Changer le mot de passe d’un compte Windows

Sur Windows 10 et 11, Ctrl+Alt+Suppr puis « Modifier un mot de passe » fonctionne quel que soit le type de compte, et Ctrl+Alt+Fin prend le relais dans une session Bureau à distance. Le reste dépend de l'endroit où vit réellement le mot de passe : la ruche SAM pour un compte local, les serveurs Microsoft pour un compte en ligne, le contrôleur de domaine pour un compte Active Directory.

Trois chemins, et le bon dépend de votre type de compte

Ctrl+Alt+Suppr, puis « Modifier un mot de passe ». C'est le seul écran qui répond partout, y compris sur les éditions Famille, y compris sur une session ouverte depuis trois semaines. Vous tapez l'ancien mot de passe, le nouveau deux fois, Entrée. Dans une session Bureau à distance, la combinaison est interceptée par votre machine locale et n'arrive jamais sur la machine distante : utilisez Ctrl+Alt+Fin, ou lancez osk.exe et cliquez les touches sur le clavier visuel.

Le chemin par l'interface, c'est Paramètres > Comptes > Options de connexion > Mot de passe > Modifier. Sur un compte Microsoft, le bouton « Modifier » est remplacé par un renvoi vers account.microsoft.com/security, parce que le secret ne vit pas sur la machine et que Windows n'a rien à y changer localement.

Côté ligne de commande, une invite ouverte en administrateur suffit : net user lucas * demande le nouveau mot de passe deux fois, sans l'afficher à l'écran. La variante net user lucas Hiver2026! fonctionne aussi, et c'est exactement ce qu'il ne faut pas faire. PSReadLine écarte par défaut de l'historique les lignes qui ressemblent à un secret (elles contiennent password, token, secret), or « net user » ne déclenche aucun de ces motifs : la ligne finit en clair dans %APPDATA%\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt, fichier lisible par l'utilisateur et par tout ce qui tourne sous son identité. Dans cmd.exe, l'historique meurt avec la fenêtre, ce qui est déjà mieux.

L'équivalent PowerShell propre tient en une ligne : Set-LocalUser -Name lucas -Password (Read-Host -AsSecureString). Le module LocalAccounts est fourni avec PowerShell 5.1 sur Windows 10 et 11.

Méthode	Types de comptes	Droits requis	À savoir
Ctrl+Alt+Suppr	Local, Microsoft, domaine	Aucun, sur son propre compte	Ctrl+Alt+Fin dans une session RDP
Paramètres > Options de connexion	Local	Aucun	Renvoie vers le web pour un compte Microsoft
net user *	Local (ajouter /domain pour AD)	Administrateur	Ne demande pas l'ancien mot de passe
Set-LocalUser	Local	Administrateur	PowerShell 5.1, saisie masquée
lusrmgr.msc	Local	Administrateur	Absent des éditions Famille
account.microsoft.com	Microsoft	Aucun	Se répercute sur tous vos appareils

Compte local, compte Microsoft, compte de domaine

Un compte local stocke une empreinte du mot de passe dans la ruche SAM, sous C:\Windows\System32\config\SAM. Cette empreinte est un hash NT : MD4 de la version UTF-16LE du mot de passe, sans sel. Deux comptes qui utilisent le même mot de passe produisent donc le même hash, sur la même machine comme sur une autre. L'ancien hash LM, lui, n'est plus calculé par défaut depuis Windows Vista, et de toute façon jamais au-delà de 14 caractères. La limite haute d'un mot de passe de compte Windows est de 127 caractères.

Un compte Microsoft est un compte en ligne. Le changer depuis un PC modifie le mot de passe partout, sur le portable, sur la Xbox, sur Outlook.com. Le code PIN Windows Hello, lui, ne bouge pas : il est propre à l'appareil, protégé par le TPM, et il continue d'ouvrir la session avec l'ancienne valeur. C'est pour cette raison que beaucoup d'utilisateurs ne remarquent pas pendant des mois qu'ils ont changé leur mot de passe.

Sur un domaine, le mot de passe vit dans la base ntds.dit des contrôleurs. Un changement est poussé immédiatement vers l'émulateur PDC, et un contrôleur qui reçoit une authentification qu'il juge fausse revérifie auprès de lui avant de rejeter la connexion : c'est ce mécanisme qui évite les refus pendant la réplication. Hors réseau, Windows accepte encore l'ancien mot de passe, puisqu'il conserve par défaut les informations des 10 dernières ouvertures de session (CachedLogonsCount).

Changer et réinitialiser ne sont pas la même opération

Quand vous changez votre propre mot de passe en fournissant l'ancien, Windows en profite pour rechiffrer votre clé maîtresse DPAPI. Toute la chaîne suit : identifiants du Gestionnaire d'identifiants, certificats, fichiers chiffrés EFS.

Quand un administrateur réinitialise le mot de passe d'un compte local (net user, lusrmgr, réinitialisation depuis un autre compte admin), l'ancien mot de passe n'est nulle part, la clé maîtresse ne peut pas être rechiffrée, et le lien casse. L'utilisateur retrouve sa session et son profil, mais ses fichiers EFS deviennent illisibles et ses identifiants enregistrés sont perdus. Sur un compte de domaine, une clé de sauvegarde détenue par le domaine permet en général de récupérer les données DPAPI après une réinitialisation ; sur une machine autonome, il n'y a pas de filet.

