbbox.lan ou http://192.168.1.254	Étiquette sous la box
Box SFR	http://192.168.1.1	Étiquette sous la box, identifiant admin par défaut

Changer le mot de passe d’une session Windows, macOS ou Linux

Sur Windows, le chemin le plus fiable reste Ctrl + Alt + Suppr, puis « Modifier un mot de passe ». Avec un compte Microsoft, le changement se fait en ligne et le poste se resynchronise à sa prochaine connexion Internet. C’est ce qui explique qu’un portable resté hors réseau continue d’accepter l’ancien mot de passe pour ouvrir la session : il travaille sur des identifiants mis en cache.

Une différence mal connue sur Windows mérite d’être retenue. Quand l’utilisateur change lui-même son mot de passe, la clé DPAPI qui protège ses secrets locaux est ré-chiffrée au passage : mots de passe Wi-Fi enregistrés, entrées du Gestionnaire d’identification et fichiers EFS restent lisibles. Quand un administrateur réinitialise autoritairement le mot de passe d’un compte local, cette chaîne casse et ces secrets deviennent irrécupérables. Dans un domaine Active Directory, un mécanisme de sauvegarde limite la casse, mais sur un poste isolé, non. C’est la mécanique qui fait perdre des données à ceux qui « réparent » une machine en forçant le mot de passe.

• Windows, état d’un compte local : net user nomutilisateur, puis lire la ligne « Le mot de passe expire »
• Linux, changer le sien : passwd ; changer celui d’un autre compte : sudo passwd nomutilisateur
• Linux, dates d’expiration : chage -l nomutilisateur
• macOS : Réglages Système > Utilisateurs et groupes > Modifier le mot de passe
• Routeur, NAS ou Raspberry Pi en SSH : passwd, puis ouvrez une seconde session pour vérifier que vous entrez toujours avant de fermer la première. Se verrouiller dehors d’un équipement distant arrive plus souvent qu’on ne l’admet.

Après une fuite : l’ordre des opérations

L’erreur la plus fréquente consiste à commencer par le compte qui inquiète le plus, la banque en général, et à garder la boîte mail pour la fin. Or la messagerie est le trousseau de tout le reste : celui qui la contrôle déclenche les réinitialisations à la chaîne. Elle passe en premier, sans exception.

Comptez le temps que ça prend. Sur une vingtaine de comptes, l’opération occupe une soirée entière, et c’est le meilleur argument en faveur d’un gestionnaire de mots de passe : sans lui, vous n’avez même pas la liste des comptes à traiter.

• Mot de passe de la boîte mail, depuis un appareil dont vous êtes sûr
• Paramètres de récupération du compte mail : adresse de secours, numéro de téléphone, questions secrètes, que l’attaquant modifie souvent avant de partir
• Règles de filtrage et de transfert automatique du webmail : une règle qui recopie discrètement les messages vers une adresse externe survit très bien à un changement de mot de passe
• Comptes qui réutilisaient ce mot de passe, en commençant par ceux reliés à un moyen de paiement
• Second facteur activé, de préférence une application TOTP (RFC 6238) ou une clé physique plutôt qu’un SMS
• Sessions actives fermées, applications tierces et mots de passe d’application révoqués

Ce qu’un changement de mot de passe ne répare pas

Un mot de passe neuf ne coupe pas forcément l’accès en cours. Beaucoup de services laissent valides les sessions déjà ouvertes tant que vous ne les fermez pas explicitement, via un bouton du type « Se déconnecter partout ailleurs » sur WordPress ou une liste d’appareils connectés chez Google, Microsoft et Facebook. Les jetons OAuth délivrés à des applications tierces continuent souvent de fonctionner jusqu’à révocation manuelle, indépendamment du mot de passe.

Si la machine héberge un voleur d’identifiants, changer le mot de passe depuis cette machine revient à offrir le nouveau. On nettoie, ou on opère depuis un autre appareil, puis on change. Même logique pour les copies du secret qui traînent ailleurs : identifiants en dur dans un script, fichier .env sur un serveur, sauvegarde de configuration de box, mot de passe collé dans une conversation. Le changement ne vaut que si toutes ces copies suivent.

Enfin, ce geste ne modifie ni votre adresse IP publique, ni l’adresse MAC de vos équipements, ni ce que votre fournisseur d’accès et les sites visités ont déjà enregistré. Trois sujets distincts, régulièrement mélangés dans la même demande de vouloir « redevenir anonyme ».

Questions fréquentes

Faut-il changer ses mots de passe tous les 3 mois ?

Non, sauf si une politique interne vous l’impose. Le NIST recommande depuis 2017 de ne pas forcer de renouvellement périodique et de n’exiger un changement qu’en cas de suspicion de compromission. Le changement calendaire pousse aux variantes prévisibles, qui affaiblissent le mot de passe au lieu de le renforcer.

Changer ma clé Wi-Fi change-t-il mon adresse IP ?

Non. La clé Wi-Fi contrôle l’accès au réseau local, tandis que l’adresse IP publique est attribuée à la box par votre fournisseur d’accès. Elle ne bouge qu’au renouvellement du bail, après un arrêt prolongé ou un changement d’équipement, et reste fixe chez certains opérateurs. En interne, vos appareils reprennent simplement une adresse locale en DHCP au moment de se reconnecter.

J’ai perdu le mot de passe d’administration de ma box, que faire ?

Un appui long sur le bouton de réinitialisation, de l’ordre de 10 secondes selon les modèles, remet la box en configuration d’usine avec les identifiants imprimés sur l’étiquette. Vous perdez au passage toute la personnalisation : redirections de ports, adresses IP réservées, nom du réseau, réglages IPv6. Chez la plupart des opérateurs, l’espace client permet de reprendre la main sans en arriver là.

Est-ce que le changement me déconnecte de tous mes appareils ?

Pas systématiquement. Certains services invalident toutes les sessions, d’autres laissent tourner les sessions existantes et les applications déjà autorisées. Après un incident, ouvrez la page des sessions ou appareils actifs du compte et révoquez tout ce que vous ne reconnaissez pas, sans oublier les mots de passe d’application générés pour un client de messagerie ou un logiciel de sauvegarde.

Quelle longueur pour un nouveau mot de passe ?

Douze caractères avec quatre types de caractères constituent le plancher retenu par la CNIL quand le mot de passe est le seul facteur, soit environ 80 bits d’entropie. Une phrase de passe de quatre à cinq mots sans rapport entre eux atteint un niveau comparable et se retient mieux. Pour tout ce qui vit dans un gestionnaire, générez 16 à 20 caractères aléatoires, la mémorisation ne rentre plus en compte.

À lire aussi

attaques mot de passe · 2fa · brute force · box internet

Testez vos connaissances