Le journal Sécurité distingue les deux, ce qui est utile quand un poste se met à réclamer des identifiants sans raison apparente.

Identifiant d'événement	Signification
4723	Tentative de changement de mot de passe par le titulaire du compte
4724	Tentative de réinitialisation par un tiers (administrateur)
4740	Compte verrouillé
4625	Échec d'ouverture de session

Ce qui casse ensuite, côté réseau

Le scénario classique : le lendemain du changement, le lecteur Z: pointant vers le NAS refuse de se reconnecter, et net use renvoie « Erreur système 1326 », soit ERROR_LOGON_FAILURE. Le Gestionnaire d'identifiants a conservé l'ancien couple. cmdkey /list liste les entrées, cmdkey /delete:NAS01 supprime la mauvaise, la reconnexion redemande le mot de passe.

Le second scénario est plus désagréable parce qu'il vous verrouille : un appareil quelque part continue de présenter l'ancien mot de passe en boucle. Un smartphone qui relève une boîte Exchange, une tâche planifiée, un service configuré avec le compte dans services.msc, un pool d'applications IIS, une sauvegarde nocturne. Depuis Windows 11 22H2, la stratégie de verrouillage est active par défaut sur les comptes locaux : 10 tentatives ratées, 10 minutes de verrouillage. En domaine, l'événement 4740 sur le contrôleur donne le nom de la machine source.

Un rappel qui évite des appels au support : le mot de passe Windows n'est pas la clé Wi-Fi, ni le mot de passe d'administration de la box, ni celui de la session Google. Le changer ne touche à aucun des trois.

• Identifiants enregistrés : cmdkey /list, puis suppression des entrées périmées
• Lecteurs réseau reconnectés automatiquement au démarrage
• Services et tâches planifiées qui tournent sous le compte
• Fichiers .rdp avec identifiants mémorisés
• Clients de messagerie et sauvegardes vers un NAS ou un partage SMB
• Connexions VPN qui réutilisent l'authentification Windows

Mot de passe oublié : les options qui existent vraiment

Compte Microsoft : la réinitialisation se fait depuis n'importe quel appareil, sur la page de récupération du compte. Le PC doit ensuite voir Internet pour valider le nouveau mot de passe ; tant qu'il est hors ligne, c'est l'ancien, mis en cache, qui ouvre la session.

Compte local créé depuis Windows 10 version 1803 : trois questions de sécurité ont été définies à la configuration, et un lien « Réinitialiser le mot de passe » apparaît sur l'écran de connexion après une première saisie fausse. Sur un compte local plus ancien ou créé en ligne de commande, ces questions n'existent pas.

Restent le disque de réinitialisation préparé à l'avance sur clé USB (il crée un fichier userkey.psw et fonctionne toujours sur Windows 11), et un second compte administrateur local qui exécute net user. Dans ce dernier cas, relisez la section précédente : vous réinitialisez, donc vous cassez DPAPI.

Si aucune de ces options n'a été préparée, il n'existe pas de procédure prise en charge pour récupérer un compte local. Les manipulations hors ligne du disque que l'on trouve un peu partout supposent un accès physique à la machine et se heurtent à BitLocker : toucher à la chaîne de démarrage sur un poste chiffré déclenche la demande de la clé de récupération à 48 chiffres. Sans cette clé, les données sont perdues, pas seulement le mot de passe.

Questions fréquentes

Peut-on changer un mot de passe Windows sans connaître l’ancien ?

Oui, avec un compte administrateur : net user lucas * en invite élevée, ou lusrmgr.msc hors édition Famille. Mais ce n'est plus un changement, c'est une réinitialisation : la clé DPAPI n'est pas rechiffrée, donc les identifiants enregistrés et les fichiers EFS de ce compte deviennent inaccessibles.

Changer le mot de passe Windows change-t-il le mot de passe Wi-Fi ?

Non. La clé Wi-Fi appartient au routeur ou à la box, elle est stockée côté système sur le PC et n'a aucun lien avec le compte utilisateur. Idem pour l'interface d'administration de la box, accessible via son adresse IP locale, qui a ses propres identifiants.

Pourquoi mon compte se verrouille depuis que j’ai changé de mot de passe ?

Un appareil ou un service rejoue l'ancien mot de passe en boucle : téléphone qui relève la messagerie, tâche planifiée, service Windows, lecteur réseau. Sur un domaine, l'événement 4740 du journal Sécurité du contrôleur indique la machine à l'origine des tentatives. Sur un poste isolé sous Windows 11 22H2 ou plus récent, le verrouillage tombe après 10 échecs et dure 10 minutes.

Faut-il changer son mot de passe régulièrement ?

Microsoft a retiré l'expiration périodique de sa base de référence de sécurité à partir de Windows 10 version 1903, en 2019, jugeant qu'elle pousse à des variantes prévisibles. Le changement se justifie sur suspicion de compromission ou après un partage. En Active Directory, la stratégie de domaine par défaut reste réglée sur 42 jours d'âge maximum, 7 caractères minimum et 24 mots de passe conservés en historique, tant que personne ne l'a modifiée.

Mon code PIN doit-il être changé en même temps ?

Non, les deux sont indépendants. Le PIN est lié à l'appareil et protégé par le TPM ; il continue de fonctionner après un changement de mot de passe. Pour le modifier, passez par Paramètres > Comptes > Options de connexion > Code PIN Windows Hello.

Testez vos connaissances

À lire aussi

attaques mot de passe · brute force · 2fa · chiffrement